Archivos de la categoría Seguridad

Consideraciones sobre la Cloud Computing (Parte III)

Cloud ComputingEn este último artículo de un total de tres partes, se dará continuidad a los anteriores a través de una serie de recomendaciones sobre aspectos legales, de seguridad y en especial sobre la dependencia que puede generarse hacia los proveedores de Cloud Computing, entre los puntos a tratar se encuentran la infraestructura, la gestión de la identidad, control de accesos, gestión de riesgos, cumplimiento de reglamentaciones y legislación, auditoria, registro de datos y además del control de integridad.

Puntos sobre la Cloud Computing

Se abordan los aspectos relacionados con la dependencia en el proveedor:

Disponibilidad

Depender única y exclusivamente de un solo proveedor de Cloud Computing y no tener respaldo adicional o alternativas que den soporte de los servicios contratados, puede ocasionar fallos con respecto a la disponibilidad de los mismos, un ejemplo de esto, seria en el caso de que el proveedor fuera a la bancarrota y dejara de dar los servicios necesarios, ocasionando interrupciones en la continuidad del negocio del cliente.

Contratos

En algunos casos los servicios más utilizados de Cloud Computing no incluyen contratos entre el cliente y el proveedor, ante ello, si ocurriesen incidentes donde el cliente se viese afectado, este no tendría los documentos legales que le respaldarán o al cual referirse para subsanar las vulnerabilidades y problemas detectados.

Cambio de proveedor

Tanto los servicios de Cloud Computing, como los tradicionales tienden a ser ofrecidos por grandes suministradores y que tratan principalmente con clientes más pequeños, en consecuencia, estos, generalmente dependen de los proveedores Proveedor Cloudporque les es difícil cambiar de proveedores a causa de cobros excesivos por finalización de contrato o por lineamiento mañosos especificados en las “letras chiquitas”, en los cuales se obliga a cumplir con un lapso de tiempo de contratación de servicios, que pueden ir de 1 mes, hasta 1 o 2 años; y si resulta posible, se enfrentarían a una gran variedad de precios.

Recomendaciones

  1. Los temas de gestión de riesgos y de cumplimiento (legal) deben de estar bien definidos en el contrato entre el proveedor de Cloud Computing y el cliente, facilitando la transparencia en relación con el procesamiento y almacenamiento de datos, reforzando así la confianza entre ambas partes.
  2. El servicio facilitado debe de cumplir la regulación y la legislación que el cliente tiene que seguir y también los clientes deben de ser capaces de cumplir con la correspondiente regulación y legislación.
  3. Los problemas y riesgos que afectan a las reglas de protección de datos en Europa deben de ser considerados adecuadamente cuando las plataformas de Cloud Computing están localizadas en servidores en países no europeos.
  4. La línea de comunicación entre el proveedor de Cloud Computing y el cliente debe estar adecuadamente protegida para asegurar la confidencialidad, integridad, control de autenticidad y para minimizar el riesgo de ataques de denegación de servicio, basándose en estándares y tecnologías abiertas, además de transparentes.
  5. Los proveedores de Cloud Computing deberían ser obligados a asegurar la confidencialidad de los datos.
  6. La obligatoriedad de la cancelación de datos debería de ser incluida en la potencial reglamentación de los servicios de Cloud Computing, pero no se debería confiar mucho en ello.
  7. El hecho de que no haya garantía de la total cancelación de datos requiere ser considerado cuando se reuniesen y almacenan los datos.
  8. Garantizar la disponibilidad de los datos, copias de respaldo y de datos esenciales.
  9. Se debe fomentar la mejor promoción de software y el desarrollo de software que permite la transferencia local de datos entre dispositivos.
  10. Las redes de telecomunicaciones que soportan los servicios de Cloud Computing deberían estar securizadas (parcheado o actualización de la máquina) y protegidas contra ataques de DOS y de Malware.
  11. Se debería facilitar el registro de datos y auditoria adecuados. Una auditoria externa puede ser beneficiosa para la reputación del proveedor de Cloud Computing y también para reforzar la confianza del cliente.
  12. Se debería educar a los no profesionales en relación con el nuevo paradigma, preparándolos para tomar decisiones competentes cuando usen servicios de Cloud Computing, incluyendo que información debería ser transferida a la nube y bajo cuales circunstancias.
  13. Los profesionales deberían ser capaces de gestionar los nuevos tipos de riesgos.
  14. Dado que alguna regulación será necesaria en el futuro, seria inteligente considerar sus debilidades y problemas antes de que Cloud Computing se convierta en un servicio o infraestructura críticos.
  15. Es necesario verificar cuál de las dimensiones de los conflictos y regulaciones serán relevantes, en particular cuando un proveedor de Cloud Computing se convierte en parte de una infraestructura de información indispensable, para esto deberá existir alguna reglamentación o limitación en relación con la posibilidad de su adquisición por un tercero.
  16. Se debería fomentar la investigación sobre los conceptos básicos y problemas en informática, seguridad y privacidad en relación con los servicios de Cloud Computing. También asuntos referidos al posible impacto de plataformas de Cloud Computing de la validez de la certificación de aplicaciones que son certificadas de acuerdo a criterios (como los Criterios Comunes–CommonServicio o infraestructura Criteria—sello europeo de privacidad, etc.) puedan ser investigados.

La Cloud Computing corrobora una tendencia de que la seguridad en TIC no es una cuestión puramente técnica, sino una cuestión entre individuos y organizaciones, pues incluye aspectos humanos y organizacionales como la gestión, contratación y cumplimiento legal. Cabe destacar que un buen proveedor de servicios en la nube es aquel que tiene especial cuidado y resalta de forma transparente cada una de las anteriores recomendaciones, pues está en su misión, visión y objetivo atender al cliente, satisfaciendo sus necesidades y prestando especial atención en la resolución de sus problemáticas e incógnitas, para así ofrecer servicios de alta calidad; ejemplo de compañías que cubren en tiempo y forma las requisitos previamente señalados, es la empresa Villanett que ofrece Software en la Nube para la administración empresarial y de recursos, además de contabilidad y facturación electrónica.

Servicios de alta calidad

Consideraciones sobre la Cloud Computing (Parte II)

Cloud ComputingEn esta segunda entrega sobre los aspectos a considerar en torno a la adquisición de servicios o plataformas basadas en la Cloud Computing por parte de empresarios y emprendedores se hablará de las preocupaciones, así como de las consideraciones que estos deben tomar en cuenta referente a aspectos legales y de seguridad relacionadas con la infraestructura, la gestión de la identidad, control de accesos, gestión de riesgos, cumplimiento de reglamentaciones y legislación, auditoria y registro de datos, además del control de integridad que todo proveedor de servicios en la nube debe resolver.

Puntos sobre la Cloud Computing

Procesamiento de datos

La mayoría de los clientes son conscientes del peligro de dejar el control de los datos fuera de sus propias manos y almacenar datos en un proveedor exterior de Cloud Computing. Se pueden comprometer los datos por el propio proveedor de Cloud Computing o por otras empresas competidoras que son clientes del mismo proveedor de Cloud Computing. Existe una falta de transparencia para los clientes sobre cómo, cuándo, porqué y donde sus datos son procesados.

Análisis de datos

Muchos proveedores de Cloud Computing están capacitados para utilizar técnicas de minería de datos para analizar los datos de los usuarios. Esto es una función muy importante, ya que los usuarios almacenan y procesan datos sensibles cuando utilizan los servicios de Computación en la nube.

Transferencia de datos

Los dispositivos móviles con su limitada capacidad de almacenamiento son incentivos para disponer de servicios de Cloud Computing, en lugar de utilizar software en ordenadores individuales. Incluso los datos que deben ser transferidos de un dispositivo móvil a otro (local) dispositivo se transfieren con frecuencia a través de la nube cuando las aplicaciones orientadas a la nube están involucradas en el dispositivo móvil. En consecuencia los usuarios se ponen en riesgo sin ser conscientes de ello, pues asumen que los datos se transfieren localmente.

Protección de la conexión

Dado que la Cloud Computing es un servicio, ésta debe ser accedida remotamente. La conexión entre el proveedor de Cloud Computing y el cliente no siempre está protegida adecuadamente, los riesgos de seguridad que amenazan la línea de transmisión incluyen desviación de DNS y ataques de denegación de servicio.

Cumplimiento de seguridad

El cambio de paradigma en Cloud Computing hace que el uso tradicional de la gestión de riesgos sea difícil o incluso imposible, independiente del hecho de que el control sobre los datos sea transferido al proveedor de Cloud Computing. La gestión de riesgos y temas de cumplimiento están divididos entre el proveedor de Cloud Computing, el proveedor de Internet y el cliente, donde el cumplimiento puede verse como uno de los factores importantes de confianza entre el proveedor de Cloud Computing y el cliente. El cumplimiento de reglamentos y de la legislación es también problemático. Los centros de datos de la Nube pueden estar geográficamente dispersos y en consecuencia el cumplimiento de la legislación no está adecuadamente definido.

Registro de datos

Como todo el control técnico que otorga al proveedor de Cloud Computing, el cliente quiere disponer de una auditoria externa de éste proveedor. En consecuencia, la información de registro de datos y de auditoría debe ser almacenada y protegida para posibilitar su verificación. El registro de datos apropiado podría facilitar la posibilidad de investigación forense en caso de incidentes.

Borrado de datos

Existe también preocupación en relación con el borrado de datos: resulta difícil borrar todas las copias de material electrónico porque es difícil localizar todas las copias. Es imposible garantizar la total cancelación de todas las copias de los datos, siendo difícil hacer cumplir la obligatoriedad de cancelación de datos. Sin embargo, la cancelación obligatoria de datos debería ser incluida en toda venidera reglamentación de servicios de Cloud Computing, pero aun así no se debería tener mucha confianza en ello.

Reglas de protección

La legislación de protección de datos y de privacidad no es similar en muchos países del mundo, pero la Cloud Computing es un servicio global de cara al futuro. Consecuentemente, los problemas y los riesgos que afectan a las reglas de protección de datos en Europa deben ser consideradas de manera apropiada cuando las plataformas de Cloud Computing están localizadas en servidores en países no europeos.

Administración de redes

La Cloud Computing se basa en telecomunicaciones fiables y seguras entre redes que aseguran y garantizan las operaciones de los usuarios terminales de los servicios facilitados en la nube por el proveedor de Cloud Computing. Las redes de telecomunicación Administración de redesson con frecuencia, suministradas separadamente de los servicios de Cloud Computing.

Cualquier persona o entidad, pero especialmente los empresarios y emprendedores que deseen obtener los beneficios que brinda la computación en la nube, debe comprender a cabalidad los anteriores lineamientos y consideraciones que todo buen proveedor de servicios en la nube tiene que poseer para proporcionar a sus clientes la calidad (seguridad, usabilidad, funcionalidad, accesibilidad y disponibilidad) que se merecen; por esto, elegir a un proveedor confiable y responsable sobre la debida aplicación de sus normativas, es vital para el adecuado avance de las empresas, ejemplo de estos proveedores que se preocupan por tener todo en regla y sobre todo por darles la mejor experiencia a sus clientes, es la compañía Villanett que ofrece sistemas, plataformas y software para la contabilidad, administración empresarial y de gestión de recursos completamente sustentados en la nube.

Servicios en la nube

Consideraciones sobre la Cloud Computing (Parte I)

Cloud ComputingEn este primer artículo de una secuencia de tres, se hablará de las principales consideraciones que cualquier empresario o emprendedor debe tomar a la hora de buscar una negociación con una empresa proveedora de servicios basados en la utilización de tecnologías en la Cloud Computing, pues aunque estas herramientas aportan a las MIPyME’s grandes ventajas para la administración y crecimiento de los negocios, es de importancia reconocer los retos que debe afrontar este tipo de tecnología para garantizar a quien la use (clientes) calidad, seguridad y máximo rendimiento que lleve al incremento de confianza de sus usuarios.

Puntos sobre la Cloud Computing

Los siguientes puntos tienen el objetivo de aportar la información necesaria para la toma de decisiones oportunas al momento de adquirir servicios de cloud computing por parte del cliente, garantizando así la disponibilidad, usabilidad, accesibilidad y funcionalidad de los sistemas o servicios contratados.

Disponibilidad de la red

Sólo se puede obtener el valor de Cloud Computing cuando la conectividad de red y el ancho de banda satisfacen las necesidades mínimas de los usuarios. La nube debe estar disponible siempre que lo necesite, de lo contrario, las consecuencias no solo pueden quedar en la denegación del servicio, sino a la caída del sistema o incluso, eliminación del mismo.

Viabilidad de proveedor de la nube

Debido a que los proveedores de servicios cloud computing son relativamente nuevos para el negocio, hay preguntas sobre su viabilidad y compromiso. Esta preocupación se profundiza cuando un proveedor no tiene las debidas patentes y autorizaciones para que sus usuarios utilicen libremente los servicios.

Recuperación ante desastres y continuidad del negocio

Los usuarios requieren que sus operaciones y servicios siempre estén disponibles, por lo tanto los entornos de producción del proveedor en la nube deben estar sujetos a estándares de contingencia y restauración ante desastres, ello permite fortalecer la confianza.

Incidentes de seguridad

El proveedor debe informar a los inquilinos y/o usuarios de cualquier infracción o vulnerabilidad de seguridad. Los inquilinos o usuarios pueden requerir compatibilidad del proveedor para responder a la auditoría o resultados de la evaluación. También, un proveedor puede no ofrecer apoyo suficiente a los inquilinos o usuarios para resolver las investigaciones.

Transparencia

Si un proveedor de servicios cloud computing no expone al dominio público información detallada de su infraestructura tecnología y de sus estrategias para dar cumplimiento a las demandas, es de esperar que los usuarios perderán la confianza hacia el proveedor y sobre sus políticas de seguridad. Aun cuando se tenga todo en orden, los usuarios pueden requerir algunos aspectos de transparencia por parte de los proveedores, como el modo administran la seguridad de la nube, así como la privacidad e incidentes de seguridad.

Pérdida de control físico

Los proveedores deben proporcionar, así como garantizar a los inquilinos y usuarios el suficiente control físico sobre sus datos y aplicaciones, de lo contrario esto puede dar lugar a una gama de preocupaciones:

  • Privacidad de datos: con nubes públicas o de comunidad, los datos no pueden permanecer en el mismo sistema, ya que pueden ocasionar varios problemas legales.
  • Control de datos: los datos podrían proceder del proveedor de diversas maneras con algunos datos que pertenecen a otras personas.
  • Confianza al proveedor: los inquilinos necesitan de un proveedor de confianza que les ofrezca un control adecuado y el reconocimiento de la necesidad de adaptar sus expectativas para el control, pues es razonable dentro de estos modelos.

Nuevos riesgos y vulnerabilidades

Existe preocupación que la Cloud Computing trae nuevas clases de vulnerabilidades y riesgos, sin embargo estos son hipotéticos, aunque los ataques reales en gran medida será por deficiencias en la implementación de estándares de seguridad, ello se debe a que todo el software, hardware y equipos de red están sujetos a desarrollar nuevas vulnerabilidades. Ante esto, la seguridad siempre debe aplicarse por capas y con adecuados procesos operacionales, se puede logar proteger una nube de ataques comunes, incluso si algunos de sus componentes son intrínsecamente vulnerables.

Legal y cumplimiento de normas

Puede ser difícil o poco realistas el uso de permisos en las nubes públicas si los datos están sujetos a restricciones legales o cumplimiento de normas. Pero es muy importante que los proveedores generen y certifiquen Cumplimiento de normasinfraestructuras cloud para satisfacer las necesidades del mercado.

Los retos que deben enfrentar día con día los proveedores de servicios en la nube son muchos, debido a que siempre surgen nuevas amenazas que vulneran la estabilidad de los sistemas y por consiguiente dejan al usuario susceptible a todo tipo de problemáticas que deben solucionarse desde diferentes puntos, sin embargo es responsabilidad de los proveedores proporcionar a sus clientes la seguridad y calidad máxima para blindar los sistemas ante ataques, que ocasionan la pérdida de confianza, esto se logra mediante la implementación de estrategias, herramientas, medidas (prevención, contingencia y solución) ante fallos, así como normas que garanticen el completo respaldo de los datos, la privacidad de los usuarios, disponibilidad de los servicios, la usabilidad, accesibilidad y funcionalidad de los sistemas, entre otros aspectos, mismos que deben estar encaminados a proporcionar la máxima calidad.

Dentro del mismo contexto, hay en México empresas especializadas en brindar servicios en la nube que cubren lo anteriormente planteado, pues se preocupan por que sus clientes estén satisfechos y conformes con lo que reciben, es el caso de Villanett, que ofrece Software en la Nube para la administración empresarial y de recursos, además de contabilidad y facturación electrónica, siempre sujetos a los más altos estándares de calidad.

Software en la Nube

Gestión de Claves en la Cloud Computing

Para mantener nuestros datos seguros, existen herramientas y métodos como la Gestión de claves, que es fundamental para la Gestión de Clavesseguridad de un criptosistema y se refiere a las claves a nivel de usuario e incluye generar, intercambiar, almacenar, usar y reemplazar las llaves, además posee protocolos criptográficos de diseño, servidores de claves, procedimientos de usuario y otros protocolos.

 

 

Es preciso mencionar que las organizaciones definan una política de gestión de claves, que es un conjunto de reglas que establecen el modo en que se generan, almacenan, distribuyen, borran, actualizan, recuperan, protegen y aplican las claves en una red; también se establece al personal que estará autorizado a realizar dichas acciones.

Motivos por los que se debe establecer una política de gestión de claves:

  • Para que las claves no queden expuesta al usarse, estas deben renovarse frecuentemente.
  • Es recomendable usar claves diferentes para servicios diferentes, con el fin de minimizar la exposición de las claves.
  • Deben asignarse claves diferentes a cada persona o grupo que acceden a una red, de tal manera que sólo las personas autorizadas tengan acceso a determinada información.
  • Las claves que por alguna razón se vuelven inseguras o aquellas que ya no son usadas deben ser eliminadas del sistema para evitar comprometer la información.

Sistemas de gestión de claves

  1. Bell ID Key Manager: ofrece una Bell ID Key Managerfuncionalidad de gestión de claves completo para todos los tipos de fichas/aplicaciones de pago y se ocupa del proceso de gestión del almacenamiento, distribución, importación y ciclo de vida de las claves criptográficas.
  1. Cryptsoft KMIP C: permiten la rápidaCryptsoft KMIP C incorporación de la funcionalidad de gestión de claves interoperable OASIS KMIP a su aplicación existente, proporcionando el integrador con una solución completa de gestión de claves independiente del proveedor.
  1. Gazzang zTrustee: es un gestorGazzang zTrustee de claves criptográficas que certifica y almacena archivos de configuración, fichas y cualquier otra “objeto opaco”.
  2. HP Enterprise Secure Key Manager: HP Enterprise Secure Key Managerpermite proteger y asegurar el acceso continuo a las claves de cifrado de los datos en reposo, datos confidenciales e importantes para la empresa, tanto en forma local como remota.
  1. RSA Data Protection Manager: permiteRSA Data Protection Manager aprovechar una única plataforma para una verdadera gestión de claves de toda la empresa a través de la infraestructura para el cifrado de cosecha propia.
  1. QuintessenceLabs Key Manager:QuintessenceLabs Key Manager proporciona protección de datos líder en el mercado, a través de un cifrado integrado, gestión de claves y la solución de generación de claves.
  2. IBM Tivoli clave Lifecycle Manager:IBM Tivoli clave Lifecycle Manager simplifica y automatiza el proceso de gestión de claves y cifrado para minimizar los riesgos y reducir los costes operativos.
  1. KEYper sistemas: este software o herramientaKEYper sistemas es ideal para la organización de llaves y activos, lo cual proporciona mayor seguridad a todos los datos e información sensible que poseas.
  1. Keytracker Ltd: una Keytracker Ltdsolución para la gestión y seguridad de las claves valiosas y activos.
  2. Oracle Key Manager: asegura y gestionaOracle Key Manager todas las claves de cifrado, lo que reduce la exposición de los datos sensibles y la garantía de fiabilidad y seguridad.

Normas para Proteger una Clave

  • No permitir ninguna cuenta sin contraseña.
  • No mantener las contraseñas por defecto del sistema.
  • Nunca compartir con nadie la contraseña.
  • No escribir la contraseña en ningún sitio.
  • No teclear la contraseña si hay alguien mirando.
  • No enviar la contraseña por correo electrónico, ni mencionarla en una conversación.
  • No mantener una contraseña indefinidamente.

Clases de claves

Cadenas de caracteres

Las claves o contraseñas son cadenas de caracteres alfanuméricas y con símbolos, que pueden ir de las más sencillas (numéricas) hasta las más complejas combinaciones de caracteres, números y símbolos que se recomienda emplear para proteger la información más sensible.

Cadenas de caracteres más un token

En este nivel las cadenas de caracteres que se utilizanClases de claves consisten en letras, números y símbolos más un token o ficha de algún tipo, como un número personal identificativo o PIN, ya que son más robustos, dado que si pierdes u olvidas alguno de los dos requerimientos tu acceso será denegado.

Claves biométricas

Consisten en utilizar alguna característica no reproducible, a través de técnicas matemáticas y estadísticas sobre los rasgos físicos o de conducta de un individuo para su autentificación, como son las estáticas: huellas dactilares, la retina, el iris, los patrones faciales, de venas de la mano o la geometría de la palma de la mano. Así como las dinámicas: la firma, el paso y el tecleo.

Aun cuando en la práctica, la gestión de claves podría decirse que es el aspecto más difícil de criptografía, pues trata de directivas del sistema, formación de usuarios, interacciones organizacionales y departamentales, además de la coordinación entre todos estos elementos. Es muy importante tener en cuenta que una buena gestión de claves es crucial para asegurarse de la integridad de nuestros ficheros de claves y de los integrantes que conforman todo el sistema dentro de la organización. Por lo anterior, las empresas que proporcionan a sus clientes servicios basados en las tecnologías de la información y comunicación se han esforzado y especializado en mejorar sus mecanismos de seguridad para brindar servicios de calidad, es el caso de la empresa Villanett, que proporciona software en la nube contable y de administración de empresas con la más alta seguridad en el mercado.

alta seguridad

El Cifrado de Seguridad en la Cloud Computing

La seguridad informática entorno a la Computación en la Nube se ha convertido en algo básico para proporcionar los servicios de forma adecuada, ante ello han surgido diversos mecanismos y técnicas para incrementar la protección de los Cifrado de Seguridaddatos, como es el caso del Cifrado o también llamado encriptación, que es un método o proceso para incrementar la seguridad y ocultar determinada información legible (mensaje, archivo, etc.) para todos, mediante la codificación del contenido por medio de un algoritmo o cifra que lo hace invisible a terceras partes y visible al destinatario predefinido introduciendo la clave del cifrado.

Esto se utiliza cuando se desea un alto nivel de protección de la información, por ejemplo: si realiza una compra en un sitio web, la información de la transacción (como su dirección, número de teléfono y número de tarjeta de crédito) suele cifrarse con el fin de mantenerla a salvo

Para las organizaciones proveedoras de servicios TI manejar adecuadamente la información puede hacer que la compañía no sufra de las consecuencias de un ataque, principalmente en términos de prestigio y confianza de sus clientes, dado que cifrar los datos implica que cada vez que se quiera acceder a los mismos, se deban descifrar, lo que agrega un nivel de complejidad al acceso simple. A todo esto, surgen ciertas preguntas como ¿Por qué hay que cifrar la información importante en una empresa? O ¿Cuáles son los beneficios de hacerlo?

Tipos de sistemas de cifrado:

Simétrico: El emisor utiliza la misma clave para el cifrado y descifrado, estos algoritmos son rápidos y eficientes con claves relativamente complejas, siendo particularmente adecuado para grandes conjuntos de datos y en consecuencia, es importante mantenerlo en secreto. Algunos algoritmos de este tipo son:

  • Blowfish
  • IDEA
  • DES

Asimétrico: Este método es especialmente popular para cifrar mensajes de correo electrónico, para garantizar la confidencialidad y para certificar la autenticidad de las firmas digitales. Existen dos claves, una pública y una privada, ejemplos de este cifrado son:

  • DSA
  • RSA
  • Diffie-Hellman

Cifrado híbrido: A menudo las conexiones seguras de Internet constan de una combinación de cifrado simétrico y asimétrico, pues aprovechan la ligereza de uno y la fortaleza del otro, lo cual garantiza una conexión segura. Algunas de los más habituales métodos de cifrado de datos son:

Secure Socket Layer (SSL)

Es un protocolo criptográfico que proporciona comunicaciones seguras en Internet. Esta seguridad permite autenticar los servidores de comunicación (mediante certificados) y para el intercambio de claves de forma segura entre cliente y servidor, cifrando la información de forma simétrica. Esta capa de seguridad se puede aplicar en diversos ámbitos:

  • HTTPS: Protocolo http seguro
  • FTP: protocolo de intercambio de ficheros. Puede utilizar SSL para ser seguro.
  • SMTP: protocolo de correo. Puede utilizar SSL para ser seguro.

Firma digital

Permite asociar la identidad de una persona o máquina a un documento como autor del mismo y para incorporar las firmas digitales, se calculan los datos de la firma, que se obtienen de aplicar cierto algoritmo matemático. El receptor del documento deberá extraer la firma cifrada para descifrarla a través de las herramientas tecnológicas necesarias.

Virtual Private Network (VPN)

La red privada virtual es una red con las características de una LAN, pero está extendida sobre una red pública como Internet; esto es, tiene el control y la seguridad que ofrece una red LAN pero topológicamente tiene un ámbito descontrolado e inseguro como es Internet. Para garantizar la seguridad de la red VPN y las características que debe cumplir, se usan protocolos de comunicación segura como IPSec, SSL, PPTP, MPPE o L2TP.

Beneficios del cifrado

  • Proteger la información confidencial de una organización: la encriptación ayuda a proteger Información delicada, como los datos financieros, de los colaboradores, procedimientos o políticas internas, entre otros.
  • Proteger las comunicaciones de una organización: el cifrado es comúnmente asociado con las transmisiones de datos, dado que los mensajes enviados por una empresa suelen viajar por canalesBeneficios del cifrado o infraestructura externa, como Internet, y son susceptibles a ser interceptados.
  • Proteger la imagen y el prestigio de una organización: existe cierta información que si es robada, puede dañar la imagen corporativa, afectando considerablemente a la empresa y llevándola a pérdidas irrecuperables.
  • Proteger dispositivos móviles e inalámbricos: es importante asegurarse de que ningún tercero esté autorizado pueda acceder a la información de teléfonos celulares, tablets o computadoras portátiles, debido a que pueden ser extraviados y/o robados.

Las 10 mejores aplicaciones de cifrado

  1. DiskCryptor es una solución Open Source para el cifradoDiskCryptor de particiones y discos duros completos. Esta puede cifrar archivos, particiones o dispositivos de almacenamiento externo USB, así mismo incluye algoritmos de cifrado tales como AES, Twofish y Serpen.
  2. GNUGPG es una implementación libre GNUGPG de PGP (Pretty Good Privacy) que permite el cifrado de comunicaciones y firma de datos.
  1. OpenSSH es una herramienta de OpenSSHacceso remoto a través del protocolo IP y es la alternativa perfecta al protocolo Telnet, en ella podemos conectarnos de manera segura a un dispositivo en la red, pues incluye capacidad de Tunneling y autenticación.
  1. OpenSSL es la implementación del protocolo SSL OpenSSL (Secure Socket Layer) permite el cifrado de información a través de la red y es comúnmente utilizado para realizar de manera segura la mayoría de transacciones financieras en línea. También es utilizado como solución de VPN (Virtual Private Network) como alternativa al protocolo IPSEC, principalmente en la conectividad de usuarios remotos.
  1. TOR ayuda a mantener nuestra TOR privacidad mientras navegamos por Internet, nos permite la conexión a una red P2P (Peer to Peer) totalmente cifrada utilizando el algoritmo de encriptación AES.
  1. AxCrypt es una herramienta fácil de AxCryptusar y que utiliza cifrado AES de 128-bit, permite comprimir y cifrado archivos para ahorrar espacio, además soportar archivos de gran tamaño (más de 4GB).TrueCrypt
  2. TrueCrypt crea una unidad virtual en la que puedes colocar todos tus archivos y carpetas a proteger, ofrece varios algoritmos de cifrado y gran velocidad para perder el menor tiempo posible.
  3. AES Crypt ofrece cifrado AES de 256-bitAES Crypt y se integra en el menú contextual para que cifres y descifres archivos de forma avanzada.

 

  1. Cloudfogger perCloudfogger mite cifrar archivos en Windows, OS X, iOS y Android, está enfocada a los servicios de almacenamiento online y ofrece cifrado AES de 256-bit.

 

10. Conceal es un programa de cifrado siConceal mple, solo se arrastra uno o más archivos a la ventana principal del programa y los cifrarás o descifrarás.

La información es uno de los recursos más importantes en una empresa, desde la más pequeña hasta la más grande, pues si la información sensible de una compañía llegara a caer en las manos equivocadas, pueden producirse perjuicios económicos, pérdidas de ventaja competitiva o incluso significar el cierre de la empresa, siendo indispensable protegerla ante todos los riesgos que existen. Ejemplo de compañías con la adecua seguridad en sus sistemas es la empresa Villanett, que ofrece software en la nube para la gestión y administración de las organizaciones de empresarios o emprendedores, mediante el Sistema ERP Villanett Venta ©, que es totalmente personalizable según las necesidades de la organización (cliente) que solicita dicho servicio.

Información sensible

El Monitoreo de Red en la Cloud Computing

Aunado a los métodos y herramientas de seguridad expuestas en otros artículos (Firewall y Segmentación de Red) encontramos que otro de los mecanismos de protección para la computación en la Monitoreo de Rednube es el llamado Monitoreo de Red, este es un subconjunto de funciones para la administración de redes, que tiene la función de buscar problemáticas causadas por la sobrecarga y/o fallas en los servidores, así como problemas de la infraestructura de red u otros dispositivos, ello con el propósito de informar a los administradores de redes mediante correo electrónico u otras alarmas para emprender acciones de contingencia y solución.

Mientras que para la revista de tecnología informática y electrónica PC Magazine significa “Monitoreo de una red activa de comunicaciones para diagnosticar problemas y recopilar estadísticas por la administración y ajustamiento de la red”.

Sin duda las empresas proveedoras de servicios en la nube incorporan este tipo de herramientas para brindar seguridad y soporte a sus redes, para que de esta manera los clientes y sus datos estén bien protegidos y tengan mayor confianza; es por ello que deben tener en cuenta ciertas características a la hora de evaluar un software de monitoreo de red, como son:

  • Comunicación de las alertas.
  • Integraciones con servidores externos.
  • Usabilidad y presentación de los datos en el panel.
  • Flexibilidad a la hora de adaptarse a herramientas o software particulares.
  • API de acceso desde sistemas externos.
  • Detección de dispositivos de forma automática.
  • Integraciones con Bases de Datos
  • Multidispositivo
  • Escalado
  • Soporte del mayor número de protocolos de adquisición de datos posible
  • Seguridad
  • Integración con máquinas virtuales
  • Integraciones hardware
  • Control remoto
  • Inventario de Hardware y Software
  • Geolocalización
  • Monitorización de la nube

Ejemplos de Aplicaciones

TCPDump: Esta herramienta permite monitorear a través de la consola de Linux todos los paquetes que atraviesen la interfaz indicada.

Wireshark: Permite capturar tramas y paquetes que pasan a través de una interfaz de red. Cuenta con todas las características estándar de un analizador de protocolos.

Hyperic: Administra infraestructuras virtuales, físicas y en la nube.

Nagios: Sistema de monitoreo que permite a cualquier empresa identificar y resolver cualquier error critico antes de que afecte los procesos de negocio.

Pandora FMS: Otorga a cualquier empresa la posibilidad de monitorizar en un mismo panel redes, sistemas, servidores, aplicaciones y procesos de negocio.

Al paso del tiempo y en los últimos 20 años la tecnología, así como la internet han ido avanzando conjuntamente, brindando nuevas formas de comunicación, entretenimiento y áreas de trabajo, pero también los sistemas de seguridad cibernética han tenido que innovar y evolucionar, desde la primera generación asociada a aplicaciones propietarias para monitorear dispositivos activos o inactivos; pasando por la segunda generación (aplicaciones deSistemas de seguridad análisis de parámetros de operación a profundidad) y tercera generación referente a aplicaciones de análisis punta a punta con enfoque a servicio; llegando a la actual cuenta generación, especializada en la personalización de indicadores de desempeño de los procesos de negocio, como son el monitorean el Desempeño de Aplicaciones (APM), donde convergen elementos de tecnología (“Backend”) con los sistemas de los que forman parte, y éstos con las aplicaciones que integran para llevar a cabo las transacciones que impulsan los procesos de negocio (“Frontend”). Estas herramientas permiten tener información simultánea:

  • Predicciones de desempeño.
  • Modelado de escenarios (simulación y emulación).
  • Análisis y planeación de capacidad.
  • Funcionalidades de ajustes a las configuraciones.
  • Mediciones de impacto al negocio (calidad, salud y riesgos en los servicios prestados).
  • Experiencia del usuario.

Tipos de Monitoreo

Monitoreo activoMonitoreo activo

Es realizado implantando paquetes de pruebas en la red, o enviando paquetes a determinadas aplicaciones y midiendo sus tiempos de respuesta, teniendo como característica agregar tráfico en la red y es empleado para medir el rendimiento de la misma.

Técnicas de monitoreo activo:

Basado en ICMP

  1. Diagnosticar problemas en la red.
  2. Detectar retardo, pérdida de paquetes.
  3. RTT
  4. Disponibilidad de host y redes.

Basado en TCP

  1. Tasa de transferencia.
  2. Diagnosticar problemas a nivel de aplicación

Basado en UDP

  1. Pérdida de paquetes en un sentido (one – way)
  2. RTT (tracerroute)
Monitoreo PasivoMonitoreo Pasivo

Basado en la obtención de datos a partir de recolectar y analizar el tráfico que circula por la red, además no agrega tráfico a la red como lo hace el activo y es utilizado para identificar el tráfico en la red y contabilizar su uso.

Técnicas de monitoreo pasivo:

  • Mediante SNMP: Permite obtener estadísticas sobre la utilización de ancho de banda en los dispositivos de red, para ello se requiere tener acceso a dichos dispositivos.
  • Mediante Scripts: Se pueden realizar scripts que tengan acceso a dispositivos remotos para obtener información importante a monitorear.
  • Mediante Puerto espejo: Crea una copia del tráfico que se recibe en un puerto hacia otro donde estará conectado el equipo que realizará la captura.
  • Mediante Captura de tráfico: Mediante la instalación de un dispositivo intermedio que capture el tráfico, el cual puede ser una computadora con el software de captura o un dispositivo extra. Esta técnica es utilizada para contabilizar el tráfico que circula por la red.
  • Mediante Análisis del tráfico: Utilizado para identificar el tipo de aplicaciones que son más utilizadas y es capaz de clasificar el tráfico por aplicación, direcciones IP origen y destino, puertos origen y destino, etc.
  • Mediante Flujos: Pueden ser obtenidos de ruteadores o mediante dispositivos que sean capaces de capturar tráfico y transformarlo en flujos, así mismo es usado para tareas de facturación.

Según T. Saydam y Magedanz T “La gestión de redes incluye el despliegue, integración y coordinación del hardware, software y los elementos humanos para monitorizar, probar, sondear, configurar, analizar, evaluar y controlar los recursos de la red para conseguir los requerimientos de tiempo real, desempeño operacional y calidad de servicio a un precio razonable”.

A todo ello, es importante definir el alcance de los dispositivos de monitoreo, así como el espectro a analizar en cada uno de ellos logrando de esta forma una estrategia de monitoreo eficiente, donde los ejecutivos de TI presenten la información de su operación, para que con ello las organización disponga de elementos suficientes para reconocer y fomentar la importancia de la tecnología como un componente habilitador del negocio. Dentro del mismo contexto, donde las empresas proveedoras de servicios TI en la nube deben estar a la vanguardia en seguridad y protección de sus recursos e infraestructura, en México encontramos la empresa Villanett, que ofrece el software en la nube Villanett Venta © el cual permite administrar una gran cantidad de procesos, relacionados con la contabilidad, gestión del personal, control de inventario, vinculación con proveedores, etc., para empresas o emprendedores.

Monitoreo eficiente

Segmentación de Red en la Cloud Computing

Conforme han avanzado los años, tanto la “Cloud Computing”, el gran consumo de las TI, como la explosión de las aplicaciones están impulsando a todos a utilizar la tecnología en nuevas formas, por Segmentación de Redesto los departamentos seguridad se ven obligados a innovar sus sistemas, ejemplo de esto es la denominada segmentación de red, pero se preguntaran ¿Qué es? o ¿Para qué sirve?, bien, esta consiste en dividir en subredes la red para poder aumentar el número de ordenadores conectados a ella y así aumentar el rendimiento, tomando en cuenta que existe una única topología, un mismo protocolo de comunicación y un solo entorno de trabajo.

La segmentación de red permite a los equipos una mayor seguridad, con los requerimientos necesarios para proteger de forma dinámica y versátil la infraestructura y los servicios de red.

Un segmento es un bus lineal, troncal o backbone al cual están conectadas varias estaciones y sus características son:

  • Cuando se tiene una red grande se divide en trozos llamados segmentos.
  • Para interconectar varios segmentos se utilizan bridges o routers.
  • Al dividir una red en segmentos, aumenta su rendimiento.
  • A cada segmento y a las estaciones conectadas a él se le llama subred.

Cuando se segmenta una red, se están creando subredes que se auto-gestionan, de forma que la comunicación entre segmentos solo se realiza cuando es necesario, mientras tanto, la subred está trabajando de forma independiente.

Los dispositivos utilizados para segmentar la red debe pueden ser hubs, repetidores, bridges, routers o gateways, así mismo deben ser capaces de auto-gestionarse, decidiendo que segmento va a enviar la información que llego a él. Es por ello, que la segmentación de una red se hace necesaria cuando:

  • Se va a sobrepasar el número de nodos que la topología permite.
  • Mejorar el tráfico de una red.

Para implementar adecuadamente la segmentación de una red se deben tener en cuenta cuatro pasos clave:Pasos de segmentación

Paso 1. Ganar visibilidad: Si no se reconoce el tráfico de un segmento sobre las comunicaciones entrantes y salientes, entonces los controles de acceso implementados fallarán.

Paso 2. Proteger las comunicaciones y recursos de solicitudes entrantes y salientes: Si no se posee la capacidad de proporcionar la protección a los recursos dentro de un segmento, los objetivos planteados no se cumplirán.

Paso 3. Implementar controles sobre tráfico, usuarios y activos: Todos los datos que entran y salen de un segmento deben ser controlados.

Paso 4. Establecer una denegación predeterminada en todas las comunicaciones entre segmentos: Después de haber alcanzado la visibilidad, las comunicaciones están protegidas y se ha implementado una política de acceso, es momento de ejecutar este último paso.

Clases de redes

Clase A. El primer byte tiene un número comprendido entre 1 y 126. Estas direcciones utilizan únicamente este primer byte para identificar a la red, quedando los otros bytes disponibles para cada uno de los host que pertenezcan a la red. Esto significa que podrán existir más de dieciséis millones de ordenadores en cada una de las redes de esta clase.

Clase B. Estas direcciones ocupan en su primer byte un número de entre 128 y 191. En este caso el identificador de la red se obtiene de los dos primeros bytes de la dirección. Los dos últimos bytes de la dirección constituyen el identificador del host permitiendo, por consiguiente, un número máximo de 64516 ordenadores en la misma red.

Clase C. El valor del primer byte, en estas direcciones, es de entre 192 y 223, utilizando los primeros tres bytes para el número de la red. El ultimo byte de la dirección, permitiendo un número máximo de 254 ordenadores.

Tipos de segmentación

La red LAN está conformada por múltiples segmentos de red conectados a la red de área local principal, de esta forma los segmentos podrán comunicarse entre sí y cubrir las necesidades requeridas, siendo los dos tipos de segmentaciones más comunes los siguientes:

  1. Segmentación mediante switches: Una LAN Ethernet permite que la topología LAN funcione más rápida y eficientemente que una LAN Ethernet estándar, ya que usa el ancho de banda de modo muy eficiente. En esta implementación Ethernet el ancho de banda disponible puede alcanzar casi un 100%.
  2. Segmentación mediante routers: Cada interfaz (conexión) del router se conecta a una red distinta, de modo que al insertar el router en una LAN se crean redes más pequeñas, donde el router puede ejecutar la selección de mejor ruta y puede utilizarse para conectar distintos medios de red (una zona con fibra óptica y otra con UTP) y distintas tecnologías de LAN simultáneamente.

Para concluir y repasar lo ya descrito en este tema, la segmentación de una red permitirá aumentar simultáneamente la cantidad de estaciones u ordenadores que requieran conectarse a una misma red que trabaje de forma independiente, aumentando así el rendimiento de la red; esto es posible siempre y cuando se tengan en cuenta el uso de una misma topología, un mismo Rendimiento de la redprotocolo de comunicación y un entorno de trabajo común.

Sin duda, las nuevas tendencias e innovaciones en seguridad en la “Cloud Computing” han creado un negocio más competitivo, con mayor productividad y nuevas oportunidades de mercado globales, dando como resultado una reacción en cadena para modernizar a las empresas en el ámbito de las TIC´s para obtener más rendimiento y velocidad de los servicios virtualizados, ejemplo de esto es Villanett, especializada en proporcionar software en la nube enfocado al área administrativa y contable de las organizaciones.

El Firewall de Seguridad en la Cloud Computing

En previos artículos habíamos estado hablando de la seguridad y sus componentes principales del servicio de Cloud Computing, uno de ellos es el llamado firewall o cortafuegos, que es un dispositivo o conjunto de dispositivos Firewall configurados para permitir, limitar, cifrar y descifrar el tráfico entre los diferentes ámbitos.

En otras palabras está diseñado para bloquear el acceso no autorizado, permitiendo al mismo tiempo comunicaciones autorizadas sobre la base de un conjunto de normas y otros criterios; estos pueden ser implementados en hardware o software, o en una combinación de ambos, siendo sus principales objetivos:

  1. Restricción y control de usuarios no autorizados por la red interna.
  2. Prevención ante intrusos al interior de la red y sobre las defensas establecidos.
  3. Restricción de uso de servicios.
  4. Determinar quiénes pueden utilizar los servicios y recursos de red pertenecientes a la organización.

Tipos de firewall

  • Nivel de aplicación de pasarela: Aplica mecanismos de seguridadTipos de firewall para aplicaciones específicas, tales como servidores FTP y Telnet.
  • Circuito a nivel de pasarela: Aplica mecanismos de seguridad cuando una conexión TCP o UDP es establecida.
  • Cortafuegos de capa de red o de filtrado de paquetes: Funciona a nivel de red (capa 3 del modelo OSI, capa 2 del stack de protocolos TCP/IP) como filtro de paquetes IP. A este nivel se pueden realizar filtros según los distintos campos de los paquetes IP: dirección IP origen, dirección IP destino.
  • Cortafuegos de capa de aplicación: Trabaja en el nivel de aplicación (capa 7 del modelo OSI), de manera que los filtrados se pueden adaptar a características propias de los protocolos de este nivel.
  • Cortafuegos personales: Se instala como software en un ordenador, filtrando las comunicaciones entre dicho ordenador y el resto de la red.

En este recorrido ya se ha visto que es en si el Firewall, sus objetivos y tipos, pero ¿Qué políticas de configuración existen? Sin duda hay muchas, pero existen dos políticas básicas que cambian radicalmente la filosofía fundamental de la seguridad en la organización:

  1. Política restrictiva: Es la más segura y suele utilizarse por las empresas y organismos gubernamentales, pues deniega todo el tráfico, excepto el que está explícitamente permitido.
  2. Política permisiva: Suele ser utilizada en universidades, centros de investigación y servicios públicos de acceso a Internet, en ella se permite todo el tráfico excepto el que esté explícitamente denegado.

Clases de filtros

Filtrado de paquetes Stateless o “sin estado”: Un sistema de firewall opera según el principio del filtrado simple de paquetes, este usualmente se aplica en dispositivos de capa de red e implementa conjuntos de reglas estáticas que examinan los encabezados de cada paquete para permitir o denegar el tráfico, sin ninguna relación con los flujos de tráfico precedentes.

Filtrado de paquetes Stateful o “con estado”: El Filtrado de paquetesClases de filtros Stateless sólo intenta examinar los paquetes IP independientemente, lo cual corresponde al nivel 3 del modelo OSI (Interconexión de sistemas abiertos). Sin embargo, el filtrado stateful es un método de filtrado de paquetes que trabaja a nivel de flujo o conexión, con ocasionales intervenciones a nivel de la aplicación. El mecanismo asume que si se permite el inicio de la conexión, cualquier conexión adicional que requiera esa aplicación será permitida.

Filtrado de aplicaciones: El filtrado de aplicaciones permite filtrar las comunicaciones entre cada aplicación, lo que implica el conocimiento de los protocolos utilizados por cada aplicación. Pero hay que tener presente que no hay “proxies” disponibles para todas las aplicaciones corporativas y no se aplican a aplicaciones de tiempo real.

También en el mundo del Firewall existen una serie de reglas y funcionalidades que se utilizan para construir las bases en las que se sustentará, entre ellas están:

  • Administrar los accesos de los usuarios a los servicios privados de la red como por ejemplo aplicaciones de un servidor.
  • Registrar todos los intentos de entrada y salida de una red. Los intentos de entrada y salida se almacenan en logs.
  • Filtrar paquetes en función de su origen, destino, y número de puerto. Esto se conoce como filtro de direcciones.
  • Filtrar determinados tipos de tráfico en nuestra red u ordenador personal, lo cual permite aceptar o rechazar el tráfico en función del protocolo utilizado. Distintos tipos de protocolos que se pueden utilizar son http, https, Telnet, TCP, UDP, SSH, FTP, etc.
  • Controlar el número de conexiones que se están produciendo desde un mismo punto y bloquearlas en el caso que superen un determinado límite.
  • Controlar las aplicaciones que pueden acceder a Internet y restringir el acceso a ciertas aplicaciones,
  • Detección de puertos que están en escucha y en principio no deberían estarlo.

¿Por qué un firewall?

Para concluir, elegir un cortafuego permitirá proteger una red privada contra intrusos dentro de un esquema de conectividad a Internet, teniendo como propósito prevenir el acceso de usuarios no autorizados a los recursos computacionales en una red privada y a menudo prevenir el tráfico no autorizado de información propietaria hacia el exterior. Ante ello, un cortafuego correctamente configurado añade una protección necesaria a la red, pero que en ningún caso debe considerarse suficiente. La seguridad informática abarca más ámbitos y más niveles de trabajo y protección. Ejemplo de empresas en México que utilizan este tipo de protección para sus redes es Villanett, especializada en proporcionar software en la nube enfocado al área administrativa y contable de las organizaciones.

Cortafuego

Procesos de Seguridad en la Cloud Computing

La Computación en la Nube y su seguridad ha permitido el surgimiento de nuevas ramas de marcado y diferentes puestos de trabajo, pues posibilita el Seguridad en la Cloud Computing“outsourcing” enfocado a la computación y a los servicios sin externalizar su control, así mismo, se basa en utilizar un modelo de pago por uso, mediante el acceso a Internet con banda ancha.

A pesar de todos sus grandes beneficios, también trae nuevas necesidades y retos que deben tomarse en cuenta para solucionarlos, siendo los más urgentes aquellos relacionados con la seguridad y privacidad de los clientes y sus datos, que dejan en manos de los proveedores de los servicios en la nube dichas acciones.

Componentes del Cloud Computing sobre seguridad

  1. Servicios de aprovisionamiento: La rápida reconstitución de servicios permite la disponibilidad (provisión en múltiples centros de datos de múltiples instancias) y las capacidades de honey-net
  2. Servicios de almacenamiento de datos: Permite la fragmentación y dispersión de datos, replicación automatizada, provisión de zonas de datos, el cifrado en reposo y en tránsito y la retención automatizada de datos.
  3. Infraestructura de procesamiento: Aporta la capacidad para proteger masters y sacar imágenes seguras, siendo algunos de los principales desafíos el multi-arrendamiento de aplicaciones, la dependencia en los hipervisores, el aislamiento de procesos y los mecanismos de sandbox para aplicaciones.
  4. Servicios de soporte: Esto permite los controles de seguridad bajo demanda, por ejemplo la autenticación, el logging, los firewalls, etc.
  5. Seguridad perimétrica y de red: Puede aportar protección contra la denegación de servicios distribuida o DDoS, las capacidades VLAN, la seguridad perimétrica como IAM/IDS/IPS, firewall, autenticación, etc.

Recomendaciones

El Instituto Nacional de Normas y Tecnología (NIST por sus siglas en inglés, National Institute of Standards and Technology) es una agencia de la Administración de Tecnología del Departamento de Comercio de los Estados Unidos. La misión de este instituto es promover la innovación y la competencia industrial en Estados Unidos mediante avances en metrología, normas y tecnología de forma que mejoren la estabilidad económica y la calidad de vida, presenta los siguientes puntos que deben tomarse en cuenta para obtener medidas más rigurosas en la privacidad y seguridad en la nube por parte de los proveedores.

Gobernanza: La gobernanza implica el control y la supervisión de las políticas, los procedimientos y los estándares para el desarrollo de aplicaciones, así como el diseño, la implementación, las pruebas y la monitorización de los servicios distribuidos. El cloud, por su diversidad de servicios y su amplia disponibilidad, amplifica laGobernanza necesidad de una buena gobernanza. Implantar políticas y estándares en la provisión de servicios cloud.

  • Establecer mecanismos de auditoría y herramientas para que se sigan las políticas de la organización durante el ciclo de vida.

Cumplimiento: El cumplimiento obliga a la conformidad con especificaciones estándares, normas o leyes establecidas. La legislación y normativa relativa a privacidad y seguridad varía según los países con diferencias, en ocasiones, a nivel nacional, regional o local haciendo muy complicado el cumplimiento en cloud computing.

  • Entender los distintos tipos de leyes y regulaciones y su impacto potencial en los entornos cloud.
  • Revisar y valorar las medidas del proveedor con respecto a las necesidades de la organización.

Confianza: En cloud computing la organización cede el control directo de muchos aspectos de la seguridad confiriendo un nivel de confianza sin precedentes al proveedor de cloud.

  • Incorporar mecanismos en el contrato que permitan controlar los procesos y controles de privacidad empleados por el proveedor.

Arquitectura: La arquitectura de una infraestructura cloud comprende tanto hardware como software. Las máquinas virtuales se utilizan como unidades de distribución del software asociadas a dispositivos de almacenamiento. Las aplicaciones son creadas mediante las interfaces de programación. Suelen englobar a múltiples componentes de la infraestructura que se comunicanAislamiento de Software entre sí a través de estas interfaces. Esta comunicación global de la infraestructura puede derivar en fallos de seguridad.

  • Comprender las tecnologías que sustentan la infraestructura del proveedor para comprender las implicaciones de privacidad y seguridad de los controles técnicos.

Identidad y control de acceso: Los datos sensibles y la privacidad se han convertido en la principal preocupación en lo que respecta a la protección de las organizaciones y el acceso no autorizado a los recursos de información. La alternativa de usar dos métodos de autenticación, uno para la organización interna y otro para los clientes, puede llegar a ser algo muy complicado. La identidad federada, que se ha vuelto popular con el crecimiento de las arquitecturas orientadas a servicios, puede ser una de las soluciones, pudiendo ser implementada de varias formas siguiendo el estándar SAML (del inglés, Security Assertion Markup Language) o el estándar OpenID.

  • Asegurar las salvaguardas necesarias para hacer seguras la autenticación, la autorización y las funciones de control de acceso.

Aislamiento de Software: Para alcanzar tasas altas de eficiencia, los proveedores deben asegurar tanto una provisión dinámica del servicio como el aislamiento de los suscriptores del servicio. La concurrencia de usuarios es realizada en entornos cloud mediante la multiplexación de la ejecución de las máquinas virtuales para los diferentes usuarios en un mismo servidor físico.

  • Entender la virtualización y otras técnicas de aislamiento que el proveedor emplee y valorar los riesgos implicados

Protección de datos: Los datos que se almacenan en entornos cloud suelen residir en equipamiento compartido por múltiples clientes. Por ello, las organizaciones que gestionan datos confidenciales en la nube deben preocuparse por la forma en que se accede a estos datos y garantizar que los mismos estén almacenados de forma segura.

Disponibilidad: La disponibilidad puede ser interrumpida de forma temporal o permanente. Los ataques de denegación de servicio, fallos del equipamiento y desastres naturales son todas amenazas a la disponibilidad.

  • Asegurarse que durante una interrupción prolongada del servicio, las operaciones críticas se pueden reanudar inmediatamente y todo el resto de operaciones, en un tiempo prudente.

Respuesta a incidentes: La labor del proveedor es básica en las actividades de respuesta ante la ocurrencia de algún incidente de seguridad. Esto incluye la verificación, el análisis del ataque, la contención, la recolección de evidencias, la aplicación de remedios y la restauración del servicio

  • Entender y negociar los contratos de los proveedores así como los procedimientos para la respuesta a incidentes requeridos por la organización.

Jean-Jacques Cockx, Vicepresidente en Europa de “Technology Consulting and Integration Solutions” para Unisys, menciona que: “Las pequeñas y medianas empresas poseen necesidades muy específicas en materia de soporte informático pero muy a menudo su complejidad es comparable a las necesidades de las grandes empresas. La dependencia de un soporte informático fiable, evolutivo y seguro es esencial para las empresas, ya sean pequeñas o grandes. Las consecuencias de una interrupción de un servicio informatizado, la pérdida o la corrupción de datos tienen el mismo efecto para una pequeña empresa como para una empresa grande”.

Ante todo ello, podemos concluir que los beneficios de la computación en la nube no solo son para las grandes corporaciones, sino también para las micro, pequeñas y medianas empresas, a su vez, una seguridad optima no solo es responsabilidad de los proveedores de este tipo de servicios, esto también recae sobre los clientes, que deben elegir al proveedor que cubra sus necesidades de infraestructura y seguridad que requieren. Ejemplo de este tipo de empresas, es la empresa especializada Villanett que ofrece software en la nube para la gestión y administración de las organizaciones de empresarios o emprendedores.

Computación en la nube