No todas las nubes son creadas iguales, al menos no en términos de seguridad.

Los entornos multicloud son increíblemente populares hoy en día; según una encuesta realizada por IBM, el 85% de las empresas utilizan entornos multicloud. La misma encuesta reveló que el 98% de las empresas planean adoptar múltiples nubes híbridas para 2021. 

Si bien los entornos multicloud son elásticos y personalizables, el multicloud requiere un escrutinio adicional y una gestión dedicada. Las empresas deben configurar e integrar adecuadamente varios servicios en la nube para evitar ataques, fugas de datos y violaciones de seguridad. 

Hay una buena razón por la que tantas empresas están considerando soluciones multicloud, más obviamente, para evitar poner todos sus huevos en una sola canasta. En otras palabras, las empresas están buscando el multicloud para aumentar su eficiencia general y reducir gastos. Eso es cierto en su mayor parte; sin embargo, un entorno multicloud adecuadamente seguro requiere un esfuerzo y tecnología adicionales. 

Mientras que casi la mitad (48%) de los datos corporativos se almacenan en la nube, solo el 32% de las organizaciones admiten que emplean un enfoque de seguridad primero para el almacenamiento de datos en la nube, según un informe del Grupo Thales. 

Esto es preocupante. 

Las empresas deben priorizar la seguridad por encima de todo por el bien de su negocio y de sus clientes. Sin ella, los servicios en la nube abren a las empresas a amenazas ilimitadas que pueden resultar en pérdida de datos, multas elevadas o robo de información propietaria. 

Multicloud vs. otros entornos en la nube

Antes de profundizar en los desafíos asociados con los entornos multicloud, diferenciemos los sistemas multicloud de otros servicios en la nube comunes. 

Nube pública — La nube pública se utiliza a través de proveedores de servicios en la nube como AWS, Microsoft Azure o Google Cloud. Estos diversos servicios funcionan en la infraestructura del proveedor y generalmente utilizan un modelo de pago por uso. Eliminan la necesidad de que las empresas gestionen la infraestructura y los recursos compartidos.

Nube privada — Las nubes privadas son los entornos en la nube más simples que uno puede imaginar, operando dentro de la propia red de una empresa. Las nubes privadas requieren infraestructura y gestión localizadas. Muchos proveedores de servicios en la nube ofrecen nubes privadas virtuales, que son entornos en la nube virtualizados e aislados que funcionan en la infraestructura de la nube pública.

Nube híbrida — Los entornos de nube híbrida combinan aspectos de los entornos de nube pública y privada. Las empresas generalmente utilizan recursos de nube pública para operaciones importantes, pero almacenan datos sensibles en infraestructura local y privada. Las nubes híbridas pueden ser algunas de las soluciones más flexibles, pero también pueden ser algunas de las más difíciles de gestionar.

Multicloud — Los entornos multicloud utilizan múltiples entornos en la nube para tareas y operaciones específicas. A diferencia de los entornos de nube híbrida, los entornos multicloud pueden usar múltiples nubes públicas o privadas, o una combinación de ambas. Estas nubes individuales generalmente operan de manera independiente. Por ejemplo, un entorno multicloud podría ejecutar todas las actividades de computación desde un proveedor de servicios en la nube, bases de datos de otro proveedor de servicios y utilizar infraestructura local para almacenar datos sensibles. 

Problemas comunes con la seguridad multicloud

Si bien los entornos multicloud ofrecen una multitud de beneficios, existen numerosas amenazas y problemas que pueden surgir como resultado de la adopción multicloud.

Control de acceso — Una de las formas más simples para que alguien obtenga información sensible es mediante el uso indebido de permisos otorgados por un administrador. La ingeniería social hace que robar credenciales sea tan fácil como enviar un correo electrónico de phishing. La gestión adecuada del control de acceso a la red a través de múltiples entornos en la nube requiere un monitoreo continuo de permisos y comportamiento de los usuarios. Las empresas deben asegurarse de que solo las partes aprobadas interactúen con datos sensibles mientras certifican que no se muevan datos de una ubicación segura a un entorno vulnerable.

Autenticación — Incluso con control de acceso y gestión de identidad, las empresas deben seguir imponiendo múltiples capas de autenticación en cada servicio en la nube que almacene datos sensibles. La forma más fácil de hacer esto es utilizando herramientas de autenticación multifactor (MFA) que requieren verificación secundaria a través de código SMS, generador de claves o correo electrónico. Además, las soluciones basadas en riesgos tienen en cuenta múltiples factores de riesgo como ubicación, comportamiento o permisos. Este tipo de software se está volviendo más común ya que consideran numerosas variables para mitigar el riesgo. 

Cumplimiento — Con múltiples entornos en la nube interactuando con la información empresarial, puede ser difícil asegurar que cada pieza de datos sensibles esté debidamente etiquetada y asegurada. Varias municipalidades tienen regulaciones específicas que se refieren a la privacidad de los datos y el cumplimiento de la seguridad. Una empresa debe asegurarse de que la información que almacena cumpla con las normativas en cada ubicación donde realiza negocios. 

Gestión de vulnerabilidades — Las aplicaciones y redes requieren pruebas y escaneos frecuentes para detectar vulnerabilidades. De lo contrario, los cortafuegos u otros mecanismos de seguridad podrían ser fácilmente eludidos con algo tan simple como una inyección SQL. Además de los escáneres de vulnerabilidades tradicionales, las empresas deben utilizar software de inteligencia de amenazas para asegurar que sus recursos en la nube estén protegidos de las amenazas más avanzadas en internet. 

Mejores prácticas para sistemas de seguridad multicloud

Visibilidad centralizada — Los entornos multicloud tienen numerosas partes móviles y sistemas aislados. Esto hace que sea difícil para las empresas obtener una imagen completa de cada servicio en la nube que utilizan, cómo están conectados y quién tiene acceso a ellos. En los últimos años se han introducido numerosas herramientas que permiten a las empresas obtener visibilidad en sus entornos multicloud. Las plataformas de gestión de la nube son la forma más fácil para que las empresas centralicen el control de varias nubes y hagan cumplir el cumplimiento en entornos multicloud. 

Protección de cargas de trabajo — Las cargas de trabajo son las funciones y recursos que se ejecutan en un entorno en la nube. En un escenario multicloud, a menudo operan de manera independiente y requieren atención individual. Las plataformas de protección de cargas de trabajo en la nube ayudan a asegurar que cada carga de trabajo individual esté debidamente configurada y que se tengan en cuenta las vulnerabilidades. También ayudan en el monitoreo del comportamiento para detectar uso indebido e intrusiones. 

Gobernanza de datos — Debido a que el 21% de los archivos en la nube contienen datos sensibles, es increíblemente importante mantener una visibilidad continua de los almacenes de datos. Si aún no los usas, considera soluciones de seguridad centradas en los datos para simplificar el descubrimiento y etiquetado de información sensible. El software de cumplimiento en la nube también puede ayudar a gestionar las políticas de seguridad y cumplimiento en las cargas de trabajo en la nube. 

Aplicación de políticas — La aplicación de políticas y la gestión de configuraciones son algunas de las tareas más difíciles asociadas con la gestión de un entorno multicloud. Estas políticas incluyen una combinación de medidas de seguridad para facilitar el control de acceso, proteger entornos, asegurar datos sensibles y prevenir el uso indebido. Cada mecanismo de seguridad que protege varios entornos en la nube requiere configuraciones específicas para su servicio en la nube individual y caso de uso. Las configuraciones incorrectas pueden aumentar la probabilidad de un ataque; además, las políticas de seguridad deficientes y las configuraciones incorrectas abren los entornos en la nube a una multitud de amenazas. 

Noticias recientes en seguridad multicloud

La mayoría de las empresas ya utilizan o planean adoptar una solución multicloud en un futuro cercano. Como resultado, el mercado de seguridad y gestión multicloud está creciendo; el financiamiento de riesgo y las adquisiciones importantes son evidencia de la gran expansión del mercado. 

A principios de este año Google anunció el lanzamiento de Anthos, una herramienta diseñada para construir y gestionar aplicaciones en entornos híbridos y multicloud. Anthos se puede utilizar para construir, gestionar y desplegar aplicaciones en la Plataforma de Google Cloud (GCP) con Google Kubernetes Engine (GKE).

Esta herramienta se puede utilizar para automatizar el protocolo de seguridad empresarial y otras políticas en entornos multicloud. Esto puede ayudar a gestionar e imponer controles de acceso basados en roles estrictos mientras se monitorean comportamientos, tráfico y rendimiento en sistemas de TI complejos.

Este octubre, Aviatrix recibió $40 millones en financiamiento de Serie C de CRV. Aviatrix proporciona servicios de redes y seguridad para la empresa multicloud. El "servicio" se entrega a través de una serie de componentes modulares y virtualizados. La plataforma de gestión centralizada proporciona visibilidad y control completos de la red. Los usuarios pueden automatizar tareas de redes complejas, monitorear nubes a través de múltiples cuentas y desplegar herramientas de seguridad virtualizadas para gestionar dominios, conexiones, cortafuegos y eventos de políticas.  

También en octubre, Fortinet compró al proveedor de seguridad enSilo por una cantidad no revelada, pero, antes de la adquisición, enSilo había recaudado más de $50 millones en financiamiento. Fortinet planea expandir la funcionalidad de sus ofertas FortiSIEM, FortiInsight y FortiNAC. Fortinet dice que la funcionalidad expandida permitirá una mayor visibilidad y control coordinado de redes, usuarios y actividades desde puntos finales hasta entornos multicloud. 

Aparte de fusiones, adquisiciones y financiamiento de riesgo, proveedores de seguridad establecidos como FireEye expandieron la funcionalidad para adaptarse a entornos multicloud. A principios de este mes, FireEye anunció nueva funcionalidad para su plataforma de seguridad helix que está específicamente diseñada para mejorar la seguridad de los entornos multicloud. La empresa lanzó un comunicado sobre el cambio. 

“Con demasiada frecuencia, las organizaciones carecen de los controles y la experiencia necesarios para extender su visibilidad y protección a través de infraestructuras multicloud complejas. Estos lanzamientos extienden el poder de la tecnología e inteligencia de FireEye a través de una arquitectura basada en la nube para detección escalable, visibilidad centralizada, monitoreo de configuraciones y análisis de comportamiento de usuarios. Trabajando sin problemas, estas capacidades empoderan a las organizaciones para identificar ataques avanzados que eluden las defensas tradicionales.”

— Extracto del comunicado de Fortinet

Mirando hacia el futuro, más empresas consolidarán y virtualizarán sus herramientas existentes, y ofrecerán una plataforma centralizada para la seguridad multicloud. Estas herramientas mejorarán el control y aumentarán la seguridad para los entornos en la nube mientras automatizan tareas como monitoreo, detección y remediación.

Las empresas deben considerar varias plataformas de gestión de la nube y soluciones de seguridad en la nube disponibles para mejorar su visibilidad de red y reforzar su seguridad en la nube.