Seguridad en Cloud. Evaluación de riesgos. Diego Oviedo Frasson Gerente de Riesgos en TI

Transcripción

1 Seguridad en Cloud Evaluación de riesgos Diego Oviedo Frasson Gerente de Riesgos en TI

2 Agenda Contexto Principales consideraciones Marcos de Referencia Evaluación de riesgos Recomendaciones finales

3 Cloud Computing representa un cambio mayor en la entrega de servicios TI Cloud Computing está cambiando la forma en la que los negocios compran, despliegan y dan soporte a los servicios de TI; y en la mayoría de compañías responde a nuevas oportunidades Service Type auto servicio bajo Business-as-a-Service demanda elasticidad rápida Software-as-a-Service t a e as a Se Pago por uso Platform-as-a-Service Tecnologías internet, virtualización, & estandarización Infrastructure-as-a-Service Service Source Public cloud (External) Hybrid Virtual Private Cloud Community Private cloud (Internal) uso de recursos independiente de la locación acceso independiente Business Model Cloud Service Subscriber Cloud Service Broker Cloud Service Provider Cloud Service Enabler 3 Copyright 2009 Deloitte Development LLC. All rights reserved.

4 Por qué las empresas usan el Cloud Computing? Las organización se están moviendo para adoptar el cloud computing con el objetivo de ganar ventajas económicas y beneficios operacionales (agilidad y flexibilidad) Mayor agilidad para el negocio Ganar gran flexibilidad en arquitectura y recursos, escalar y reducir bajo demanda, maximizar la eficiencia, reducir el tiempo para iniciar y completar proyectos Reducir el gasto de capital de TI Uso del modelo pay-as-you-go y en contraposición al modelo compra/leasing mueve los costos de TI del CAPEX al OPEX Re localización de recursos El uso de recursos es optimizado, permitiendo su re localización en beneficio del negocio 4 Copyright 2009 Deloitte Development LLC. All rights reserved.

5 Cloud computing usa varios tipos de modelos, basado en sus características ypropósitop El Cloud computing es implementado en diferentes formas, con variaciones en la propiedad interna o externa y arquitecturas técnicas Vendor cloud (Externo) Servicios de Cloud Computing ofrecidos por terceros que pueden ser accedidos desde internet o una red privada, usando uno o mas centros de datos, compartido por muchos clientes, con distintos grados de controles para privacidad de datos. A veces llamada Cloud Computing publica. Private cloud (Interno) Construida, administrada y usada internamente por una empresa; usa un modelo de servicios con variación en el uso (demanda) de un conjunto de recursos computacionales virtualizados. La información es controlada por la empresa. Hybrid cloud Un mix de los servicios del Vendor cloud (Externo), arquitecturas cloud Interno, e infraestructura de TI, generando un modelo hibrido que usa las mejores tecnologías para alcanzar necesidades especificas Community cloud Las Community clouds son usadas por varias organizaciones que tienen objetivos similares, permitiendo compartir la infraestructura y servicios. Pueden ser implementadas usando cualquiera de los tres métodos mencionados arriba. 5 Copyright 2009 Deloitte Development LLC. All rights reserved.

6 Principales categorías de Cloud Computing: Infraestructura, Plataforma y SaaS Las categorías de Cloud computing pueden ser segmentadas por tipo en funciones especificas Tipos de servicio Cloud Descripcion Princ cipales cate egorías de Cloud Comp puting Software-as-a-Service (SaaS) Platform-as-a-Service (PaaS) Infrastructure-as-a-Service (IaaS) Software as a Service (SaaS) es un modelo de implementación de SW donde el proveedor licencia una aplicación para el uso de sus clientes como un servicio a demanda. Platform as a Service (PaaS) es la entrega de una plataforma computacional y una solución como servicio. Facilita el despliegue de aplicaciones sin el costo y complejidad de comprar y gestionar el HW y SW respectivo. Infrastructure as a Service (IaaS) es la entrega de infraestructura (típicamente un ambiente de plataforma virtualizada) como servicio. En vez de comprar HW, SW, espacio para el data center, o equipos de red directamente, el cliente compra estos recursos como un servicio totalmente terciarizado. 6 Copyright 2009 Deloitte Development LLC. All rights reserved.

7 El camino para considerar opciones en la nube Preparándonos para la nube enfocándonos en parte económica, factibilidad técnica, y riesgo (para modelos internos, externos e híbridos) Retorno económico Factibilidad Técnica Riesgo y control Estrategia en la Nube Portafolio de servicios IT Calce económico Madurez de la arquitectura Gobierno del control de datos Reemplazar Consolidar Extender Costo tradicional Capacidades del vendedor Cumplimiento del Vendedor Análisis de Complejidad de Seguridad y beneficio migración Privacidad El mayor valor en el menor periodo de tiempo 7 Copyright 2009 Deloitte Development LLC. All rights reserved.

8 Componentes de Arquitectura Componentes de arquitectura claves en Cloud Computing y preocupaciones de seguridad a alto nivel: Preocupaciones de Seguridad Retos en la autenticación y autorización Cloud Computing Client Branch Offices Customers Personnel VPN Communications WWW WAN WAN Procure to Pay Issue to Resolution Business Analytics Customer Portal Outsourced Development Enterprise Quote to Cash Infrastructure - as-a-service Customer Satisfaction Business Analytics Product Innovation Data warehouse Production Data Platformas-a-service Softwareas-a-service Communicationsas-a-service Storageas-a-service Remote Backup identity, search, and payments Business Processes Security Layer Cloud Services Virtualization Map Network Application Infrastructure Storage Services Encripción Almacenamiento, ubicación, r eplicación, retención y destrucción de la información. Único punto de falla Proceso de recuperación complejo Segregación de los datos Acceso a las pistas (logs) de auditoria Accesos no autorizados/ ciber crimen 8 Copyright 2009 Deloitte Development LLC. All rights reserved.

9 Seguridad en contexto (pensando en la información) Geografía Pertenencia, derechos y obligaciones Multiples clientes Dimensionamiento de data Perdida de data Debido a los varios países y autoridades regulatorias, es necesario contar con controles para soportar el uso/vista de la información trans fronteriza. Se debe establecer claramente los derechos y obligaciones asociados con los activos de información. Normalmente los derechos y obligaciones dependen de la ubicación física del dueño, custodio y usuario de la información. Diseñar e implementar controles efectivos para soportar los derechos y obligaciones puede ser complejo En un ambiente cloud multi cliente, los usuarios pueden acceder a recursos compartidos, posiblemente ganando acceso no autorizado. Esto puede tener menor riesgo en una nube privada pero mayor riesgo en una nube de terceros. En un ambiente de la nube, el dimensionamiento de servidores para un cliente puede incluir otros, simplemente porque están en la mismo servidor físico. El dimensionamiento de HW puede conducir a perdida de datos o perdida/fuga de data de otros cliente en modelos de almacenamiento para múltiples clientes. La no disponibilidad de un servicio cloud provisto por un tercero podría llevar a la perdida permanente de información.

10 Si bien hay retos asociados a Cloud, las disciplinas tradicionales i de seguridad d aplican Principales preocupaciones sobre seguridad en la nube Áreas de Seguridad Seguridad 4,3 Control 3,8 Data Controls/ Ownership Retention and Disposal Identity and Access Management Desempeño 3,8 Availability and Reliability Legal and Compliance Disaster Recovery Soporte Vendor lock-in 3,7 3,7 Audit and Assurance Scalability Encryption Velocidad de provisión 3,3 Flexibilidad de configuración 3,3 Data: InformationWeek Analytics Cloud Computing Survey of 453 business technology professionals Es importante seleccionar el modelo de despliegue que cubra las necesidades de negocio, las características ti de la carga de trabajo y el perfil de riesgo del servicio. i

11 Marcos de Referencia Broad Network Access SaaS Rapid Elasticity Resource Pooling Platform as a Service (PaaS) Measured Service Essential Characteristics Service Models On-Demand Self -Service Infrastructure as a Service (Iaas) Public Private Hybrid Community Deployment Models NIST Visual Model of Cloud Computing Definition National Institute of Standards and Technology ( Guidelines on Security and Privacy in Public Cloud Computing. Cloud Security Alliance ( CSA STAR: Registro de controles de seguridad ofrecidos por proveedores de servicios en nube. The Notorious Nine: Cloud Computing Top Threats in 2013 Security guidance for critical areas of focus in cloud computing v3.0 Cloud Controls Matrix v1.4

12 Se requiere un proceso formal de evaluación y aceptación de riesgos para evaluar perfiles de riesgos de cargas de trabajo. Alcance de negocios + requerimientos Cuáles son los requerimientos? Qué activos se están migrando? Cuál es la información de interés? Quién administra qué y cómo? Qué controles existen? Evaluación y aceptación de riesgos Governance Operational Architecture Security Policy Security Organization Asset Management Modelo de Servicios IaaS SaaS PaaS Human Resources Security Physical Security Communication and Operations Access Control Information Systems Security Incident Management Dominios del ISO Modelo de Despliegue Public Private Hybrid Community Business Continuity Compliance Dominios del Cloud Security Alliance* Los beneficios superan los riesgos? *SECURITY GUIDANCE FOR CRITICAL AREAS OF FOCUS IN CLOUD COMPUTING V3.0

13 Atacando los retos de la seguridad en la nube Gobierno y cumplimiento Privacidad y protección de datos Respuesta ante incidentes de seguridad Control de acceso Gestion de vulnerabilidades Gestion de proveedor Monitorear el uso de la nube Monitorear el cumplimiento con requerimientos regulatorios Cumplimiento con leyes de protección de datos personales multi jurisdiccionales Delinear la responsabilidad sobre la data a través de la organización Administrar el acceso a la información en niveles apropiados Implementar políticas de almacenamiento y retención de datos en el vendedor cloud Gestionar investigaciones de incidentes en ambientes virtualizados Manejar los incidentes en ambientes con cambios continuos Control de acceso para las interfaces de administración del servicio en la nube Control de acceso para la segregación de funciones Verificaciones previo al otorgamiento de privilegios de acceso Administrar ambientes virtualizados trae vulnerabilidades Asegurar el despliegue de parches de manera oportuna Pruebas de vulnerabilidad adecuadas para componentes Cloud Obtener aseguramiento sobre la solución cloud del vendedor Monitorear el desempeño del vendedor Construir en la nube portabilidad e interoperabilidad

14 Recomendaciones Estrategia y casos de negocio Trabajo con colegas Requerimientos específicos Investigación

15 Conclusiones Los retos de privacidad y seguridad son reales, pero superables. Muchos de los enfoques tradicionales de evaluación de riesgos aplican. Puede ser necesario repensar las prácticas de aceptación de riesgos. Existen muchos proveedores y diferentes opciones de despliegue de soluciones en nube Implican diferentes niveles de riesgo y diferentes necesidades de controles. Se recomienda comenzar con aplicaciones de bajo riesgo y cargas de trabajo estandarizadas Por ejemplo: Colaboración, ambientes de desarrollo y pruebas, integración con SaaS. La definición de la estrategia usando un enfoque de caso de negocios es el primer paso en la ruta de la adopción Utilizar modelos de costo total de propiedad considerando los aspectos de seguridad y regulatorios. La tendencia es lograr una reducción mínima de TCO de 20% al 30%.

16