Cinco reglas de oro para la planificación de la seguridad en la nube de AWS
Maxim Rozin
Sea lo que sea que coloque en la nube debe estar protegido desde el primer día. Cuando elige Amazon Web Services (AWS), tiene la seguridad de que AWS protege el hardware, el software, las redes y las instalaciones. Pero usted es el responsable de proteger todo lo que coloque en la nube, incluso lo siguiente:
- Los datos de los clientes.
- La plataforma, las aplicaciones y la administración de identidad y acceso.
- La configuración del sistema operativo, de la red y de los firewalls.
- La codificación de los datos del cliente y la autenticación de la integridad de los datos.
- La codificación del servidor para los sistemas de archivos o datos.
- La protección del tráfico de redes, incluso la identidad y la integridad de la codificación.
La seguridad es una responsabilidad compartida entre usted y AWS. Así que debe hacer su parte. No puede arriesgarse a exponer ni a vulnerar los datos confidenciales, por lo que la protección y el monitoreo de su ambiente en la nube de AWS son fundamentales.
En este artículo, analizo la importancia de la ingeniería de la seguridad a través de las cinco reglas de oro que debe tener en cuenta en el momento en que planifica y diseña su ambiente en la nube, siempre teniendo con la seguridad en mente.
1. La ingeniería de la seguridad debería ser su paso inicial
Empiece siempre con la seguridad. Una vez que sepa lo que va a hacer con su ambiente en la nube de AWS, pero antes de agregar datos o aplicaciones, implemente controles de seguridad adecuados y un proceso que exija que se lleven a cabo.
Es posible que después haya mucha preocupación por proteger las cosas, ya que, con frecuencia, las organizaciones priorizan otras metas comerciales. Sin embargo, a menos que ponga la seguridad en primer lugar, correrá el riesgo de que se vulneren sus ambientes y de sufrir la pérdida de datos y ataques de actores maliciosos, todo antes de haber tenido la oportunidad de implementar los controles de seguridad adecuados.
2. Una misma solución no se adapta a todos
El panorama de la seguridad es complejo. Hay muchas herramientas y maneras de hacer las cosas. No todas las soluciones ni los productos de seguridad son adecuados para cada ambiente en particular, y todos tienen capacidades diferentes.
Debe usar los productos y las herramientas de seguridad más apropiados y adaptarlos a la forma en que usa su ambiente en la nube, los datos que almacena en él y los requisitos de compliance regulatorio.
Por lo tanto, es fundamental que las personas de su equipo, o los socios con los que trabaja, comprendan a fondo la seguridad y los ambientes en la nube que utiliza. Al combinar esas habilidades, puede garantizar que dispone de los controles de seguridad adecuados.
3. La gente es la esencia de la ingeniería de la seguridad
Necesita contar con el equipo correcto para configurar con éxito un ambiente seguro en la nube de AWS. Pero no cometa el error de dejar de lado a la gente de inmediato. Todas las herramientas y el monitoreo nativos de la nube que establece no tendrían valor si carece de equipos y procesos que le permitan responder a los problemas.
Las herramientas le pueden informar qué ocurre en su ambiente en la nube, pero si no cuenta con alguien que las monitoree 24x7, corre el riesgo de quedar vulnerable y perder datos. Así que asegúrese de que su organización tenga capacidad tipo SOC para proteger más a fondo su ambiente en la nube.
4. La seguridad no es un compromiso de una sola vez
No configure un ambiente de AWS seguro y piense que el trabajo ya está hecho. En realidad, recién empieza. La ingeniería de la seguridad no es un compromiso de una sola vez que ocurre cuando crea una cuenta nueva. Necesita evolucionar de forma constante, en función de su uso de la nube.
Cree procesos que exijan una revisión regular de su ambiente en la nube de AWS. Trabaje con personas que entiendan lo que está haciendo con él, cómo ha cambiado su uso de la nube y los nuevos servicios que ha empezado a utilizar. Los procesos y los controles de seguridad deben adaptarse en consecuencia.
5. La nube es muy diferente de todo lo que existió antes
Algunas organizaciones luchan por pasar a la nube desde ambientes dedicados. Suelen separar a los recursos internos, lo que consideran el ambiente seguro, del mundo exterior con un dispositivo de protección de perímetros. Eso provee un buen nivel de protección en un escenario dedicado, pero no es suficiente en la nube.
No todo lo que está en la nube se ejecuta en el servidor. No puede proteger todo con un solo firewall. Por lo tanto, su enfoque de seguridad debe ser muy diferente. Piense más allá de su red en lo que respecta a la detección de amenazas (por ejemplo, tenga en cuenta las llamadas API a su ambiente en la nube, que no necesariamente pasarán a través de su firewall corporativo), utilice herramientas y productos adecuados, en lugar de solo los que conoce, y trabaje con personas que tengan un excelente dominio de las amenazas, los riesgos y las soluciones y herramientas de seguridad.
Asociarse para alcanzar la seguridad
Para ser eficaz en la protección de su nube de AWS, necesita experiencia en cuanto a la seguridad, el ambiente en la nube en sí y los productos de seguridad nativos de la nube, al tiempo que tiene en cuenta los cambios rápidos en la ingeniería de la seguridad y se adapta a dichos desarrollos. Esto puede resultar abrumador; por eso, las organizaciones suelen asociarse con expertos en la materia.
Rackspace Technology es el primer socio proveedor de servicios de seguridad administrada (MSSP) de consultoría para AWS Security Hub. Ofrece servicios de consultoría para los productos de seguridad nativa de la nube de AWS, incluido el soporte ininterrumpido de expertos en seguridad certificados en nuestro Centro de Operaciones de Seguridad (SOC) global.
Rackspace Technology cree en los fundamentos básicos descritos en este artículo: la seguridad debe ser lo primero; no hay una solución que se adapte a todos y las necesidades de la ingeniería de la seguridad evolucionan con el tiempo. Por este motivo, ofrecemos servicios de seguridad administrada utilizando productos de seguridad nativos de la nube, como nuestra solución de seguridad nativa de la nube para AWS.
Nuestra meta es combinar habilidades y experiencia para ayudarlo a alcanzar sus metas relacionadas con la seguridad y proteger su ambiente en la nube. Pero ya sea que elija asociarse o hacerlo solo, priorice garantizar que sus ambientes en la nube estén protegidos, antes de que sea demasiado tarde.