¿Cómo se puede desarrollar una arquitectura de protección de datos segura en la nube?

La computación en la nube es cada vez más utilizada por muchas organizaciones. Ofrece un acceso cómodo a un conjunto compartido de recursos informáticos, como infraestructura, plataformas, almacenamiento, datos, software y aplicaciones, como servicio para sus usuarios. Muchas organizaciones están migrando a la nube, ya que facilita la colaboración, mejora la escalabilidad, la disponibilidad, la flexibilidad y la productividad, además de reducir los costos operativos.

Gartner ha pronosticado que el gasto en servicios de nube pública crecerá un 23.1% en 2021 hasta un total de 332.3 millones de dólares. La pandemia de COVID-19 y la transición al teletrabajo han obligado a las empresas a trasladar sus cargas de trabajo de sus instalaciones locales a la nube. Además, muchas tecnologías emergentes, como la contenedorización, la computación en el borde y la analítica, están impulsando el crecimiento de la computación en la nube.

La computación en la nube ofrece múltiples ventajas, pero aún existen numerosos problemas de seguridad que preocupan enormemente a las organizaciones. Las organizaciones almacenan sus aplicaciones críticas y los datos personales de sus clientes en la nube, y proteger dichas aplicaciones y datos es fundamental para su negocio. En los últimos años, se han producido numerosos incidentes de seguridad en los que las empresas no protegieron los datos confidenciales de sus clientes en la nube.

En enero de 2020, más de 250 millones de registros de clientes de Microsoft quedaron expuestos en línea sin las protecciones adecuadas. En 2021, Una filtración masiva de datos expuso los perfiles de LinkedIn de 700 millones de usuarios.Los datos personales de los usuarios afectados se pusieron a la venta en un foro de la dark web. Los datos expuestos incluían... Información de identificación personal (PII) de los usuarios, como nombres completos, direcciones de correo electrónico, direcciones particulares, números de teléfono, etc.

Junto con las organizaciones, el enfoque de los hackers también se ha desplazado de los datos locales a los datos en la nube. Según una encuesta, casi todas las organizaciones han sufrido una filtración de datos en la nube en los últimos 18 meses. Gartner ha declarado en su informe de evaluación de seguridad en la nube que Para 2025, el 99% de los fallos de seguridad en la nube se deberán a problemas de seguridad del lado del cliente. en lugar del lado del proveedor de la nube.

En el escenario actual, si las empresas desean ampliar su uso de la nube, necesitan proteger sus datos confidenciales y reforzar la seguridad general de los datos en la nube. Si desean beneficiarse de la computación en la nube, además de proteger los datos y la confianza de sus clientes, necesitan desarrollar una arquitectura segura para la protección de datos en la nube.

Preocupaciones de las organizaciones por la seguridad de los datos en la nube

Cuando una organización traslada sus datos confidenciales a la nube, surgen muchas inquietudes y preguntas relacionadas con el almacenamiento y la protección de datos en la nube. Algunas de estas inquietudes son:

¿El proveedor de la nube tiene suficientes capacidades de seguridad y tecnologías compatibles?

• ¿El proveedor de la nube tiene suficientes capacidades de seguridad y tecnologías compatibles?
• ¿El proveedor de la nube cumple con las regulaciones y especificaciones de cumplimiento necesarias?
• ¿Cuáles son los protocolos de seguridad que utiliza el proveedor de la nube?
• ¿Cómo almacena los datos el proveedor de la nube?
• ¿El proveedor de la nube guarda los datos confidenciales en el mismo host físico con otros inquilinos?
• ¿El proveedor de la nube garantiza la seguridad física de los servidores que almacenan los datos?
• ¿El proveedor de la nube tiene acceso a los datos de la organización?
• ¿El proveedor de la nube protege los datos en reposo y en tránsito?
• ¿Cuáles son las diferentes tecnologías de cifrado que utiliza el proveedor de la nube?
• ¿Tiene el proveedor de la nube acceso a los datos cifrados?
• ¿Cómo se almacenan y protegen las claves de cifrado?
• ¿El proveedor de la nube tiene acceso a las claves de cifrado?
• ¿Cómo se actualizan y rotan las claves de cifrado?
• ¿El proveedor de la nube sigue las notificaciones de infracciones según las políticas y estándares de la empresa?
• ¿Cómo gestionar datos en entornos multicloud?
• ¿Cómo proteger los datos en un entorno multi-cloud?
• ¿Cómo gestionar claves en un entorno multi-cloud?

Desarrollo de arquitectura para la protección de datos

Los clientes de la nube necesitan tomar el control de la seguridad de sus datos confidenciales en la nube, en lugar de confiar únicamente en el proveedor. Las organizaciones deben asegurarse de que la arquitectura de protección de datos en la nube cumpla con las siguientes recomendaciones:

1. Los datos confidenciales están protegidos en reposo, en tránsito y en uso.
2. Los datos confidenciales siempre deben cifrarse en la organización antes de transmitirse a la nube para su almacenamiento.
3. Las claves de cifrado deben ser controladas por la organización y no por el proveedor de la nube.

Las claves de cifrado son un componente fundamental de cualquier sistema criptográfico y deben estar siempre protegidas del acceso no autorizado. En el cifrado de datos, la gestión de claves es la parte más difícil. Esta se vuelve aún más compleja en entornos de nube y multinube. La gestión de claves se refiere a la gestión de claves de cifrado. Incluye la generación, el almacenamiento, la rotación, el uso, el acceso y la destrucción de claves.

A gestión de claves Este servicio permite a los clientes gestionar sus propias claves para cifrar los datos en la nube. La mayoría de los proveedores de servicios en la nube ofrecen servicios de gestión de claves. Las organizaciones pueden utilizar el cifrado en la nube, donde el proveedor genera y gestiona las claves para cifrar y descifrar los datos.

Las organizaciones pueden usar BYOK (traigan su propia clave), lo que les permite generar y administrar las claves de cifrado, pero el proveedor de la nube tiene acceso a ellas. Las organizaciones también pueden generar, administrar y almacenar sus claves de cifrado en sus propios entornos, sin que el proveedor de la nube tenga acceso a ellas. Para aprovechar las diversas herramientas y plataformas en la nube, las organizaciones necesitan crear una estrategia de seguridad centrada en los datos para proteger sus datos confidenciales en la nube. Es imposible desarrollar una única solución de protección de datos para la nube, ya que implica múltiples aspectos.

La seguridad de los datos debe analizarse desde múltiples perspectivas y debe crearse una arquitectura de protección de datos en la nube robusta y segura. Las organizaciones deben comprender la seguridad integrada que ofrecen los proveedores de la nube y cómo aprovecharla al máximo. La mayoría de los proveedores de la nube ofrecen cifrado en reposo y en tránsito para proteger los datos en la nube. Es fundamental implementar controles de acceso y políticas de contraseñas rigurosos para proteger nuestros datos.

Conclusión

Encryption Consulting puede ayudarlo a identificar y proteger sus datos confidenciales en la nube, comprender y utilizar los métodos de protección de datos proporcionados por los proveedores de la nube, administrar sus claves en multi-nube entornos, cumplimiento de las normas y regulaciones de privacidad y fortalecimiento de la seguridad de los datos en la nube de sus organizaciones.