Seguridad en la nube. Aspectos prácticos. Jordi Gascón, CA Technologies IFEMA, 16 Febrero 2011

Transcripción

1 Seguridad en la nube. Aspectos prácticos Jordi Gascón, CA Technologies IFEMA, 16 Febrero 2011

2 agenda Seguridad en la nube. Aspectos prácticos. La necesidad. Importancia del papel de la seguridad TIC en cloud computing y algunos datos del estado actual y los obstáculos principales para su adopción Aspectos prácticos. del control de acceso a los servidores, especialmente del cloud provider de la gestión de identidades y el acceso a las aplicaciones de la protección de la información uso de estándares: el camino correcto Conclusiones 2 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

3 La necesidad Cerca del 80% de organizaciones de más de 1000 empleados disponen de al menos 1 servicio cloud y a menudo hasta 6 La virtualización está contribuyendo al pensamiento cloud ; de media un tercio de servidores x86 ya están virtualizados Las grandes empresas tienen en el horizonte el modelo IaaS y PaaS con una adopción del 58% y un 43% considerándolo actualmente El factor económico y, en menor medida, la mejora del servicio y la productividad están empujando el interés en la nube La seguridad es la barrera principal esgrimida por los ejecutivos de TI: el 68% de ellos citan Seguridad en general y 30% Compliance 3 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

4 La necesidad Source: The arrival of cloud thinking. Management Insight Technologies 4 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

5 La necesidad Source: The arrival of cloud thinking. Management Insight Technologies 5 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

6 La necesidad Source: The arrival of cloud thinking. Management Insight Technologies 6 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

7 Aspectos prácticos control de acceso a los servidores Una de las características de cloud computing es que, con excepción de las cloud privadas, no somos propietarios de la infraestructura física y, por tanto, se produce una pérdida de control sobre los activos. En los tres modelos de servicio en la nube (IaaS, PaaS y SaaS) los servidores reales son controlados y operados por el cloud provider Los administradores del proveedor son el equivalente a nuestros administradores de sistemas, pero no son empleados de nuestra organización: Están en la categoría de super usuarios Controlan los hipervisores y, por tanto, todos los recursos sin necesidad de autenticarse en nuestros aplicativos No los conocemos 7 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

8 Aspectos prácticos control de acceso a los servidores Usuario de Negocio Seguridad de aplicación Seguridad de Sistema Op. Seguridad de aplicación Seguridad Sistema Op. Usuario Privilegiado Datos Datos Maquina virtual 1 Hipervisor Maquina virtual 2 Usuario Privilegiado cloud provider o VM Admin 8 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

9 9 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

10 Aspectos prácticos de la gestión de identidades y el acceso a las aplicaciones Definir claramente los roles y derechos de los usuarios es más importante que nunca. Es necesario poner en orden nuestros sistemas con la ayuda de soluciones de modelado de roles automatizadas antes de adoptar soluciones en la nube ya sean privadas, públicas o híbridas. Adicionalmente, esta actividad de minado de roles y atributos debe realizarse de manera periódica. La Federación de Identidades, el Web Single Sign On/Access Control y los conectores de sistemas de aprovisionamiento de usuarios diseñados para aplicaciones en la nube cobran una relevancia fundamental para garantizar la adopción de estos modelos 10 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

11 Aspectos prácticos de la gestión de identidades y el acceso a las aplicaciones Gestión de Identidades y Acceso para la nube Apl./Plataformas Cloud & Web Services Socios Clientes Gestión de Identidades Federación de Identidades Web Access Management Log Management Gestión de Usuarios Privilegiados Seguridad para Virtual Server Apl. SaaS & Web Services Empleados Móviles Empleados Internos Apls. Empresariales 11 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

12 Aspectos prácticos de la gestión de identidades y el acceso a las aplicaciones Gestión de Identidades y Acceso para la nube Socios Admin Delegado Autor. Avanzada Apl./Plataformas Cloud & Web Services Clientes Identidad Acceso Apl. SaaS & Web Services Gobierno Empleados Móviles Empleados Internos Interoperabilidad con soluciones de gestión de identidades y acceso (Provisioning, WAM, esso) Apls. Empresariales 12 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

13 Gestión de identidades acceso de clientes y partners as a service La Federación y administración delegada posibilita que los clientes y partners gestionen sus propios usuarios Clientes (Millones) Portal del Cliente Usuarios (cientos) CA IAM On Demand Usuarios externos Cloud Apps Cloud Apps Cloud Apps Portal del Administrador Usuarios (cientos) Ent App Ent Apps Apps Partner Empresa Acceso de usuarios externos Auto servicio de registro y creación de cuentas Autoservicio de gestión de perfil y password Administración delegada para usuarios locales Soporte a federación de identidades Single sign on de clientes a múltiples aplicaciones Informes de auditoría y cumplimiento Soporte a identidades de consumidores (Google, Facebook, OpenID) Servicios opcionales pre-integrados Verificación de identidad contra bases de datos de información de consumidores Aseguramiento de la Identidad Prevención de fraude y puntuación de riesgo de la transacción Autenticación avanzada (multifactor) Password de un solo uso vía teléfono móvil Firmado digital de documentos Identity Governance Certficación de acceso 13 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

14 Aspectos prácticos de la protección de la información Multi tenancy Uno de los beneficios del cloud computing es la capacidad de aprovechar todos los recursos de manera extensiva. Pero esto tiene sus peligros porque en muchos casos compartimos servidores físicos con otras organizaciones El control de los recursos de nuestros servidores es fundamental para evitar cross atacks Acceso Privilegiado Anteriormente vimos el acceso de los usuarios privilegiados que evitan la capa de seguridad de los aplicativos. Este mismo problema se da con la protección de la información una vez acceden al servidor por lo que una solución de control de acceso a los recursos que audite e incluso impida el acceso de los superusuarios en base a políticas predeterminadas es fundamental; especialmente para poder cumplir con las normativas. 14 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

15 Aspectos prácticos uso de estándares: el camino correcto Estándares más usados en la actualidad SAML, OpenID, InfoCards. Otros estándares que debemos incorporar WS-Security/WS-Trust, SPML, XACML ISO, CSA, OASIS Todas estas organizaciones tienen iniciativas para la creación y promoción de estándares de seguridad para la nube. Y para los cloud providers. SAS 70, PCI, ISO y mientras más, mejor. 15 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

16 Aspectos prácticos uso de SLA s y claúsulas contractuales Source: Burton Group 2009 Cloud Computing Security in the Enterprise, July 15, 2009 By Dan Blum 16 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

17 Conclusiones La seguridad se percibe como barrera para la adopción de cloud. Es el momento de que los profesionales de la seguridad se conviertan en facilitadores en lugar de bloqueadores. Existe tecnología en el mercado para mitigar los riesgos del cloud computing, al igual que ya se ha hecho para el outsourcing o la adopción de Internet como herramienta en las empresas. Queramos o no, el cloud computing está aquí para quedarse, junto a otros muchos modelos de entrega de servicios TI ya implementados, por lo que mejor empezamos a planificar YA. 17 Febrero 16, 2011 Seguridad en la nube. Aspectos Prácticos Copyright 2011 CA. All rights reserved.

18 gracias