Cloud Security y en donde esta el piloto
2 recomendaciones1,477 vistas
El documento aborda los desafíos, riesgos y mejores prácticas en la seguridad y privacidad de los servicios en la nube, destacando incidentes de apagones y vulnerabilidades recientes. También ofrece recomendaciones y recursos de organizaciones como ISACA y la Cloud Security Alliance para ayudar a las empresas a asegurar sus operaciones en la nube. A pesar de los retos, se enfatiza la existencia de herramientas y normas que facilitan la gestión de la seguridad en este entorno.
Cloud Security y en donde esta el piloto
- 2. Agenda • Introducción • ¿Cuáles son los desafíos y riesgos? • Apagones Recientes • Seguridad y Privacidad en Cloud • Recomendaciones • 10 pasos para asegurar su éxito
- 4. ¿Que es Cloud? ¿Otra explicación mas de lo que es cloud?
- 5. ¿Que es Cloud? Lo que usualmente se piensa cuando escuchamos esta pregunta…
- 6. ¿Que se escucha y que se dice? Lo que quieren escuchar los CIOs y responsables IT…
- 7. Cuestiones básica para la toma de decisiones Lo que debemos preguntarnos acerca del negocio es…
- 8. ¿como vemos nosotros? Lo que vemos los profesionales de Seguridad
- 9. ¿y ahora quien podrá ayudarnos? Necesitamos ayuda ¿existen mejores practicas de seguridad en cloud?
- 10. ¿Donde empezar? Nos dicen que ir a la Cloud es Fácil…. La realidad nos muestra otra cosa..
- 11. ¿Qué se necesita? Necesitamos un plan. Pero sobre todo procesos y mejores practicas. Haciendo Fácil lo difícil
- 12. ¿Llegamos al Cloud y ahora? ¿Cuales son los desafíos y riegos? • Seguridad y confidencialidad de los datos • Gestión de Proveedores • Compliance • Fiabilidad, disponibilidad y rendimiento, SLA, etc. • Terminación de Servicios • Continuidad de negocio • Control de acceso y gestión de identidades • Gobierno • Integración • Protección de registros • Gestión de Incidencias
- 13. Apagones Recientes • Microsoft Cloud Service Azure Experimento apagones globales el- 13 de agosto 2014 - alrededor de 5 horas • Microsoft Exchange - 24 de junio 2014 - Casi 9 horas – Problemas de redes • Microsoft Lync - 23 de junio 2014 - varias horas – Problemas de enrutamiento • iCloud - 12 de junio 2014 - pocos horas • Feedly - 11 a 13 junio 2014 - de forma intermitente durante 3 días - DDoS attack • Evernote - 10 de junio 2014 - 10 + horas - DDoS attack • Adobe Creative Cloud - 16 de mayo 2014 - Alrededor de 28 horas - actividad de mantenimiento • Samsung Smart TV plataforma apagón mundial- 20 de abril 2014 a 4,5 días - fuego en una de las instalaciones en Corea del Sur, fue provocado por una falla. • Basecamp se desconecta - 24 de marzo 2014 - Alrededor de 2 horas - debido a DDoS attack • Google Apps - 17 de marzo 2014 - Alrededor de 3,5 horas - mantenimiento • Dropbox - 02 de marzo 2014 - Un poco menos de un hora • Gmail, Google Calendar, Google Docs, y Google+ fuera de línea - 24 de enero 2014 - Alrededor de una hora – Bug de software • Dropbox - 10 de enero 2014 - Alrededor de 2 días - una falla causada por scripting de actualizaciones del sistema operativo que se aplicarán en las máquinas funcionales durante la rutina de mantenimiento
- 14. Seguridad y Privacidad en Cloud The Notorious Nine: Cloud Computing Top Threats in 2013 https://cloudsecurityalliance.org/download/the-notorious-nine-cloud-computing-top-threats-in-2013
- 15. • “Empezó como un rumor que existían fotos personales hackeadas de los teléfonos de los famosos. Ejemplo la actriz Jennifer Lawrence y un puñados de otras.” – Rachel Zarrell Seguridad y Privacidad en Cloud • “Una vulnerabilidad importante fue identificada... en la plataforma online de Box y Dropbox que permite el descubrimiento de Links a archivos privados… Los datos pueden ser leídos por terceros e indexada por buscadores” – James Sanders • “Un problema de privacidad inquietante ha sido descubierto en Google Drive el cual podría haber resultado en acceso sin autorización de terceros a información sensible, personal y corporativa almacenada en la nube” - Graham Cluley
- 16. • “Empezó como un rumor que existían fotos personales hackeadas de los teléfonos de los famosos. Ejemplo la actriz Jennifer Lawrence y un puñados de otras.” – Rachel Zarrell Seguridad y Privacidad en Cloud • “Una vulnerabilidad importante fue identificada... en la plataforma online de Box y Dropbox que permite el descubrimiento de Links a archivos privados… Los datos pueden ser leídos por terceros e indexada por buscadores” – James Sanders • “Un problema de privacidad inquietante ha sido descubierto en Google Drive el cual podría haber resultado en acceso sin autorización de terceros a información sensible, personal y corporativa almacenada en la nube” - Graham Cluley
- 17. • “Empezó como un rumor que existían fotos personales hackeadas de los teléfonos de los famosos. Ejemplo la actriz Jennifer Lawrence y un puñados de otras.” – Rachel Zarrell Seguridad y Privacidad en Cloud • “Una vulnerabilidad importante fue identificada... en la plataforma online de Box y Dropbox que permite el descubrimiento de Links a archivos privados… Los datos pueden ser leídos por terceros e indexada por buscadores” – James Sanders • “Un problema de privacidad inquietante ha sido descubierto en Google Drive el cual podría haber resultado en acceso sin autorización de terceros a información sensible, personal y corporativa almacenada en la nube” - Graham Cluley
- 18. • “Empezó como un rumor que existían fotos personales hackeadas de los teléfonos de los famosos. Ejemplo la actriz Jennifer Lawrence y un puñados de otras.” – Rachel Zarrell Seguridad y Privacidad en Cloud • “Una vulnerabilidad importante fue identificada... en la plataforma online de Box y Dropbox que permite el descubrimiento de Links a archivos privados… Los datos pueden ser leídos por terceros e indexada por buscadores” – James Sanders • “Un problema de privacidad inquietante ha sido descubierto en Google Drive el cual podría haber resultado en acceso sin autorización de terceros a información sensible, personal y corporativa almacenada en la nube” - Graham Cluley
- 19. • “Empezó como un rumor que existían fotos personales hackeadas de los teléfonos de los famosos. Ejemplo la actriz Jennifer Lawrence y un puñados de otras.” – Rachel Zarrell Seguridad y Privacidad en Cloud • “Una vulnerabilidad importante fue identificada... en la plataforma online de Box y Dropbox que permite el descubrimiento de Links a archivos privados… Los datos pueden ser leídos por terceros e indexada por buscadores” – James Sanders • “Un problema de privacidad inquietante ha sido descubierto en Google Drive el cual podría haber resultado en acceso sin autorización de terceros a información sensible, personal y corporativa almacenada en la nube” - Graham Cluley
- 20. • “Empezó como un rumor que existían fotos personales hackeadas de los teléfonos de los famosos. Ejemplo la actriz Jennifer Lawrence y un puñados de otras.” – Rachel Zarrell Seguridad y Privacidad en Cloud • “Una vulnerabilidad importante fue identificada... en la plataforma online de Box y Dropbox que permite el descubrimiento de Links a archivos privados… Los datos pueden ser leídos por terceros e indexada por buscadores” – James Sanders • “Un problema de privacidad inquietante ha sido descubierto en Google Drive el cual podría haber resultado en acceso sin autorización de terceros a información sensible, personal y corporativa almacenada en la nube” - Graham Cluley
- 21. Igualmente, no todo esta Perdido Como mencionamos anteriormente, existen recomendaciones y mejores practicas… Para esta presentación contamos con el mejor y mas experimentado copiloto para recomendar guías y mejores practicas de seguridad en la nube
- 22. Igualmente, no todo esta Perdido Como mencionamos anteriormente, existen recomendaciones y mejores practicas… Para esta presentación contamos con el mejor y mas experimentado copiloto para recomendar guías y mejores practicas de seguridad en la nube
- 23. OTTO recomienda el uso de: ISACA – Security Considerations for Cloud Computing http://www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/Security-Considerations-for-Cloud-Computing.aspx
- 24. ISACA Cloud Resources – Security, Compliance and Risk Management OTTO recomienda el uso de: http://www.isaca.org/Knowledge-Center/Research/Pages/Cloud.aspx
- 25. OTTO recomienda el uso de: • 14 dominios: • Gobierno y Gestión de Riesgos en la Empresa • Aspectos legales: Contratos y Descubrimiento Electrónico • Cumplimiento Legal y Auditoría • Gestión de la Seguridad de la Información y de los Datos • Portabilidad e Interoperabilidad • Seguridad Tradicional, Continuidad de Negocio y Recuperación de Desastres • Operaciones de CPD • Respuesta, Notificación y Remediación ante incidentes • Seguridad de las Aplicaciones • Cifrado y Gestión de claves • Gestión de Identidades y de Acceso • Virtualización • Seguridad como Servicio CSA Security Guidance for Critical Ares of Focus in Cloud Computing V3.0 https://cloudsecurityalliance.org/research/security-guidance/#_overview
- 26. OTTO recomienda el uso de: CSA Cloud Controls Matrix (CCM) v3.0.1 https://cloudsecurityalliance.org/research/ccm/
- 27. OTTO recomienda el uso de: CSA Cloud Controls Matrix (CCM) v3.0.1 https://cloudsecurityalliance.org/research/ccm/ Application Security AIS-01 Data Focus Risk Assessments GRM-02 VMM Security - Hypervisor Hardening IVS-11 Customer Access Requirements AIS-02 Management Oversight GRM-03 Wireless Security IVS-12 Data Integrity AIS-03 Management Program GRM-04 Network Architecture IVS-13 Data Security / Integrity AIS-04 Management Support/Involvement GRM-05 APIs IPY-01 Audit Planning AAC-01 Policy GRM-06 Data Request IPY-02 Independent Audits AAC-02 Policy Enforcement GRM-07 Policy & Legal IPY-03 Information System Regulatory Mapping AAC-03 Policy Impact on Risk Assessments GRM-08 Standardized Network Protocols IPY-04 Business Continuity Planning BCR-01 Policy Reviews GRM-09 Virtualization IPY-05 Business Continuity Testing BCR-02 Risk Assessments GRM-10 Anti-Malware MOS-01 Datacenter Utilities / Environmental Conditions BCR-03 Risk Management Framework GRM-11 Application Stores MOS-02 Documentation BCR-04 Asset Returns HRS-01 Approved Applications MOS-03 Environmental Risks BCR-05 Background Screening HRS-02 Approved Software for BYOD MOS-04 Equipment Location BCR-06 Employment Agreements HRS-03 Awareness and Training MOS-05 Equipment Maintenance BCR-07 Employment Termination HRS-04 Cloud Based Services MOS-06 Equipment Power Failures BCR-08 Mobile Device Management HRS-05 Compatibility MOS-07 Impact Analysis BCR-09 Non-Disclosure Agreements HRS-06 Device Eligibility MOS-08 Policy BCR-10 Roles / Responsibilities HRS-07 Device Inventory MOS-09 Retention Policy BCR-11 Technology Acceptable Use HRS-08 Device Management MOS-10 New Development / Acquisition CCC-01 Training / Awareness HRS-09 Encryption MOS-11 Outsourced Development CCC-02 User Responsibility HRS-10 Jailbreaking and Rooting MOS-12 Quality Testing CCC-03 Workspace HRS-11 Legal MOS-13 Unauthorized Software Installations CCC-04 Audit Tools Access IAM-01 Lockout Screen MOS-14 Production Changes CCC-05 Credential Lifecycle / Provision Management IAM-02 Operating Systems MOS-15 Classification DSI-01 Diagnostic / Configuration Ports Access IAM-03 Passwords MOS-16 Data Inventory / Flows DSI-02 Policies and Procedures IAM-04 Policy MOS-17 eCommerce Transactions DSI-03 Segregation of Duties IAM-05 Remote Wipe MOS-18 Handling / Labeling / Security Policy DSI-04 Source Code Access Restriction IAM-06 Security Patches MOS-19 Non-Production Data DSI-05 Third Party Access IAM-07 Users MOS-20 Ownership / Stewardship DSI-06 Trusted Sources IAM-08 Contact / Authority Maintenance SEF-01 Secure Disposal DSI-07 User Access Authorization IAM-09 Incident Management SEF-02 Asset Management DCS-01 User Access Reviews IAM-10 Incident Reporting SEF-03 Controlled Access Points DCS-02 User Access Revocation IAM-11 Incident Response Legal Preparation SEF-04 Equipment Identification DCS-03 User ID Credentials IAM-12 Incident Response Metrics SEF-05 Off-Site Authorization DCS-04 Utility Programs Access IAM-13 Data Quality and Integrity STA-01 Off-Site Equipment DCS-05 Audit Logging / Intrusion Detection IVS-01 Incident Reporting STA-02 Policy DCS-06 Change Detection IVS-02 Network / Infrastructure Services STA-03 Secure Area Authorization DCS-07 Clock Synchronization IVS-03 Provider Internal Assessments STA-04 Unauthorized Persons Entry DCS-08 Information System Documentation IVS-04 Supply Chain Agreements STA-05 User Access DCS-09 Management - Vulnerability Management IVS-05 Supply Chain Governance Reviews STA-06 Entitlement EKM-01 Network Security IVS-06 Supply Chain Metrics STA-07 Key Generation EKM-02 OS Hardening and Base Conrols IVS-07 Third Party Assessment STA-08 Sensitive Data Protection EKM-03 Production / Non-Production Environments IVS-08 Third Party Audits STA-09 Storage and Access EKM-04 Segmentation IVS-09 Anti-Virus / Malicious Software TVM-01 Baseline Requirements GRM-01 VM Security - vMotion Data Protection IVS-10 Vulnerability / Patch Management TVM-02 Mobile Code TVM-03
- 28. OTTO recomienda el uso de: • Está diseñado específicamente para proporcionar los principios de seguridad para guiar a los proveedores de la nube y para ayudar a los clientes en la nube a evaluar el riesgo general de seguridad de un proveedor de la nube. • CSA Cloud Controls Matrix (CCM) mapea con otros estándares de seguridad aceptados por la industria, los reglamentos, y controla los marcos como la ISO 27001/27002, ISACA COBIT, PCI, NIST, Jericho, NERC CIP, ENISA, COPPA, HIPAA/HITECH, AICPA 2014 Trust Services Criteria, etc. CSA Cloud Controls Matrix (CCM) https://cloudsecurityalliance.org/research/ccm/
- 29. OTTO recomienda el uso de: CSA Cloud Controls Matrix (CCM) v3.0.1 https://cloudsecurityalliance.org/research/ccm/
- 30. OTTO recomienda el uso de: CSA Consensus Assessments Initiative Questionnaire (CAIQ) v3.0.1 https://cloudsecurityalliance.org/research/cai/
- 31. OTTO, ¿solo existen mejores practicas o hay normas? ISO/IEC 27017: Information technology — Security techniques — Information security Management — Guidelines on Information security controls for the use of cloud computing services based on ISO/IEC 27002 ISO/IEC 27018: Information technology – Security techniques -- Code of practice for PII protection in public clouds acting as PII processors ISO/IEC 27036-4: Information technology — Security techniques — Information security for supplier relationships — Part 4: Guidelines for security of cloud services
- 32. ISO/IEC 27017 Estado actual: DRAFT INTERNATIONAL STANDARD Clause 5: Information Security Policies Clause 6: Organization of information security Clause 7: Human Resource Security maintenance Clause 8: Asset management Clause 9: Access Control Clause 10: Cryptography management Clause 11: Physical and environmental security Clause 12: Operations security continuity management Clause 13: Communications Security Clause 14: Systems acquisition, development and Clause 15: Supplier relationships Clause 16: Information security incident Clause 17: Information security aspects of business OTTO, ¿solo existen mejores practicas o hay normas?
- 33. ISO/IEC 27017 • Anexo A- Cloud Service Extended Control Set (normative). Proporciona objetivos adicionales y controles con una guía de la aplicación, Los controles ISO/IEC 27002 están relacionados con el Cloud Service Extended Control Set (normative) pero no repetidos • Se recomienda que cualquier organización implementen estos controles en el contexto de un SGSI, que está destinado a ser conformes a ISO/IEC 27001, extendiendo la SOA (declaración de aplicabilidad) para la inclusión de los controles indicados en este anexo. • Anexo B-referencias sobre riesgos de seguridad de la información relacionada con cloud computing (normativo) OTTO, ¿solo existen mejores practicas o hay normas?
- 34. ISO/IEC 27018 Estado actual: Publicada en Junio 2014 Extender la guía de ISO 27002:2013, con estructura similar. El anexo A Public cloud PII processor extended control set for PII protection (normative). Especifica nuevos controles con la guía de implementación, que en combinación con la ISO/IEC 27002 conforman un control extendido para cumplir con los requisitos para la protección de PII “información personal identificable” que se aplican a los proveedores de servicios de nube pública. OTTO solo existe mejores practicas o hay normas?
- 35. ISO/IEC 27036 Part 4 Current Status: 3rd Working Draft • 1. abierto a comentarios por organismos nacionales o las organizaciones de enlace. • 2. se utiliza en combinación con las otras tres partes dentro de la ISO/IEC 27036. Esta cuarta parte puede usarse como una guía adicional para la seguridad de la información específicamente a servicios en la nube. • También esta alineada con la ISO/IEC 27017 proporcionando un mapeo de la ISO/IEC 27017 con los controles de seguridad de información del ciclo de vida de procesos en el anexo D (informativo). Cláusula 5: Conceptos clave del Cloud, las amenazas de seguridad y riesgos Cláusula 6: Seguridad de la información en servicios en la nube (consumidor) Cláusula 7: Controles de seguridad información en servicios en la nube (proveedor) OTTO, ¿solo existen mejores practicas o hay normas?
- 36. http://www.cloud-council.org/Cloud_Security_Standards_Landscape_Final.pdf Seguridad para Cloud Computing: 10 pasos para asegurar su éxito Cloud Standards Customer Council
- 37. http://www.cloud-council.org/Cloud_Security_Standards_Landscape_Final.pdf Seguridad para Cloud Computing: 10 pasos para asegurar su éxito Cloud Standards Customer Council
- 38. Al parecer aun queda mucho por hacer, pero como pudimos observar hay mucho ya hecho para ayudar a los proveedores y clientes a implementar controles de seguridad en la nube.
- 39. Al parecer aun queda mucho por hacer, pero como pudimos observar hay mucho ya hecho para ayudar a los proveedores y clientes a implementar controles de seguridad en la nube.
- 40. Créditos x las imágenes: pakorn's - http://www.freedigitalphotos.net Luciano Moreira da Cruz • Auditor Líder ISO/IEC 27001:2005 (ISMS LA®) • Auditor Interno ISO/IEC 9001 • Certified Integrator in Secure Cloud Services-EXIN • MCSE+Security • MCP Azure Infrastructure Solutions, MCSE Private Cloud certification, MCSA: Office 365, • CLODU - CLOUD UNIVERSITY • Information Security Enginner Certified Plus • ITIL V3 • Vicepresidente del capitulo CSA Argentina. [email protected] @luciano_m_cruz lucianomoreiradacruz https://ar.linkedin.com/in/lucianomoreiradacruz
Notas del editor
- #2: Slide 1:
- #3: Slide 2:
- #4: Slide 3: Normalmente el negocio se acuerdan de nosotros cuando tienen un incidente. En el viaje hacia la nube eso no es distinto.
- #5: Slide 4: Me parece que a esta altura hacer una introducción a Cloud ya no es necesario.
- #6: Slide 5: Por que seguramente ustedes escuchan esta pregunta y piensan seguro va empezar hablar de Cloud y tipos de cloud, modelo de despliegue, proveedores etc… Que es un comodity como la luz eléctrica etc….
- #7: Slide 6: Pero Como sabemos que muchas de la presentaciones lo que hacen es darles a los CIOs o responsables algo que quieren escuchar. Tener su negocio o plataforma en varios dispositivos. Acceder a su negocio desde cualquier lado Compartir información a todos (Empleados y no empleados de la empresa) Ahorro de tiempo. Pero principalmente ahorro de costos.
- #8: Slide 7: Entonces Los CIOS/Responsables de TI llaman a casi todas las áreas de la empresa (Ventas, Operaciones, Marketing) y preguntan. Qué? Llevamos a la nube? Cómo? Lo hacemos, Como es el camino, Como es la metodología o proceso que usaremos? Donde? Deben elegir donde – que Cloud? el donde es una pregunta muy abierta, Privada, Publica, Hibrida Quien? Quienes son los involucrados en este proyecto? Proveedores, usuarios, y decisores. Cuándo? En que momento es el mejor y en cuantas entapas se hará el proyecto. Por qué? El por que es un poco mas fácil, Ahorro de tiempo, flexibilidad, innovación mayor competitividad y ahorro de costo. O por el simples modismo.
- #9: Slide 8: Listo respondieron todas las preguntas anteriores y ahora? Viene a por nosotros. “los de seguridad” Nos convocan a la reunión de startup de la migración a Cloud, proyecto que nunca nos han participado en las decisiones. Que vemos nosotros? El cuco Vemos problemas de seguridad en todos lados. Pensamos que es un caos y mejor busquemos un trabajo nuevo ….. Pero recordamos por que estamos acá y seguimos.
- #10: Slide 9: Nos damos cuenta que necesitamos ayuda. Y Luego preguntamos existe Seguridad en CLOUD? Buscamos en Google y nos responde YES Listo estamos Salvados… UhhhhFFFFFf
- #11: Slide 10: Así que aceptamos el desafío y los proveedores/vendors nos quieren hacer creer que ir a la Cloud es Fácil sino que también seguro desde el arranque.
- #12: Slide 11: Hacen mucho esfuerzo y nos quieren vender las facilidades del cloud, pero sabemos que tiene los mismo aspectos y requerimientos que cualquier proyecto de IT o tecnología nueva. Necesitamos tener un plan. Identificar: Que oportunidades de mejor tendría mi organización si pasara a un modelo de servicios basado en la nube? Evaluar: Cuales son los principales obstáculos para pasar a un modelo de servicios basado en la nube? Decidir: Cuando y de qué manera conviene ir hacia un modelo de servicios basado en la nube? Diseñar: Cual es el rodmap de transición más apropiado para mi organización? Implementar: Contar con un proveedor que nos acompaña en la transición de aplicaciones a la nube midiendo el impacto en los servicio e identificando nuevas oportunidades. Haciendo Fácil lo difícil.
- #13: Slide 12: Seguridad y confidencialidad de los datos: ubicación de los datos, pérdida de control de los datos, la consolidación de varias organizaciones presenta un atractivo destino para más ataques, seguridad física, etc. Gestión de Proveedores: contratos inadecuados (derecho a cláusula de auditoría, etc. ) Compliance: PCI, HIPAA, SOX, GLBA, BCRA, etc. Fiabilidad, disponibilidad y rendimiento, SLA, etc. Terminación de Servicios - vendor lock-in, portabilidad y la interoperabilidad, etc. Continuidad de negocio, recuperación de desastres y resiliencia Control de acceso y gestión de identidades Gobierno Integración con los sistemas existentes Protección de registros/apoyo para las auditorías y forenses Gestión de Incidencias
- #14: Slide 13: Estos son algunos Apagones que fueron detectados en el año pasado. Seguramente la lista de este año será mayor sobre todo por ataques de DDoS.
- #15: Slide 14: El top 9 de las amenazas mas conocidas. Fuga de Datos (Data breach): Ya sea de manera intencional o por accidente, el que existan este tipo de problemas pone en riesgo la información que no ha sido encriptada que se tiene en Cloud, lo cuál puede traer bastantes problemas. Pérdida de Datos: este es un factor clave para migrar nuestras soluciones a Cloud. Es importante saber que el proveedor que se tiene es confiable y los acuerdos de niveles de servicio que se tienen. Falsificación de cuentas: En caso de que un atacante tenga acceso a las credenciales de tu cuenta en un servicio Cloud, puede atacar desde esta a otros usuarios. Interfaces inseguras y APIs: Los administradores de los servicios Cloud dependen de las interfaces para el provisionamiento de los servicios Cloud, la administración, orquestación y el monitoreo. Las API´s son muy importantes para la seguridad y disponibilidad de los servicios Cloud. Denegación de servicio: DoS ha sido la amenaza en internet durante años, sin embargo en la era de Cloud toma una importancia mayor por el costo que puede tener un servicio de Cloud no disponible. Personas maliciosas: Generalmente se pueden encontrar dentro de la empresa o con un proveedor, pueden tener las credenciales a los datos y ocasionar algún daño desde ahí. Mal uso de la tecnología Cloud: Relacionado al punto 5, los atacantes pueden hacer uso de la tecnología Cloud para realizar ataques del tipo DoS. Desconocimiento de los aspectos legales: En el caso de que una empresa no este muy familiarizada con Cloud y los riesgos asociados, lo más probable es que no tenga muy claro los temas contractuales que debe tener con sus proveedores. Infraestructura Compartida: Es importante revisar a detalle como funciona la infraestructura y que sucedería en caso de que se comprometa en seguridad uno de los componentes.
- #16: Slide 15: En Mayo del 2014, se descubrió una grabe vulnerabilidad donde los usuarios de Box y Dropbox sin darse cuenta permitían que su información fuera leída por terceros e indexada por buscadores. Recordemos la brecha de seguridad de varias cuentas de celebridades en ICloud luego de que sus credenciales fueran afectadas. La siguiente brecha reportada fue causada por POS Malware en Home Depot, afectando 56 Millones de Clientes. Google Drive estuve bajo fuego en Julio de 2014 por reconocer un agujero de seguridad en los links, muy similar al encontrado unos meses antes en Dropbox y Box.
- #17: Slide 16:
- #18: Slide 17:
- #19: Slide 18:
- #20: Slide 19:
- #21: Slide 20: En Mayo del 2014, se descubrió una grabe vulnerabilidad donde los usuarios de Box y Dropbox sin darse cuenta permitían que su información fuera leída por terceros e indexada por buscadores. Recordemos la brecha de seguridad de varias cuentas de celebridades en ICloud luego de que sus credenciales fueran afectadas. La siguiente brecha reportada fue causada por POS Malware en Home Depot, afectando 56 Millones de Clientes. Google Drive estuve bajo fuego en Julio de 2014 por reconocer un agujero de seguridad en los links, muy similar al encontrado unos meses antes en Dropbox y Box.
- #22: Slide 21:
- #23: Slide 22:
- #24: Slide 23: Nos ofrece orientación práctica para facilitar el proceso de decisión para empresarios y profesionales de TI con respecto a la decisión de trasladarse a la nube. Ayuda a conseguir una eficaz análisis y medición del riesgo mediante el uso de árboles de decisión y listas con los factores de seguridad que se deben tener en cuenta al evaluar la nube como una posible solución.
- #25: Slide 24: Estas guía práctica fueron creadas para las empresas que utilizan o consideran el uso de cloud computing. Proporciona un marco de control y gestión basados en COBIT 5 y un programa de auditoría utilizando COBIT 5 de Seguridad. Esta información puede ayudar a las empresas en la evaluación del valor potencial de las inversiones en la nube para determinar si el riesgo está dentro del nivel aceptable. Además, se proporciona una lista de publicaciones y recursos Que puede ayudar a determinar si el cloud computing es la solución adecuada para los datos y los procesos que se trate.
- #26: Slide 25: La guía de la CSA busca establecer las mejores prácticas de seguridad para las operaciones en la nube. Este esfuerzo proporciona un camino práctico para adoptar la nube de forma segura. Los Dominios han sido reescritos para enfatizar la seguridad, estabilidad y privacidad, garantizando la privacidad. En la tercera edición de la guía se supone una madurez estructural en paralelo con desarrollos de estándares de cloud multinacionales tantos en la estructura y el contenido. CSA se ha esforzado por presentar un producto mesurado y equilibrado entre los intereses de los proveedores de nube y de los usuarios.
- #27: Slide 26: El CSA CCM ofrece un marco de controles que da comprensión detallada de los conceptos de seguridad y los principios que están alineados con la GUIA CSA en los 14 dominios. El CSA CCM fortalece entornos de control de seguridad de información existentes, haciendo hincapié en los requisitos de control de seguridad de información de negocio, reduce e identifica las amenazas de seguridad consistentes y vulnerabilidades en la nube, proporciona seguridad estandarizada y gestión del riesgo operacional, y trata de normalizar las expectativas de seguridad, taxonomía de la nube y terminología, y las medidas de seguridad implementadas en la nube.
- #28: Slide 27: El CSA CCM ofrece un marco de controles que da comprensión detallada de los conceptos de seguridad y los principios que están alineados con la GUIA CSA en los 14 dominios. El CSA CCM fortalece entornos de control de seguridad de información existentes, haciendo hincapié en los requisitos de control de seguridad de información de negocio, reduce e identifica las amenazas de seguridad consistentes y vulnerabilidades en la nube, proporciona seguridad estandarizada y gestión del riesgo operacional, y trata de normalizar las expectativas de seguridad, taxonomía de la nube y terminología, y las medidas de seguridad implementadas en la nube.
- #29: Slide 28: Está diseñado específicamente para proporcionar los principios de seguridad para guiar a los proveedores de la nube y para ayudar a los clientes en la nube a evaluar el riesgo general de seguridad de un proveedor de la nube. Los cimientos de la Cloud Security Alliance Controles Matrix y su relación personalizada con otros estándares de seguridad aceptados por la industria, los reglamentos, y controla los marcos como la ISO 27001/27002, ISACA COBIT, PCI, NIST, Jericho Foro y NERC CIP
- #30: Slide 29:
- #31: Slide 30: Los potenciales clientes de servicios de nube enfrentan un difícil problema: ¿Cómo pueden confiar en los proveedores de nube lo suficiente como para contratarlos cuando éstos se rehúsan a revelar importantes detalles de su infraestructura por motivos de seguridad y practicidad? Con nombre Consensus Assessments Initiative Questionnaire, el documento es un marco bien pensado para medir la seguridad de la nube. “Este conjunto de preguntas es una versión simplificada de los temas, mejores prácticas y control… que apuntan a ayudar a las organizaciones a construir los procesos de evaluación necesarios para comprometerse con los proveedores de nube”, señala la CSA. Las preguntas fundamentales que se deben hacer: *¿Realiza su proveedor evaluaciones de penetración y auditorias de seguridad internas y externas que sus clientes puedan ver? *¿Pueden los clientes realizar sus propias evaluaciones de vulnerabilidad? *¿Se encuentran los datos segmentados o encriptados lógicamente por cliente de tal forma que los datos de un cliente no sean ‘barridos’ inadvertidamente junto con los de otro, digamos, en respuesta a una citación judicial? *¿Puede el proveedor recuperar los datos cliente por cliente en caso de alguna pérdida? *¿Cómo se protegen los derechos de propiedad intelectual? *¿Etiqueta el proveedor las máquinas virtuales y físicas utilizadas por cada cliente y puede garantizar que los datos son almacenados solo en ciertos países pero no en otros, de acuerdo a las leyes de almacenamiento de datos de algunos países? *¿Cuáles son las políticas del proveedor en cuanto a la respuesta a las solicitudes del gobierno de los datos del cliente? *¿Cuáles son las políticas del proveedor en cuanto a retener los datos del cliente y puede seguir éste las políticas para el borrado de los datos de la red del proveedor? *¿Realiza el proveedor un inventario de sus propios activos y de las relaciones con sus proveedores? *¿Capacita a su personal, y documenta esa capacitación, sobre los controles de seguridad propios y de sus clientes?
- #32: Slide 31: ISO/IEC JTC 1/SC 27 ISO/IEC 27015 - ISMS for financial and insurance services ISO/IEC 27011 - ISMS for telcos (working draft)
- #33: Slide 32:
- #34: Slide 33:
- #35: Slide 34:
- #36: Slide 35: 3. Anexo A -características de los servicios en la nube (informativo). 4. Anexo B -< reservados para asignar a los procesos clave 27036-2 > 5. Anexo C -otros estándares de seguridad que pueden ayudar a la seguridad de servicios de nube (informativo) 6. Anexo D -mapeo de controles ISO/IEC 27017 (informativo)
- #37: Slide 36: Cloud Standards Customer Council publicó “Seguridad para Cloud Computing: 10 pasos para asegurar su éxito” el documento incluye la lista junto con la orientación y estrategias, diseñadas para ayudar a los consumidores de Cloud a evaluar y comparar la seguridad que les ofrecen en áreas clave por parte de diferentes proveedores de Cloud. 1. Aplicar la gobernabilidad, riesgo y cumplimiento de proceso. Los controles de Seguridad en Cloud Computing son similares a los tradicionales de los ambientes TI, pero usted tiene definir el nivel de tolerancia al riesgo en su organización y focalizarse en mitigarlo ya que su empresa no pueda darse el lujo de negarlo. 2. Auditar el proceso operativo y de negocio. Las Auditorias deben llevarse a cabo por personal debidamente calificado, así mismo los grupos de controles establecidos para cumplir con su requerimiento de seguridad. 3. Comprender los privilegios a usuarios. La gestión de una gran cantidad de empleados y usuarios que acceden a las aplicaciones y servicios en la nube, cada uno con diferentes funciones, es necesaria para definir el nivel de privilegio de acceso a la información. 4. Proteja su información. Cloud Computing ofrece un enfoque adicional en la seguridad de los datos debido a la naturaleza misma de la infraestructura y a la responsabilidad compartida que implica.
- #38: Slide 37: 5. Ponga fuerza en las políticas de privacidad. Usted es responsable no sólo de definir políticas para mitigar sus preocupaciones sobre la privacidad y crear conciencia sobre la protección de datos dentro de su organización, también es responsable de que sus proveedores de Cloud se adhieran a estas políticas que definió. 6. Evalúe la aplicación de seguridad. Definir claramente las políticas y procesos de seguridad es fundamental para garantizar la aplicación de la misma, permitirá la continuidad del negocio en lugar resultar en riesgo adicional. 7. Asegure las conexiones de red. Usted debería esperar cierto nivel de seguridad perimetral por parte de su proveedor de Cloud Computing. 8. Evalúe la seguridad física. Un punto importante en la seguridad de cualquier sistema de TI – incluso de las basadas en la nube – se refiere a la seguridad física y a las instalaciones. 9. Revise 2 veces los SLA’s de Cloud Computing en términos de seguridad. Desde el momento que Cloud Computing involucra dos organización –el usuario y el proveedor- las responsabilidades en términos de seguridad deben quedar claramente definidas 10. Comprender los requerimientos de seguridad es el éxito del proceso. Un proceso exitoso deberá permitirle recuperar sus datos adecuadamente, incluyendo temas de retención y eliminación de información.
- #39: Slide 38:
- #40: Slide 39: CSA Security Guidance for Critical Ares of Focus in Cloud Computing V3.0 CSA Cloud Controls Matrix (CCM) CSA Consensus Assessments Initiative Questionnaire (CAIQ) v3.0.1 The Notorious Nine: Cloud Computing Top Threats in 2013 ISO/IEC 27017: ISO/IEC 27018: ISO/IEC 27036-4: Controls and Assurance in the Cloud: Using COBIT 5 Cloud Governance: Questions Boards of Directors Need to Ask Cloud Computing Market Maturity Study Results Calculating Cloud ROI: From the Customer Perspective Security Considerations for Cloud Computing Guiding Principles for Cloud Computing Adoption and Use NIST Cloud Computing Program Cloud_Security_Standards_Landscape_Final . Cloud Council
- #41: Slide 40: