EFECTOS DEL CLOUD SOBRE EL MARCO DE CONTROLES TI

Transcripción

1 EFECTOS DEL CLOUD SOBRE EL MARCO DE CONTROLES TI Carlos Sahuquillo Consultor de Seguridad e Infraestructuras on Twitter Fecha: 08 de mayo de 2013

2 Qué es Cloud? 08/05/2013 2

3 Qué es cloud? Es una simple nube de color amarillo que sirve como medio de transporte para aquel que pueda utilizarla, tiene como requisito que sólo puede ser usada por una persona de corazón puro, quien no cumpla el requisito pasará a través de ella como si fuera una nube normal, la única manera es que viaje agarrado de una persona que si la pueda utilizar. A esta nube se la puede llamar desde cualquier espacio abierto, y ésta puede llevar a su viajero a cualquier lugar. 08/05/2013 3

4 Similitudes entre la nube de Son Goku y cloud Nube Kingdom cloud Son un medio de transporte Tienen sus riesgos No es para todo el mundo Si sólo no eres capaz... Hazlo con alguien que sepa 08/05/2013 4

5 Preocupación principal 08/05/2013 5

6 Riesgos reales 08/05/2013 6

7 De cloud a fog Falta de claridad en el servicio Falta de roles y responsabilidades Desarrollar una gestión del riesgo apropiada SLA s y monitores de rendimiento 08/05/2013 7

8 A tener en cuenta El cloud se debe considerar como un enabler estratégico. Se debe diferenciar entre cloud y outsourcing. Dirección debe ser consciente de los nuevos riesgos introducidos por el cloud. Estandarización de métricas 08/05/2013 8

9 La empresa es responsable de: Definir apropiadamente los requisitos funcionales y de control. Uso adecuado de los servicios automatizados TI es responsable de: Automatizar e implementar los requisitos de las funciones de negocio y de control Establecer controles para mantener la integridad de controles de aplicación. 08/05/2013 9

10 Enablers 2. Procesos 3. Estructuras Organizacionales 4. Cultura, Ética y Comportamiento 1. Principios, Políticas y Marcos 5. Información 6. Servicios, Infraestructura y Aplicaciones RECURSOS 7. Personas, Habilidades y Competencias 08/05/

11 Requisito: CISO Si aún no forma parte de los procesos de gobierno o ciclo de vida del desarrollo de sistemas del negocio, la transición a la computación en la nube esencialmente requiere que se incluya un oficial o director de seguridad de la información de la compañía en todos los nuevos procesos de gobierno y ciclo de vida del desarrollo de sistemas. 08/05/

12 GEIT: Business and Governance of Enterprise IT Estableciendo los objetivos de negocio en un escenario cloud: Identificar los objetivos de negocio más allá de las capacidades actuales de IT. Definir las oportunidades que nos ofrece la nube. Cuantificar los beneficios previstos de tener las aplicaciones en la nube. Identificar las regulaciones normativas que aplican. 08/05/

13 GEIT: Business and Governance of Enterprise IT Estableciendo los objetivos de negocio en un escenario cloud: Verificar cuáles de los puntos anteriores son aplicables a los stakeholders. Comparar los beneficios con los beneficios obtenidos actualmente. 08/05/

14 Cómo evolucionan nuestros controles 08/05/

15 Cada vez mas dependencia de un tercero Se requieren cambios para expandir los enfoques y las estructuras de gobierno a fin de manejar apropiadamente las nuevas soluciones de TI y mejorar los procesos de negocio. 08/05/

16 Modelos de servicio Infraestructura como Servicio (IaaS) Plataforma como Servicio (PaaS) Software como Servicio (SaaS) 08/05/

17 Modelos de servicio 08/05/

18 Qué podemos hacer? Conocer a nuestro proveedor de cloud Derecho de auditoria Asegurar la continuidad Política de Seguridad Transparencia de procesos Right to be forgotten Creatividad! 08/05/

19 Es un camino largo 08/05/

20 No podemos desfallecer 08/05/

21 Nuevos riesgos y preocupaciones El proveedor maneja la información. Recuperación de la información. Posible acceso de terceros. Equipos compartidos en nubes públicas. 08/05/

22 Desafíos para la seguridad de la información Técnicamente, el cloud no es seguro por su naturaleza misma, ya que enfrenta desafíos como el control del acceso, la centralización de los datos y la seguridad de la información. 08/05/

23 Más requisitos Cumplimiento de leyes, regulaciones, normativas, marcos Flujo de información Certificación 08/05/

24 Está listo el mercado? Interoperabilidad entre proveedores 08/05/

25 Controles IT para el cloud 08/05/

26 Referencias Center/Research/ResearchDeliverables/Pages/Cloud-Computing- Business-Benefits-With-Security-Governance-and-Assurance- Perspective.aspx Center/Research/ResearchDeliverables/Pages/IT-Control-Objectivesfor-Cloud-Computing-Controls-and-Assurance-in-the-Cloud.aspx 08/05/

27 GRACIAS POR SU on Twitter 08/05/ / TOTAL DIAPOS