La computación en nube permite reducir recursos informáticos eficiente y rápidamente según las necesidades de cada empresa, incluidas las de cuidado de la salud. El uso de la nube permite almacenar y acceder a la información importante sin necesidad de acumularla en el disco duro de algún equipo. Ahora bien, esto implica que los datos y aplicaciones deben estar bien resguardadas con una política sólida de mitigación de riesgos en la nube.
La adopción masiva de servicios en la nube ha brindado innumerables beneficios a las organizaciones en términos de escalabilidad, flexibilidad y eficiencia operativa. De hecho, un estudio de Forrester comisionado por Tenable en 2021 señala que 77% de las empresas mexicanas migraron servicios críticos a la nube. Por supuesto, esto ha dado pie a mayores desafíos en materia de seguridad de la información y de mitigación de riesgos en la nube.
Tan sólo hace unos días el software MOVEit fue víctima de un ataque que puso en riesgo la información de grandes empresas. Dicho programa de transferencia administrada de archivos es usado por las organizaciones para intercambiar datos confidenciales y archivos grandes, tanto interna como externamente. El ataque puso en riesgo información delicada, incluyendo datos de identificación personal, nombres, fechas de nacimiento y números de seguridad social, entre otras cosas.
Estrategias para la mitigación de riesgos en la nube
De acuerdo con el informe Panorama de amenazas 2022 —una retrospectiva elaborada por Tenable—, uno de los mayores desafíos a los que se enfrentan las organizaciones para la mitigación de riesgos en la nube es que no se informa en un boletín de seguridad sobre las vulnerabilidades que afectan al componente CSP. Tampoco se les asigna un identificador de CVE. Esta falta de transparencia, entre otras barreras, dificultan la pronta evaluación del riesgo.
En este sentido, Tenable —firma especializada en la gestión de exposición cibernética— enlista estrategias puntuales para fortalecer la mitigación de riesgos en la nube.
●Monitoreo y detección de amenazas. El monitoreo constante de la infraestructura y la detección temprana de posibles amenazas son cruciales para la mitigación de riesgos en la nube. El uso de herramientas de monitoreo avanzadas y análisis de registros puede ayudar a identificar actividades sospechosas y responder de manera oportuna.
●Evaluación de proveedores de servicios en la nube. Es esencial realizar una evaluación exhaustiva de los proveedores de servicios en la nube antes de tomar una decisión. Esto implica revisar su historial de seguridad, políticas y procedimientos, cumplimiento normativo y, sobre todo, medidas de protección de datos.
●Capacitación. Los cibercriminales tienen una forma sencilla y rápida de vulnerar los sistemas informáticos de una empresa a través del phishing. Los atacantes usan a los empleados para que, involuntariamente, les faciliten el acceso a los sistemas de la organización.
Por esta razón, es de suma importancia capacitar oportunamente a todo el personal sobre los riesgos asociados con la seguridad informática.
Proteger la infraestructura
●Constante detección de las fallas de TIC en las noticias. Se deben monitorear constantemente las noticias del sector y conocer la forma en la que los atacantes han actuado. Esta actividad ayuda a la mitigación de riesgos en la nube. Dado que la nube está en constante y compleja evolución y siempre hay algo que aprender de los incidentes de alto perfil que fracasan.
●Encriptación de datos. La encriptación es el procedimiento por el cual uno o varios archivos o datos son protegidos mediante un algoritmo que desordena sus componentes. Eso imposibilita abrirlos o decodificarlos a menos que se tenga una llave. Cuando una persona intercepta un archivo encriptado, aunque pueda abrirlo sólo distinguirá un grupo de caracteres ilegibles. Utilizar protocolos de cifrado sólidos y administrar adecuadamente las claves de encriptación son elementos clave en la estrategia de mitigación de riesgos en la nube.
●Alianza con organizaciones público-privadas. El refuerzo de la comunicación con las asociaciones público-privadas facilita el conocimiento, desarrollo y la aplicación de normas, directrices y mejores prácticas de ciberseguridad.
En conclusión, la mitigación de riesgos en la nube es un aspecto crucial para cualquier organización que adopte este servicio. «Al implementar medidas sólidas de seguridad, realizar copias de seguridad y planes de recuperación, cumplir con las regulaciones normativas y fomentar una cultura de seguridad entre los empleados, las organizaciones pueden proteger su infraestructura y minimizar los riesgos asociados», asevera Carlos Ortiz Bortoni, director general de Tenable México.
