Las tres mejores prácticas para proteger los datos en la nube

• Por Rick Vanover, director senior de estrategia de producto de Veeam.

La “Global DataSphere” está creciendo exponencialmente, en tamaño. IDC predice que para 2026 la cantidad de datos en el mundo se habrá duplicado de nuevo. Mientras la mayoría de las empresas ya han digitalizado sus operaciones, estas siguen añadiendo más cargas de trabajo estratégicas y creando cada vez más datos. Por ello, a medida que la cantidad de datos que las empresas tienen que manejar crecen abruptamente, el paso a la nube basado en una estrategia elaborada ofrece ventajas significativas como escalabilidad, flexibilidad y almacenamiento rentable.

Pero, ¿puede esto durar para siempre? Gartner prevé que el gasto total de los usuarios finales de todo el mundo en servicios de nube pública alcance la cifra récord de 592.000 millones de dólares este año, un 21% más que en 2022. Este rápido nivel de crecimiento y migración plantea algunas preocupaciones a nivel empresarial, ya que las rápidas migraciones “lift and shift” significan que no se están siguiendo las mejores prácticas para la protección de datos moderna. Es más, según la Cloud Security Alliance (CSA), el 96% de las empresas afirman no disponer de suficiente seguridad para los datos confidenciales en la nube, por lo que en general nos queda mucho camino por recorrer.  Por esto os traemos las tres mejores prácticas para que las empresas protejan sus datos en la nube.

1. Conoce tus datos

El primer paso para resolver cualquier problema es saber a qué nos enfrentamos.  Antes de proteger nada, hay que saber quién almacena qué y dónde. ¿Utilizan todas las personas de la empresa las mismas cuentas? Para asegurarse de que esto se hace correctamente, los equipos de IT a menudo tienen que jugar a los detectives o emprender un viaje de “investigación” por toda la empresa. Para encontrar estos hilos conductores, a menudo es necesario examinar las finanzas y recopilar las facturas de los costes de la nube en toda la organización.

En conjunto, la cantidad de datos almacenados por la mayoría de las empresas, tanto si se han migrado desde las instalaciones como si se han almacenado originalmente en la nube, es enorme. Los seres humanos somos acaparadores por naturaleza, y el mundo digital no es una excepción. Aunque el “garaje virtual” de la nube puede almacenar infinitas cajas de datos, localizarlo todo es sólo la mitad de la batalla. Para saber qué datos son de misión crítica y sensibles, tendremos que clasificarlos. Los motores automatizados de clasificación de datos pueden ayudarnos a clasificarlos y organizarlos, para que no estemos intentando protegerlo todo a ciegas hasta la enésima potencia. Una vez que sepamos exactamente lo que tenemos almacenado en la nube (y dónde), sólo entonces podremos empezar a estudiar cómo proteger esos datos.

Dado que las organizaciones se enfrentan a una barrera de entrada bastante baja para trasladar datos a la nube, es posible que los equipos no hayan dado prioridad a los procesos de seguridad y de red necesarios; si la migración se ha producido demasiado rápido, esto puede ocurrir fácilmente. Del mismo modo, dado que la nube es un entorno completamente diferente en cuanto a su protección, a menudo se pasan cosas por alto: hay muchos tipos de servicios nuevos que no siempre existen on-premises y muchos de ellos deben protegerse y recuperarse en caso de ataques o interrupciones. Algunos ejemplos de ello son el código en el almacenamiento en la nube, las aplicaciones que aprovechan otros servicios en la nube y las API proporcionadas en la nube.

 2. Conoce tus responsabilidades

Un problema frecuente que se da es que las empresas a menudo no saben exactamente de qué son responsables en materia de seguridad y protección de datos en la nube. Existe un gran desconocimiento del modelo de responsabilidad compartida en el que se basa la seguridad en la nube. Esto significa que asumen que el proveedor es responsable de ciertas medidas de seguridad, cuando en realidad es su trabajo. Aunque depende del proveedor de la nube, normalmente el proveedor es responsable de la seguridad de la infraestructura y de las instalaciones físicas que la albergan. La seguridad de las aplicaciones, los datos y el acceso al entorno, sin embargo, es responsabilidad del cliente.

En la práctica, esto significa que las empresas debemos asegurarnos de que tenemos copias de seguridad de todos los datos críticos y sensibles almacenados en la nube en caso de brechas o interrupciones. La mejor práctica es disponer de varios backups en diferentes ubicaciones (por ejemplo, una on-premises y otra en la nube) y tener copias de los datos en diferentes soportes, con al menos una copia fuera de las instalaciones, offline e inmutable; y si se puede, mejor aún, las tres cosas a la vez.

La otra responsabilidad fundamental de las empresas en materia de seguridad es controlar el acceso y los privilegios. Si todos los usuarios de nuestra nube tienen acceso al God Mode, cualquier brecha va a ser devastadora. Lo mismo ocurre si se utiliza una sola cuenta para realizar varias funciones diferentes, como la protección y el aprovisionamiento. La mejor práctica es asegurarnos de que se utilizan varias cuentas en toda la empresa, utilizando correctamente la gestión de accesos e identidades en todas las cuentas y suscripciones para poder eliminar fácilmente el dominio de fallo en caso de violación de la seguridad. A nivel de usuario, debemos asegurarnos de que se sigue el principio del mínimo privilegio en todo el entorno de la nube, de modo que las personas sólo tengan acceso a los recursos y entornos que necesiten.

3. Protege la rentabilidad 

Con toda probabilidad, poner en práctica los dos principios anteriores supondrá un seguro importante para la mayoría de las empresas. Pero la buena noticia es que el gran esfuerzo inicial para hacerlo no será necesario de nuevo a la misma escala. Sin embargo, para que podamos mantener el entorno de la nube sano y rentable a largo plazo, es importante que contemos con procesos de higiene de datos en la nube.

Es clave asegurarnos de contar con un proceso adecuado de ciclo de vida de los datos. Sin él, el buen trabajo realizado inicialmente se volverá ineficaz y costoso con el tiempo, y la empresa pagará por almacenar y proteger los datos equivocados de las formas equivocadas. Los datos deben estar en la plataforma de almacenamiento adecuada en la nube, y esto cambiará durante su ciclo de vida. Por ejemplo, puede  ser que pasemos los recursos de bloques al almacenamiento de objetos o al almacenamiento de archivos. Los costes asociados son variables, así que debemos asegurarnos de no almacenar (o hacer copias de seguridad) de forma ineficiente.

Esta es una pequeña parte de la forma de evitar un posible “choque de facturas” por los costes de computación en nube y almacenamiento. Más allá de los simples datos, están los costes de API, la salida (transferencia) de datos y otros. Siempre se recomienda a las empresas que tengan un “modelo económico de nube” establecido, que sigan para evitar que los costes se acumulen y garantizar que el gasto se ajusta a las expectativas. Por utilizar una analogía de la vida real, si dejamos una luz encendida o nos olvidamos de cancelar una suscripción que ya no utilizamos, las facturas mensuales serán más altas. Si esto ocurre en un entorno de nube empresarial, la cifra total podría ser desorbitada.

A medida que la cantidad de datos almacenados por las empresas (y por el mundo) siga creciendo en los próximos cinco años, la nube va a ser una pieza vital del rompecabezas de su gestión. Las empresas no deben limitarse a almacenar y proteger sus datos, sino que deben buscar formas de utilizarlos y generar valor para su negocio y sus clientes. Esto requiere una refactorización para lograr una mayor agilidad, pero también significa que la empresa está preparada para “lo que sea”. La computación en nube es dinámica y seguirá evolucionando, por lo que las mejores prácticas cambiarán. Si las empresas se centran ahora en los datos, tanto en la nube como en las instalaciones, estarán preparadas para lo que les depare el futuro.