Acomputación en la nube (cloud computing) continúa transformando la manera en que las empresas utilizan, almacenan y comparten datos, aplicaciones y cargas de trabajo. La solución, sin embargo, también ha introducido una serie de nuevas amenazas y desafíos de seguridad. Con tanta información entrando en la nube —especialmente en servicios de nube pública—, estos recursos se convierten en objetivos naturales para los criminales cibernéticos.
Para proporcionar a las organizaciones una comprensión actualizada de las preocupaciones de seguridad en la nube, la Cloud Security Alliance publicó un informe describiendo las 11 principales amenazas identificadas por expertos:
1. Filtración de Datos (Data Breach)
Las filtraciones de datos siguen siendo una de las principales preocupaciones de seguridad en la nube, ya que estas amenazas pueden causar daños financieros significativos y perjuicios a la reputación de una empresa. También pueden resultar en la pérdida de propiedad intelectual y en responsabilidades legales significativas.
2. Mala Configuración (Misconfigurations)
Esta es una amenaza nueva, pero no sorprendente, ya que existen innumerables ejemplos de empresas exponiendo datos accidentalmente a través de la nube. Uno de esos ejemplos es Exactis, que dejó un banco de datos que contenía información personal de 230 millones de consumidores en EE. UU. debido a configuraciones inadecuadas.
3. Falta de Arquitectura y Estrategia de Seguridad
Este problema es tan antiguo como la propia nube. El deseo de minimizar el tiempo necesario para migrar sistemas y datos a la nube a menudo tiene prioridad sobre la seguridad. Como resultado, la empresa termina utilizando infraestructura y estrategias de seguridad que no fueron diseñadas para el entorno de la nube.
4. Gestión Insuficiente de Identidad, Credenciales y Acceso
Otra amenaza es la gestión y el control inadecuados del acceso a datos, sistemas y otros recursos. El informe afirma que la nube exige que las organizaciones cambien las prácticas relacionadas con la gestión de identidad y acceso. De lo contrario, pueden sufrir incidentes de seguridad y violaciones debido a fallas en credenciales, contraseñas, autenticación, entre otros.
5. Robo de Cuentas (Account Takeovers)
El secuestro de cuentas (account hijacking) sigue siendo una de las principales amenazas a la nube. A medida que los intentos de phishing se vuelven más efectivos y dirigidos, los riesgos de que un invasor obtenga acceso a cuentas privilegiadas son significativos. Cabe destacar que el phishing no es la única forma en que un criminal cibernético puede obtener credenciales. También pueden adquirirlas comprometiendo el propio servicio de nube.
6. Amenazas Internas (Insider Threats)
Las amenazas de usuarios de confianza son tan serias en la nube como lo son en sistemason-premises(locales). Estos individuos pueden ser empleados actuales o antiguos, contratistas o un socio comercial de confianza: cualquier persona que no necesite violar las defensas de la empresa para acceder a sus sistemas.
Un usuario no necesita tener intención maliciosa para causar daños. Estudios recientes muestran que en 2018, el 64% de todos los incidentes reportados fueron causados por negligencia de empleados o contratistas. Esta negligencia puede incluir servidores mal configurados, almacenamiento de datos confidenciales en dispositivos personales o ataques dephishing.
7. Interfaces y APIs Inseguras
Las interfaces y APIs no seguras son un vector de ataque común, como bien sabe Facebook. En 2018, la red social sufrió una violación que afectó a más de 50 millones de cuentas. Especialmente cuando se asocian a interfaces de usuario, las vulnerabilidades de API pueden proporcionar a los invasores un camino simple para robar credenciales de usuarios o empleados.
8. Plan de Control Débil
Un plan de control abarca procesos para duplicación, migración y almacenamiento de datos. De acuerdo con el informe, puede considerarse débil si la persona responsable de los procesos no tiene control total sobre la lógica, la seguridad y la verificación de la infraestructura de datos. Losstakeholdersen control necesitan entender las configuraciones de seguridad, cómo fluyen los datos y sus puntos débiles. No tener esta práctica puede resultar en filtraciones de información, indisponibilidad de datos o corrupción de información.
9. Fallas Estructurales
La metaestructura de un proveedor de servicios en la nube mantiene información de seguridad sobre cómo protege sus sistemas — y divulga esta información a través de llamadas de API. Las APIs ayudan a los clientes a detectar accesos no autorizados, pero también contienen información altamente confidencial, como registros o datos de sistemas de auditoría.
Esta línea también es un posible punto de falla, permitiendo que los invasores accedan a los datos. La mala implementación de API es a menudo la causa de las vulnerabilidades.
Los clientes, por otro lado, pueden no saber cómo implementar aplicaciones en la nube. Este problema es particularmente cierto al conectar aplicaciones que no han sido diseñadas para entornos de nube.
10. Visibilidad Limitada
Una queja común entre los profesionales de seguridad es que un entorno de nube los deja ciegos a la mayoría de los datos necesarios para detectar y prevenir actividades sospechosas. Los expertos dividen este desafío en dos categorías: el uso no autorizado de aplicaciones y el uso indebido de aplicaciones sancionadas.
Cualquier aplicación que no cumpla con las directrices de seguridad corporativa representa un riesgo desconocido para el equipo. El uso indebido implica el uso de aplicaciones aprobadas por individuos autorizados o por criminales cibernéticos con credenciales robadas. En este escenario, los equipos de seguridad deben saber la diferencia entre los usuarios, detectando comportamientos anormales.
11. Abuso
Los criminales cibernéticos están utilizando cada vez más servicios de nube legítimos para apoyar sus actividades. Por ejemplo, pueden usar un servicio de nube para alojarmalwaredisfrazado, lanzar ataques DDoS, enviar correos electrónicos dephishing, minar monedas virtuales o realizar ataques para robar credenciales.
Para los expertos, los proveedores de servicios en la nube deben tomar medidas para mitigar riesgos y detectar abusos, como fraude en herramientas de pago o mal uso de servicios. También es importante que los proveedores tengan una estructura de respuesta a incidentes para permitir que los clientes informen problemas.