Un estudio revela que las empresas exponen bases de datos y servicios de almacenamiento al migrar sus estructuras a la nube.

La empresa de seguridad Palo Alto Networks publicó un estudio mostrando tendencias y analizando el comportamiento de las empresas que están migrando su infraestructura a la nube, es decir, externalizando parte de su infraestructura a proveedores como Amazon y Google. Según el estudio, muchas empresas cometen diversos errores en este proceso, lo que puede exponer las bases de datos, encarecer el proceso o hacer que la adopción del servicio sea menos ventajosa. La computación en la nube se asocia mucho con los servicios de almacenamiento en línea, pero es mucho más que eso para las empresas. Entre otros beneficios, es más flexible y reduce costos a escala, ya que tiende a ser "elástica": se expande cuando hay picos de acceso, sin exigir que la empresa mantenga un centro de procesamiento ocioso en horas de baja utilización. Sin embargo, al colocar su infraestructura en un sistema completamente en línea, la empresa debe adoptar medidas apropiadas. Como las empresas almacenan información de empleados y clientes, la negligencia puede acabar perjudicando al consumidor en filtraciones de datos. Los beneficios para las empresas que cambian a la nube son claros: mayor flexibilidad, agilidad, escalabilidad y reducción de costos. Sin embargo, la adopción de la infraestructura de nube pública también puede aumentar los riesgos de seguridad y los desafíos de cumplimiento. Los datos del estudio señalan problemas en diversas áreas. La investigación revela que el 28% de las bases de datos reciben conexiones desde internet; normalmente, las bases de datos son de uso exclusivo de la aplicación de la empresa y no necesitan esta conexión externa. Además, el 49% de las bases de datos no están cifradas y el 32% de las empresas tienen algún servicio de almacenamiento en la nube expuesto. Estos descuidos, aunque no son en sí sinónimo de filtraciones de datos, disminuyen las barreras que podrían estar presentes para algún invasor. Los controles de acceso inadecuados también fueron objeto del estudio. Se afirma que el 29% de las empresas sufren con posibles compromisos de cuentas, es decir, cuando alguien sin autorización obtiene credenciales de acceso al sistema. Incluso con el riesgo de perder una cuenta, el 27% de las empresas adoptan acceso root, cuentas con control total, sin restricciones y que, por lo tanto, deben ser evitadas, especialmente cuando hay riesgo de acceso no autorizado. Estos y otros deslices pueden contribuir a una migración innecesariamente dolorosa a la nube. Para los especialistas de Palo Alto Networks, es más fácil y barato diseñar los proyectos con seguridad desde el inicio que pagar la cuenta cuando ocurren los problemas, ya que la empresa puede sufrir pérdidas de ventas, problemas de imagen e incluso multas debido a la legislación. El estudio destacó que la nube es una tendencia para las empresas y que es incluso más segura que una infraestructura tradicional, pero que a veces aún falta información, especialmente en el uso de tecnologías más recientes, como los contenedores. También destaca que la nube funciona en un modelo compartido de responsabilidad: el proveedor se encarga de cuestiones básicas, pero el cliente es responsable de todo lo demás. De esta forma, el proveedor proporciona la seguridad de la estructura base, como el enrutador, el datacenter, etc., pero el cliente tiene la responsabilidad por el resto. No se puede pensar que al estar cambiando a la nube pública la seguridad está totalmente garantizada. Es necesario usar la nube de forma correcta, con gobernanza, cumplimiento, etc., como se hace en la infraestructura privada. Y principalmente con un proceso de migración bien planificado y ajustado a las necesidades de cada empresa. Fuente: G1 Tecnología

Preguntas frecuentes

¿Qué es el modelo de responsabilidad compartida en la seguridad de la nube?

Es el principio según el cual el proveedor de la nube protege la infraestructura base, como routers y centros de datos, mientras que la empresa cliente es responsable de proteger todo lo que se construye encima, incluidas bases de datos, controles de acceso y configuraciones. Un estudio de Palo Alto Networks señala que suponer que migrar a la nube pública garantiza la seguridad de forma automática es un error: sigue siendo necesario aplicar gobernanza y cumplimiento, igual que en la infraestructura propia.

¿Qué errores de configuración dejan más expuestas las bases de datos en la nube?

El estudio de Palo Alto Networks encontró que el 28% de las bases de datos analizadas reciben conexiones directas desde internet, cuando deberían ser de uso exclusivo de la aplicación de la empresa, y que el 49% no está cifrado. Además, el 32% de las empresas tenía algún servicio de almacenamiento en la nube expuesto; son descuidos que por sí solos no implican una filtración, pero sí reducen las barreras para un atacante.

¿Cómo aumenta el control de acceso deficiente el riesgo de una violación en la nube?

Según el estudio, el 29% de las empresas sufre posibles compromisos de cuentas, es decir, cuando alguien sin autorización obtiene credenciales de acceso al sistema. A pesar de ese riesgo, el 27% de las empresas todavía usa cuentas de acceso root, con control total y sin restricciones, algo que debería evitarse justamente por el potencial de acceso no autorizado.