Encontré un artículo muy interesante de Thomas Shinder en el wiki que Microsoft colocó en Technet, en el que se describen 11 principios que deberían regir en el diseño de la seguridad de una nube privada, y me pareció útil compartirlo a través de este resumen (el artículo completo, en inglés, al final de este post).
La verdad es que muchos de ellos se aplican a cualquier diseño de infraestructura de IT, sea de nube o no, pero resulta muy útil el enfoque con el cual el autor lo asocia a las tecnologías de nube.
Estos principios son:
- Aplicar las mejores prácticas genéricas de seguridad: hay libros y libros sobre estos temas , pero la utilización de mínimos privilegios, defensa en profundidad, uso de firewalls, NICs separados para administración son algunos de los ejemplos en este caso.
- Entender que el aislamiento es clave (isolation): separando recursos entre las distintas unidades de negocio o áreas de la organización.
- Considerar la seguridad como el “envoltorio”: La seguridad es relevante a todo nivel de tu infraestructura y aplicaciones, tanto en ambientes físicos como virtuales. Si el atacante gana acceso a la infraestructura física, por ejemplo, podría crear una disrupción no sólo en ella sino en todo el servicio.
- Asumir que los atacantes están autenticados y autorizados: En una nube privada, es posible delegar la seguridad de los accesos a la unidad de negocios para que, a través de un portal de autoservicio, se autoprovisionen los recursos a fin de correr la aplicación o el servicio. Debido a ello, deberás establecer los mecanismos de seguridad necesarios pensando en que el atacante tiene acceso primario a los recursos y agregar esta ruta de ataque a los controles tradicionales..
- Asumir que todos las locaciones de los datos son accesibles: Este punto está muy relacionado al anterior. Por ello, deberías considerar el cómo y cuándo encriptar datos y cómo almacenar y administrar las llaves de encriptación que te permitan acceder a los datos almacenados en la nube.
- Utilizar tecnologías fuertes y establecidas de criptografía: Este punto es autoexplicativo. Habiendo algoritmos tan probados, mejor ir por lo seguro.
- Automatizar la operación de la seguridad: Las respuestas automatizadas de seguridad se basan en herramientas de monitoreo, por lo que tu diseño debe incluir servicios de monitoreo paa identificar y actuar cuanto antes.
- Reducir los ataques en superficie: No me explayo en esto, ya lo has escuchado miles de veces 🙂
- Limitar el ruteo: Cada vez que tus datos viajan a través de la nube privada, agregas otro posible lugar en el cual el atacante puede aprovecharse. Tu diseño debería limitarse a los nodos indispensables sobre los cuales tu información deba viajar.
- Auditar en forma extensiva: ¡Tus amigos del área de auditoría te lo agradecerán!
- Implementar GRC (Governance, Risk management & Compliance): Aquí agrego el enlace a un reciente post sobre el tema que te puede ayudar.
¡Ah! Y no está de más estar al tanto de mejores prácticas como CoBIT (este año, su versión 5 está prometida), una herramienta fundamental, sobre todo si “te molestan” con pequeñeces como las auditorías de cumplimiento de SOX (espero se note mi nivel de sarcasmo).
El enlace al artículo original, en inglés, aquí.
¡Hasta la próxima!
¡Importante! estos puntos debemos tenerlos en cuenta. A los demás lectores también les recomiendo darse una pasada por la página de la Cloud Security Alliance (https://cloudsecurityalliance.org/) donde hay material relacionado con el diseño de seguridad para las nubes.