La función de la seguridad en cloud computing de confianza - RSA
La función de la seguridad en cloud computing de confianza - RSA
La función de la seguridad en cloud computing de confianza - RSA
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
Portabilidad <strong>en</strong>tre nubes públicas<br />
Si bi<strong>en</strong> <strong>cloud</strong> <strong>computing</strong> promete una arquitectura abierta y<br />
<strong>de</strong> fácil integración, <strong>la</strong>s ofertas tempranas <strong>de</strong> nubes ti<strong>en</strong><strong>en</strong><br />
t<strong>en</strong><strong>de</strong>ncia a crear “silos” <strong>de</strong> <strong>seguridad</strong>: los usuarios<br />
necesitan una cu<strong>en</strong>ta <strong>de</strong> Amazon para usar el servicio EC2 <strong>de</strong><br />
Amazon y una cu<strong>en</strong>ta <strong>de</strong> Google para acce<strong>de</strong>r a <strong>la</strong>s<br />
aplicaciones <strong>de</strong> AppEngine. <strong>La</strong>s empresas requerirán<br />
portabilidad <strong>de</strong> información y <strong>de</strong> i<strong>de</strong>ntida<strong>de</strong>s <strong>en</strong>tre <strong>la</strong>s<br />
difer<strong>en</strong>tes nubes, <strong>de</strong> modo que puedan combinar y ajustar<br />
sus servicios <strong>en</strong> un ambi<strong>en</strong>te abierto basado <strong>en</strong> estándares<br />
que permita <strong>la</strong> interoperabilidad.<br />
<strong>La</strong> portabilidad se convertirá <strong>en</strong> un problema importante a<br />
medida que <strong>la</strong>s infraestructuras <strong>de</strong> múltiples nubes ofrezcan<br />
servicios más complejos. Por ejemplo, imagine que <strong>de</strong>sea<br />
alqui<strong>la</strong>r un gran volum<strong>en</strong> <strong>de</strong> pot<strong>en</strong>cia <strong>de</strong> CPU <strong>de</strong> Amazon<br />
durante algunos días para realizar un análisis profundo <strong>de</strong><br />
los datos <strong>de</strong> sus cli<strong>en</strong>tes utilizando una herrami<strong>en</strong>ta<br />
analítica personalizada, pero los datos están <strong>en</strong><br />
Salesforce.com. <strong>La</strong>s nubes <strong>de</strong>berán comunicarse <strong>en</strong>tre sí <strong>de</strong><br />
manera segura.<br />
Confi<strong>de</strong>ncialidad y privacidad<br />
<strong>La</strong>s unida<strong>de</strong>s <strong>de</strong> negocios ya están asignando tareas a los<br />
<strong>de</strong>partam<strong>en</strong>tos <strong>de</strong> TI que implican <strong>la</strong> protección <strong>de</strong> los datos<br />
<strong>en</strong> <strong>la</strong>s nubes privadas y públicas, con <strong>la</strong> expectativa <strong>de</strong> que<br />
<strong>la</strong> información <strong>de</strong>licada pierda su estado <strong>de</strong>licado o se<br />
implem<strong>en</strong>te con autorización <strong>de</strong> acceso verificable para<br />
proteger su privacidad y su confi<strong>de</strong>ncialidad. <strong>La</strong>s<br />
organizaciones <strong>de</strong> TI históricam<strong>en</strong>te no han <strong>de</strong>sarrol<strong>la</strong>do <strong>la</strong><br />
capacidad para i<strong>de</strong>ntificar y c<strong>la</strong>sificar <strong>de</strong> con eficacia<br />
usuarios y datos <strong>de</strong>licados. Sin esta capacidad, <strong>en</strong>fr<strong>en</strong>tarán<br />
dificulta<strong>de</strong>s para ext<strong>en</strong><strong>de</strong>r <strong>la</strong>s funcionalida<strong>de</strong>s <strong>de</strong> <strong>seguridad</strong><br />
a los ambi<strong>en</strong>tes <strong>de</strong> nubes.<br />
¿De qué manera su proveedor <strong>de</strong> nubes garantizará <strong>la</strong><br />
confi<strong>de</strong>ncialidad y <strong>la</strong> privacidad? Reci<strong>en</strong>tem<strong>en</strong>te, un<br />
proveedor <strong>de</strong> telefonía celu<strong>la</strong>r se sintió avergonzado, por<br />
ejemplo, cuando sus empleados vieron los registros<br />
telefónicos antiguos <strong>de</strong> Barack Obama. ¿Cómo se pue<strong>de</strong>n<br />
evitar estos inci<strong>de</strong>ntes? ¿De qué manera se protegerá contra<br />
am<strong>en</strong>azas internas, como un empleado <strong>de</strong>l proveedor <strong>de</strong><br />
nubes que extrae información empresarial <strong>de</strong>licada? Los<br />
proveedores <strong>de</strong> nubes <strong>de</strong>berán <strong>en</strong>fr<strong>en</strong>tar esta<br />
responsabilidad fundam<strong>en</strong>tal.<br />
4 White paper <strong>de</strong> <strong>RSA</strong><br />
Controles <strong>de</strong> acceso viables<br />
Los requerimi<strong>en</strong>tos <strong>de</strong>l bu<strong>en</strong> manejo y control <strong>de</strong> <strong>la</strong><br />
información <strong>de</strong>berán equilibrarse con el <strong>de</strong>seo <strong>de</strong> los<br />
usuarios <strong>de</strong> contar con un control <strong>de</strong> acceso efici<strong>en</strong>te y<br />
sólido al mismo tiempo. Los usuarios y <strong>la</strong>s corporaciones<br />
esperarán que el acceso sea transpar<strong>en</strong>te y conv<strong>en</strong>i<strong>en</strong>te. En<br />
el caso <strong>de</strong> muchas nubes, como <strong>la</strong>s que ofrec<strong>en</strong> servicios<br />
popu<strong>la</strong>res al público g<strong>en</strong>eral, es posible que los usuarios no<br />
toler<strong>en</strong> un <strong>en</strong>foque basado <strong>en</strong> tok<strong>en</strong>.<br />
Otro punto débil importante es <strong>la</strong> car<strong>en</strong>cia <strong>de</strong> autorización<br />
<strong>de</strong>legada. Mi<strong>en</strong>tras algunos servicios <strong>de</strong> nube ofrec<strong>en</strong> una<br />
aut<strong>en</strong>ticación <strong>de</strong>legada sólida (por ejemplo, Salesforce.com)<br />
que permite el control <strong>de</strong> acceso basado <strong>en</strong> <strong>la</strong> i<strong>de</strong>ntidad <strong>de</strong>l<br />
usuario, pocos (si es que hay alguno), ofrec<strong>en</strong> autorización<br />
<strong>de</strong>legada para permitir el control <strong>de</strong> acceso basado <strong>en</strong> el<br />
cont<strong>en</strong>ido <strong>de</strong> <strong>la</strong> información <strong>en</strong> sí. Esta capacidad se está<br />
convirti<strong>en</strong>do <strong>en</strong> un factor cada vez más importante <strong>de</strong>bido a<br />
<strong>la</strong> incorporación <strong>de</strong> Web 2.0, don<strong>de</strong> los privilegios<br />
<strong>de</strong>tal<strong>la</strong>dos para <strong>la</strong> administración y el control <strong>de</strong><br />
autorizaciones serán sumam<strong>en</strong>te es<strong>en</strong>ciales.<br />
Cumplimi<strong>en</strong>to <strong>de</strong> normas<br />
Muchas unida<strong>de</strong>s <strong>de</strong> negocios están optando por el uso <strong>de</strong><br />
servicios <strong>de</strong> nube <strong>en</strong> <strong>función</strong> <strong>de</strong>l aspecto económico<br />
atractivo y omit<strong>en</strong> los <strong>de</strong>partam<strong>en</strong>tos <strong>de</strong> TI para almac<strong>en</strong>ar<br />
<strong>la</strong>s aplicaciones y los datos <strong>en</strong> <strong>la</strong> nube directam<strong>en</strong>te. Esto<br />
crea varios problemas para <strong>la</strong>s organizaciones <strong>de</strong> TI con un<br />
m<strong>en</strong>or control interno y externo. <strong>La</strong>s activida<strong>de</strong>s <strong>de</strong> <strong>la</strong>s<br />
unida<strong>de</strong>s <strong>de</strong> negocios multiplican los retos <strong>de</strong> cumplimi<strong>en</strong>to<br />
<strong>de</strong> normas <strong>de</strong>l <strong>de</strong>partam<strong>en</strong>to <strong>de</strong> TI incluso cuando los<br />
<strong>de</strong>partam<strong>en</strong>tos legales y <strong>de</strong> cumplimi<strong>en</strong>to <strong>de</strong> normas prevén<br />
que los <strong>de</strong>partam<strong>en</strong>tos <strong>de</strong> TI podrán informar y <strong>de</strong>mostrar el<br />
control sobre <strong>la</strong> información <strong>de</strong>licada. A<strong>de</strong>más, cada Cli<strong>en</strong>te<br />
empresarial <strong>de</strong>be evaluar at<strong>en</strong>tam<strong>en</strong>te el cumplimi<strong>en</strong>to <strong>de</strong> <strong>la</strong><br />
norma SAS-70 <strong>de</strong> un proveedor <strong>de</strong> nubes para comprobar si<br />
<strong>la</strong> certificación cumple con <strong>la</strong> política <strong>de</strong> cumplimi<strong>en</strong>to <strong>de</strong><br />
normas establecida por su propia empresa.