Las organizaciones utilizan cada vez más los servicios en la nube. Según una encuesta reciente, el 92% de las organizaciones utilizan más de una, en promedio 2,6 nubes en organismos gubernamentales y 2,7 en empresas privadas.
Los principales beneficios de la nube son una mayor accesibilidad a la automatización y una sincronización superior de datos e información.
Sin embargo, muchas personas creen que usar un proveedor de almacenamiento en la nube aumenta la ciberseguridad. Esto es parcialmente cierto.
De hecho, la información almacenada en la Nube se almacena en un lugar físico y, si es accesible para usted, significa que también podría ser accesible para los ciberdelincuentes.
Para proteger realmente los datos almacenados en la nube, debe tomar las mismas precauciones que tomaría con la información almacenada en otro lugar. Esto significa implementar controles adecuados basados en el marco descrito en ISO 27001, el estándar internacional que describe las mejores prácticas para un SGSI (Sistema de Gestión de Seguridad de la Información).
En este artículo, analizamos tres formas en que ISO 27001 puede ayudar a proteger la información almacenada en la nube.
software antivirus
La Nube, como cualquier base de datos accesible a través de Internet, es susceptible a ataques de malware.
Estos pueden venir en cualquier forma, incluidos gusanos, adware, keyloggers y ransomware. La única forma de detectarlos constantemente es con tecnología antivirus y antimalware.
El Anexo A.12.2 de ISO 27001 trata sobre la prevención de malware y el punto de partida obvio es el software antimalware.
Estas son algunas de las herramientas de ciberseguridad más comunes en el mercado, por lo que no debería tener problemas para encontrar un paquete adecuado. Compañías como Norton, Bitdefender y Kaspersky ofrecen servicios y se diferencian por funciones adicionales.
Bitdefender, por ejemplo, destaca por su capacidad para detectar ransomware, mientras que F-Secure es uno de los pocos servicios que se pueden utilizar en dispositivos Apple.
Concienciación del personal
Prevenir el malware es más importante que detectar sus amenazas. El Anexo A.12.2 indica otras acciones que las organizaciones pueden tomar para garantizar que las vulnerabilidades se aborden de inmediato y que los empleados no cometan errores que puedan permitir que el malware ingrese a los sistemas de la organización.
Una forma de hacer esto es implementar un programa de parches de vulnerabilidad para garantizar que las actualizaciones se apliquen rápidamente.
Las organizaciones también deben probar la eficacia de estos parches para garantizar la disponibilidad continua y la integridad de la información al tiempo que minimizan las incompatibilidades.
La formación de conciencia del personal juega un papel crucial en este proceso. Se debe educar a los empleados sobre la importancia de la gestión de parches y se les deben dar pautas sobre los pasos a seguir.
Además, consideramos que la infección de malware ocurre más comúnmente a través de correos electrónicos de phishing. Por lo tanto, las organizaciones deben realizar capacitaciones periódicas de concientización del personal para ayudar a los empleados a detectar correos electrónicos sospechosos y denunciarlos de inmediato.
Copia de seguridad de la información
Otro control que ayuda con la seguridad en la Nube se puede encontrar en el Anexo A.12.3, donde se indica que las organizaciones deben respaldar la información confidencial.
Las organizaciones a menudo piensan erróneamente que la nube en sí misma es una copia de seguridad, porque estará segura en caso de que algo le suceda a los servidores propiedad de la organización.
Sin embargo, los servidores en la nube también son vulnerables al compromiso, por lo que las organizaciones deben mantener copias de información valiosa en múltiples ubicaciones.
Los esquemas de respaldo deben diseñarse de acuerdo con los requisitos de cada organización y de acuerdo con los niveles de riesgo relacionados con la disponibilidad de la información. Las organizaciones también deben probar sus copias de seguridad con regularidad para garantizar que la información se pueda restaurar por completo y sin corrupción.
Trabajo remoto
El desarrollo del trabajo remoto tras la pandemia es una de las principales causas del aumento del almacenamiento en la nube. Con empleados repartidos por todo el país o, en algunos casos, por todo el mundo, las organizaciones necesitan una ubicación central que permita a los empleados acceder a la información.
Sin embargo, el trabajo remoto presenta riesgos de seguridad asociados con el acceso a la información. El Anexo A.6.2.2 de ISO 27001 contiene pautas para abordar estos riesgos, centrándose en los dispositivos móviles y el teletrabajo.
Al crear políticas en torno a estos temas, las organizaciones pueden no hay reglas establecidas sobre quién puede acceder, almacenar y procesar información en la nube mientras trabaja de forma remota.
La mayoría de las organizaciones deberían tener controles de acceso en sus sistemas internos para garantizar que la información solo sea visible para ciertos miembros del personal. Esto reduce el riesgo de amenazas internas y mitiga el daño en caso de que un ciberdelincuente comprometa la cuenta de un empleado.
Se deben aplicar medidas similares a los sistemas en la nube. A veces, esto es solo un acceso limitado a las bases de datos en la nube, pero es posible que haya información dentro de esos sistemas que deba limitarse aún más.
Fuente: it.governance.eu – Luke Irwin
