Presentada por: Cristian Borghello CISSP - MVP Director

Transcripción

1

2 Presentada por: Cristian Borghello CISSP - MVP Director

3 Sobre Segu-Info y Cristian Borghello Cristian Borghello, es Licenciado en Sistemas, desarrollador, CertifiedInformationSystemsSecurity Professional (CISSP) y Microsoft MVP Security (Most Valuable Professional). Es Director de Segu-Infoy se desempeña como consultor independiente en Seguridad de la Información. Segu-Infoes la comunidad más grande de habla hispana sobre Seguridad de la Información. Brinda información libre y gratuita sobre la temática desde el año 2000.

4 Licencia de uso Creative Commons 2.5 Ud. puede: Copiar, distribuir, exhibir, y ejecutar la obra Hacer obras derivadas Bajo las siguientes condiciones: Atribución. Debe atribuir la obra en la forma especificada por el autor No Comercial. No puede usar esta obra con fines comerciales Compartir Obras Derivadas Igual.Si altera, transforma, o crea sobre esta obra, sólo podrá distribuir la obra derivada resultante bajo una licencia idéntica a ésta

5 Agenda Evolución, como llegamos aquí Definiciones Problemas actuales Nube pública vs privada Requerimientos de seguridad Conclusiones

6 Transformaciones de la Industria Mainframe 6

7 Transformaciones de la Industria Cliente Servidor Mainframe 7

8 Transformaciones de la Industria Cliente Servidor Web 8

9 Transformaciones de la Industria Virtualización 9

10 Transformaciones de la Industria Cuál será la siguiente transformación? Virtualización 10

11 Transformaciones de la Industria IT as a Service 11

12 Definición formal CC es un modelo que permite el acceso bajo demanda a un conjunto compartido de recursos configurables, de los cuales se puede disponer rápidamente con una gestión mínima de esfuerzos Promueve la disponibilidad y se compone de distintas características, modelos de servicio y aplicaciones así como su implementación Definición de Cloud Computing de NIST

13

14 Cuidado con La hacker de la pala En Armenia, la conexión a Internet viene desde Georgia a través de un cable. Accidentalmente, una mujer georgiana de 75 años que estaba cavando en busca de metales cortó el cable subterráneo de fibra óptica y le quitó internet a casi todo el país vecino.

15

16 Barametro de ISACA 44% creen que los beneficios y los riesgos de migrar a la nube están equilibrados 25% usa la nube para servicios no-críticos 25% no migra por cuestiones de privacidad 23% migra por la disminución de costos 32% piensa que la acción más importante es la coordinación de objetivos entre IT y el negocio 47% no realiza análisis de riegos corporativo sobre los servicios de la nube 32% no lo realiza por problemas de presupuesto

17 Opiniones Creemos que CC representa la plataforma para la próxima generación de negocios Microsoft CC esunatrampa destinada a obligar a la gente a adquirir sistemas propietarios, bloqueados, que costarán más conforme pase el tiempo Richard Stallman

18 Mencione al menos 5 problemas

19 Algunos problemas Expansiónde Servidores Cumplimientoy Seguridad: citada como una preocupación prioritaria parael negocioy IT Presupuestosde IT dedicadoal mantenimiento y a equipos aislados en el datacener Dueñodel negocio: Puedo hacerlo másrápido, mejory más baratosiit me ayuda Desarrolladorde Apps: IT me hacemáslento Complejidadde infraestructura: La media de las compañías mantiene48 sistemas financieros distintos y utilizan 2.7 ERPs

20 Y la demanda? Compute ON Average OFF Inactivity Period Usage ON Compute Average Usage Time Cargas alternantes Se desperdicia la capacidad excedida Time Servicios web muy exitosos Retos para salir a mercado Compute Average Usage Compute Average Usage Time Picos impredecibles de demanda Muy difícil de aprovisionar Time Temporalidad en servicios web Capacidad desperdiciada

21 Nube privada Recursos Compartidos Auto Servicio Elasticidad Basado en Uso Control Es la Nube Es la nube centrada en sus servicios Personalizable dedicada a usted Esla nubeen funciónde sus aplicaciones

22 Cloud Computing es lo mismo que la virtualización pero con nombre bonito Un centro de datos virtualizadoes solo el inicio para obtener los beneficios de CC: Reducción de espacio y energía Optimización de desempeño Menores costos Administración de servidores de gestión crítica Movimiento del negocio a la nube con centros de datos ágiles y flexibles

23 Problemas de seguridad Problemas de Insiders? Conocer quién accede a la información almacenada Analizar quién puede acceder, modificaro eliminarinformacióndel centro de datos Servicios compartidos son vulnerabilidades compartidas? Fallas masivas pueden dañar a múltiples clientes o usuarios

24 Principios de seguridad Mínimos privilegios: los usuarios solo tiene autorización para realizar sus tareas Defensa en profundidad: varias capas de seguridad Aislamiento de unidades de negocio, aplicaciones e infraestructura Los atacantes podrían estar autenticados y los datos ser accesibles Criptografía fuerte Automatización y Monitoreo Minimizar la superficie de ataque Gestión del riesgo Cumplimiento de normas y estándares La seguridad es un envoltorio

25 Principios de Seguridad y Gestión La seguridad es un envoltorio Mínimos privilegios: los usuarios solo tiene autorización para realizar sus tareas Los atacantes podrían estar autenticados y los datos ser accesibles Aislamiento de unidades de negocio, aplicaciones e infraestructura Automatización y Monitoreo Criptografía fuerte Defensa en profundidad: varias capas de seguridad Minimizar la superficie de ataque La gestión de Riesgo es la base GRC (Gobierno Corporativo, Administración de Riesgos y Cumplimiento Regulatorio) Cumplimiento de normas y estándares Decisiones inteligentes

26 Primeros pasos

27 Primeros pasos Trazar un flujo de datos y entender cómo se moverán los mismos desde y hacia la nube Evaluar los modelos, servicios y proveedores Mapear los activos a los potenciales modelos de cloud Evaluar los activos Identificar los activos factibles de mover a la nube

28 Alineación de estándares CSA CSA SA-09 - Control de acceso Are system and network environments logically separated to ensure Business and customer security requirements? COBIT HIPAA ISO NIST PCI DSS COBIT 4.1 DS5.10 (seguridad en la red) 45 CFR (aseguramiento del entorno) A , A , A , A (acceso a la red) NIST SP (ciberseguridad) PCI DSS v a 1.4 (desarrollar una red segura)

29 Conclusiones (I) La nube llegó para quedarse Es posible contar con soluciones baratas y fáciles de implementar La solución y la aplicación estará disponible en cualquier lugar Se debe considerar la CID de la información así como los contratos La jurisdicción internacional plantea un desafío que se debe evaluar

30 Conclusiones (II) Parte de lo ahorrado debe invertirse en examinar las capacidades del servicio de CC Requerir herramientas de administración centralizadas Existen servicios que por su criticidad no pueden ser trasladados a la nube Evaluar que aún no es posible garantizar el cumplimiento normativo

31 Conclusiones (III) Exigir el uso y aplicación de certificaciones y estándares. Consultar CSA Se deben evaluar las decisiones de negocio por sobre las decisiones del IT Tomar decisiones en base a la medición de riesgos previa

32 Referencias Cloud Computing en Segu-Info Grupo de Nube Privada Microsoft Cloud Cloud Security Alliance (EN) Gartner: Cloud Computing Security Risks ENISA: Cloud Computing: benefits and risks NIST: Cloud Computing

33 Cristian BorghelloCISSP -MVP Director