Computación en nube: Beneficios, riesgos y recomendaciones de seguridad, Resumos de Segurança de Informação e Linguagem de Marcação

Baixe Computación en nube: Beneficios, riesgos y recomendaciones de seguridad e outras Resumos em PDF para Segurança de Informação e Linguagem de Marcação, somente na Docsity!

Beneficios, riesgos y recomendaciones para la seguridad de la información

Noviembre 09

ACERCA DE ENISA

La Agencia Europea de Seguridad de las Redes y de la Información (ENISA) es una agencia de la Unión Europea creada para contribuir al correcto funcionamiento del mercado interior. ENISA es un centro de excelencia para los Estados miembros y las instituciones europeas en lo relativo a la seguridad de las redes y de la información, que presta asesoramiento, emite recomendaciones y actúa como central de información sobre buenas prácticas. Por otra parte, la agencia facilita el contacto entre las instituciones europeas, los Estados miembros y las empresas privadas e interlocutores del sector.

Esta labor se desarrolla en el contexto del programa de riesgos emergentes y futuros de ENISA.

INFORMACIÓN DE CONTACTO:

El presente informe ha sido editado por:

Correo electrónico: Daniele.catteddu@enisa.europa.eu y Giles.hogben@enisa.europa.eu

Internet: http://www.enisa.europa.eu/

ADVERTENCIA LEGAL La presente publicación representa las opiniones e interpretaciones de los editores, a menos que se indique lo contrario. Esta publicación no debe considerarse una acción de ENISA o de los organismos de ENISA a menos que se apruebe en virtud del Reglamento (CE) nº 460/2004 por el que se crea ENISA. Esta publicación no representa necesariamente los últimos avances de la computación en nube y puede ser actualizada periódicamente. Las fuentes terceras son citadas como pertinentes. ENISA no asume responsabilidad alguna por el contenido de los sitios externos, incluidos los sitios web externos, mencionados en la presente publicación. La presente publicación tiene fines educativos e informativos únicamente. Ni ENISA ni las personas que actúan en su nombre son responsables del uso que pueda darse a la información incluida en esta publicación. Reproducción autorizada, con indicación de la fuente bibliográfica. Agencia Europea de Seguridad de las Redes y de la Información (ENISA), 2009

Beneficios, riesgos y recomendaciones para la seguridad de la información

RESUMEN

La computación en nube es un nuevo modo de facilitar recursos de computación, no una nueva tecnología. Ahora los servicios de computación, desde el almacenamiento y procesamiento de datos hasta el software, como la gestión del correo electrónico, están disponibles de forma instantánea, sin compromiso y bajo demanda. Puesto que estamos en un momento en que hay que apretarse el cinturón, este nuevo modelo económico de computación ha caído en tierra fértil y está siendo objeto de una inversión global enorme. Según el análisis del IDC, la previsión mundial para los servicios en nube en 2009 oscilará en torno a los 17 400 millones de dólares (1). La estimación para 2013 asciende a 44 200 millones de dólares, mientras que el mercado europeo pasará de los 971 millones de euros registrados en 2008 a 6 005 millones de euros en 2013 (2).

La principal conclusión de este documento es que, desde el punto de vista de la seguridad, las economías de escala y flexibilidad en nube son elementos tanto favorables como perjudiciales. Las concentraciones masivas de recursos y de datos constituyen un objetivo más atractivo para los atacantes, pero las defensas basadas en la nube pueden ser más robustas, escalables y rentables. El presente documento permite realizar una evaluación informada de los riesgos y ventajas para la seguridad que presenta el uso de la computación en nube, y ofrece orientaciones sobre protección para los usuarios actuales y futuros de la computación en nube.

La evaluación de seguridad se basa en tres escenarios de uso: 1) La migración de las PYME a los servicios de computación en nube, 2) el impacto de la computación en nube sobre la resistencia del servicio a los fallos, 3) la computación en nube en la « e-Government » (o «Administración Electrónica») (p. ej., la salud digital (« eHealth »).

El nuevo modelo económico también ha impulsado un cambio técnico en cuanto a:

Escala: la normalización de los componentes y el giro hacia la eficiencia económica han generado concentraciones masivas de los recursos de hardware necesarios para la prestación de servicios. Este factor anima a las economías de escala, debido a todas las clases de recursos necesarios para prestar servicios de computación.

Arquitectura: el uso óptimo de los recursos exige disponer de recursos de computación extraídos del soporte físico subyacente. Los clientes no relacionados que comparten recursos de software y hardware se apoyan en mecanismos de aislamiento lógico para proteger sus datos. La computación, el procesamiento y el almacenamiento de contenidos son distribuidos de manera masiva. Los mercados globales de bienes de consumo demandan redes de distribución de proximidad en las que el contenido sea proporcionado y recibido lo más cerca posible del cliente. Esta tendencia hacia la redundancia y la

BENEFICIOS, RIESGOS Y RECOMENDACIONES PARA LA SEGURIDAD DE LA INFORMACIÓN

distribución global implica que los recursos se gestionan habitualmente al por mayor, tanto física como lógicamente.

En vista de la reducción de costes y de la flexibilidad que conlleva, la migración a la computación en nube es una opción irresistible para muchas PYME. No obstante, la encuesta realizada en el marco de este informe (véase Survey - An SME Perspective on Cloud Computing ) confirma que entre las principales preocupaciones de las PYME que migran a la nube se encuentran la confidencialidad de su información y la responsabilidad derivada de incidentes relacionados con la infraestructura.

Los gobiernos también están interesados en la posibilidad de utilizar la computación en nube para reducir los costes informáticos e incrementar sus capacidades. Por ejemplo, la Administración de Servicios Generales del Gobierno de los Estados Unidos ofrece actualmente un portal de servicios de computación en nube (3). Los gobiernos también deben superar obstáculos considerables, en términos de percepción pública del procesamiento seguro de la información personal de los ciudadanos en las infraestructuras de computación en nube. Además, también existen obstáculos legales y normativos que impiden el cambio de muchas aplicaciones de «administración electrónica» a la nube. Sin embargo, tanto gobiernos como PYME se enfrentan a la realidad de que muchos de sus empleados utilizarán servicios basados en la nube independientemente de que ello forme parte de su política oficial.

Para que la computación en nube alcance todo el potencial que promete la tecnología, debe ofrecer solidez en la seguridad de la información. El presente documento explica, basándose en escenarios concretos, el significado de la computación en nube para la seguridad de la información y de la red, la protección de datos y la privacidad. Consideramos las ventajas de la computación en nube y sus riesgos con respecto a la seguridad. Estudiamos las repercusiones técnicas, políticas y jurídicas. Y lo que es más importante, efectuamos recomendaciones concretas sobre el modo de abordar los riesgos y de optimizar los beneficios.

Por último, es importante destacar que la computación en nube puede referirse a varios tipos de servicio distintos, incluidos la Aplicación/Software como Servicio (SaaS), Plataforma como Servicio (PaaS) y Infraestructura como Servicio (IaaS). Los riesgos y beneficios asociados a cada modelo difieren, al igual que las consideraciones clave a la hora de contratar este tipo de servicio. Las siguientes secciones intentan establecer las distintas situaciones en las que los riesgos o los beneficios se aplican de modo diferente a los distintos modelos de nube.

BENEFICIOS, RIESGOS Y RECOMENDACIONES PARA LA SEGURIDAD DE LA INFORMACIÓN

responsabilidad, habida cuenta del uso de la nube por las distintas partes, o a las responsabilidades en cuanto a la infraestructura.

Hasta que los reglamentos y precedentes legales aborden las preocupaciones concretas en materia de seguridad relativas a la computación en nube, los clientes y los proveedores en nube deben asegurarse de que las condiciones de su contrato abordan de manera efectiva los riesgos de seguridad.

RECOMENDACIONES LEGALES PARA LA COMISIÓN EUROPEA Recomendamos que la Comisión Europea estudie o aclare lo siguiente:

 determinadas cuestiones relativas a la Directiva de protección de los datos personales y a las recomendaciones del grupo de protección de las personas en lo que respecta al tratamiento de datos personales mencionado en el artículo 29.  la obligación de los proveedores en nube de notificar a sus clientes los incumplimientos relativos a la seguridad de los datos;  el modo en que las exenciones de responsabilidad de los intermediarios derivadas de los artículos 12 a 15 de Directiva sobre comercio electrónico se aplican a los proveedores en nube;  el mejor modo de apoyar las normas mínimas de protección de datos y los sistemas de certificación de privacidad comunes a todo los Estados miembros.

RECOMENDACIONES EN MATERIA DE INVESTIGACIÓN Recomendamos ámbitos prioritarios de investigación a fin de mejorar la seguridad de las tecnologías de computación en nube. Hemos considerado las siguientes categorías, con algunos ejemplos de ámbitos específicos extraídos la lista completa:

CREACIÓN DE UN CLIMA DE CONFIANZA EN LA NUBE  Efectos de las distintas formas de notificación de los incumplimientos relativos a la seguridad  Confidencialidad integral de los datos en la nube y más allá  Nubes con mayor aseguración, nubes privadas virtuales (VPC), etc.

PROTECCIÓN DE DATOS EN LOS GRANDES SISTEMAS INTERORGANIZACIONES  Informática forense y mecanismos de recogida de pruebas.  Gestión de incidentes – seguimiento y localización  Diferencias internacionales en la normativa aplicable, incluida la privacidad y la protección de datos

Beneficios, riesgos y recomendaciones para la seguridad de la información

INGENIERÍA DE SISTEMAS DE COMPUTACIÓN A GRAN ESCALA

 Mecanismos de aislamiento de recursos: datos, procesamiento, memoria, registros, etc.  Interoperabilidad entre proveedores en nube.  Resistencia a los fallos de la computación en nube. ¿Cómo puede la nube mejorar esa resistencia?

PRINCIPALES VENTAJAS EN TÉRMINOS DE SEGURIDAD

LA SEGURIDAD Y LAS VENTAJAS DE LA ESCALA : En pocas palabras, todos los tipos de medidas de

seguridad son más baratos cuando se aplican a gran escala. Por tanto, la misma cantidad de inversión en seguridad puede obtener una mejor protección. Aquí se incluyen las distintas medidas defensivas, como el filtrado, la administración de parches, el refuerzo de máquinas virtuales (VM) e hipervisores, etc. Otras ventajas de la escala son: las ubicaciones múltiples, las redes de proximidad (entrega o procesamiento de contenidos más cerca de su destino), la oportunidad de la respuesta ante los incidentes y la gestión de las amenazas.

LA SEGURIDAD COMO ELEMENTO DIFERENCIADOR DEL MERCADO: la seguridad constituye una prioridad

para muchos clientes en nube; gran parte de ellos toman las decisiones relativas a las adquisiciones basándose en el renombre del proveedor en cuanto a confidencialidad, integridad y resistencia a los fallos, así como en los servicios de seguridad ofrecidos por el mismo. Éste es un motivo de peso para que los proveedores en nube mejoren sus prácticas de seguridad.

INTERFACES NORMALIZADAS PARA SERVICIOS DE SEGURIDAD GESTIONADOS: los grandes proveedores en

nube pueden ofrecer una interfaz abierta y estandarizada a los proveedores de servicios de seguridad gestionada. De este modo se genera un mercado de servicios de seguridad más abierto y con mayor disponibilidad.

ESCALADA RÁPIDA E INTELIGENTE DE RECURSOS: la capacidad del proveedor en nube de reasignar

dinámicamente los recursos de filtrado, catalogación de tráfico, autenticación, codificación, etc., para las medidas defensivas (por ejemplo, frente a los ataques distribuidos de denegación de servicio, o DDoS) tiene ventajas evidentes para la resistencia a los fallos.

AUDITORÍA Y RECOGIDA DE PRUEBAS: cuando utiliza la virtualización, la computación en nube puede

proporcionar imágenes forenses de pago por la utilización de las máquinas virtuales a las que se puede acceder sin desconectar la infraestructura, lo cual reduce el tiempo de espera para realizar un análisis minucioso. También puede aportar un almacenamiento de registros más rentable a la vez que permite una actividad de registro más exhaustiva sin afectar al rendimiento.

Beneficios, riesgos y recomendaciones para la seguridad de la información

comparación con los ataques a los sistemas operativos tradicionales.

RIESGOS DE CUMPLIMIENTO: la inversión en la obtención de la certificación (por ejemplo, requisitos

reglamentarios o normativos del sector) puede verse amenazada por la migración a la nube:

 si el proveedor en nube no puede demostrar su propio cumplimiento de los requisitos pertinentes  si el proveedor en nube no permite que el cliente en nube realice la auditoría. En determinados casos, también significa que el uso de una infraestructura pública en nube implica que no pueden alcanzarse determinados niveles de cumplimiento (por ejemplo, con PCI DSS (4)).

COMPROMISO DE INTERFAZ DE GESTIÓN: las interfaces de gestión de cliente de un proveedor en nube

público son accesibles a través de Internet, y canalizan el acceso a conjuntos de recursos más grandes (que los proveedores tradicionales de alojamiento), por lo que plantean un riesgo mayor, especialmente cuando son combinados con el acceso remoto y las vulnerabilidades del navegador de web.

PROTECCIÓN DE DATOS: la computación en nube plantea varios riesgos relativos a la protección de

datos tanto para clientes en nube como para proveedores en nube. En algunos casos, puede resultar difícil para el cliente en nube (en su función de controlador de datos) comprobar de manera eficaz las prácticas de gestión de datos del proveedor en nube, y en consecuencia, tener la certeza de que los datos son gestionados de conformidad con la ley. Este problema se ve exacerbado en los casos de transferencias múltiples de datos, por ejemplo, entre nubes federadas. Por otra parte, algunos proveedores en nube sí proporcionan información sobre sus prácticas de gestión de datos. Otros también ofrecen resúmenes de certificación sobre sus actividades de procesamiento y seguridad de datos y los controles de datos a que se someten, por ejemplo, la certificación SAS 70.

SUPRESIÓN DE DATOS INSEGURA O INCOMPLETA: cuando se realiza una solicitud para suprimir un

recurso en nube, al igual que sucede con la mayoría de sistemas operativos, en ocasiones el proceso no elimina definitivamente los datos. En ocasiones, la supresión adecuada o puntual de los datos también resulta imposible (o no deseable, desde la perspectiva del cliente), bien porque existen copias adicionales de datos almacenadas pero no disponibles o porque el disco que va a ser destruido también incluye datos de otros clientes. La multiprestación y la reutilización de recursos de hardware representan un riesgo mayor para el cliente que la opción del hardware dedicado.

MIEMBRO MALICIOSO: aunque no suelen producirse habitualmente, los daños causados por miembros

BENEFICIOS, RIESGOS Y RECOMENDACIONES PARA LA SEGURIDAD DE LA INFORMACIÓN

maliciosos son, con frecuencia, mucho más perjudiciales. Las arquitecturas en nube necesitan ciertas funciones cuyo perfil de riesgo es muy elevado. Algunos ejemplos son los administradores de sistemas de proveedores en nube y los proveedores de servicios de seguridad gestionada.

NB: los riesgos enumerados anteriormente no siguen un orden de criticidad concreto, sino que

simplemente constituyen diez de los riesgos más importantes de la computación en nube identificados durante la evaluación. Los riesgos del uso de la computación en nube deben ser comparados con los riesgos derivados de mantener las soluciones tradicionales, como los modelos de sobremesa. Para facilitar este proceso, hemos incluido en el documento principal estimaciones de los riesgos relativos comparados con un entorno tradicional típico.

Adviértase que a menudo es posible, y en algunos casos recomendable, que el cliente en nube transfiera el riesgo al proveedor en nube; sin embargo, no todos los riesgos pueden ser transferidos : Si un riesgo provoca el fracaso de un negocio, perjuicios graves al renombre del mismo o consecuencias legales, es muy difícil, y en ocasiones, imposible, que un tercero compense estos daños. En última instancia, puede subcontratar la responsabilidad, pero no puede subcontratar la obligación de rendir cuentas.

BENEFICIOS, RIESGOS Y RECOMENDACIONES PARA LA SEGURIDAD DE LA INFORMACIÓN

R.31 Pérdida o compromiso de los registros de seguridad (manipulación de la investigación experta)

R.33 Acceso no autorizado a los locales (incluido el acceso físico a las maquinas y otras instalaciones)

Beneficios, riesgos y recomendaciones para la seguridad de la información

PÚBLICO OBJETIVO

El público al que va dirigido el presente informe está formado por:

 gerentes de empresa, de PYME en particular, para facilitar su evaluación y mitigación de los riesgos asociados a la adopción de tecnologías de computación en nube;  responsables políticos europeos, para ayudarles a adoptar decisiones en materia de política de investigación (para desarrollar tecnologías dirigidas a mitigar riesgos);  responsables políticos europeos, para ayudarles a establecer los incentivos políticos y económicos adecuados, las medidas legislativas, las iniciativas de sensibilización, etc., con respecto a las tecnologías de computación en nube;  ciudadanos, para permitirles la evaluación de costes y beneficios derivados del uso de la versión de consumo de estas aplicaciones.

COMPUTACIÓN EN NUBE: DEFINICIÓN OPERATIVA

Ésta será la definición operativa de la computación en nube que utilizamos para los fines del presente estudio. No pretendemos que sea otra nueva definición definitiva. Las fuentes utilizadas para nuestra definición pueden ser consultadas en las secciones (5), (6) y (54).

La computación en nube es un modelo de servicio bajo demanda para la prestación de TI, a menudo basado en la virtualización y en las tecnologías informáticas distribuidas. Las arquitecturas de computación en nube poseen:

 recursos con un alto grado de abstracción  escalabilidad y flexibilidad prácticamente instantáneas  prestación casi instantánea  recursos compartidos (hardware, base de datos, memoria, etc.)  «servicio bajo demanda», que suele incluir un sistema de facturación de pago por uso  gestión programática (por ejemplo, mediante la API del WS).

Hay tres categorías de computación en nube:

 Software como servicio (Saas): es el software que ofrece un tercero, disponible bajo demanda, normalmente a través de Internet y configurable de forma remota. Entre los ejemplos de este software se encuentran las herramientas de procesamiento de textos y hojas

BENEFICIOS, RIESGOS Y RECOMENDACIONES PARA LA SEGURIDAD DE LA INFORMACIÓN

de cálculo en línea, los servicios de gestión de relaciones con los clientes (CRM) y los servicios de entrega de contenido web ( Salesforce CRM, Google Docs, etc.).  Plataforma como servicio (PaaS): permite que los clientes desarrollen aplicaciones nuevas utilizando las API desplegadas y configurables de forma remota. Las plataformas ofrecidas incluyen herramientas de desarrollo, gestión de la configuración y plataformas de despliegue. Algunos ejemplos son Microsoft Azure, Force y App Engine de Google.  Infraestructura como servicio (IaaS): proporciona máquinas virtuales y otro hardware extraído, así como sistemas operativos que pueden ser controlados a través de una API de servicio. Algunos ejemplos son Amazon EC2 y S3, Enterprise Cloud de Terremark, Windows Live Skydrive y Rackspace Cloud. Las nubes también pueden ser divididas en:  públicas : disponibles para el público en general: cualquier organización puede suscribirse  privadas: servicios creados conforme a principios de computación en nube a los que sólo se puede acceder dentro de una red privada  asociadas: servicios en nube ofrecidos por un proveedor a un número limitado de partes muy determinadas. En general, el bien de consumo, el coste, la responsabilidad y la aseguración de las nubes varían en función de la siguiente figura:

BENEFICIOS, RIESGOS Y RECOMENDACIONES PARA LA SEGURIDAD DE LA INFORMACIÓN

1. VENTAJAS DE LA COMPUTACIÓN EN NUBE EN TÉRMINOS DE

SEGURIDAD

Apenas resulta necesario reproducir las incontables páginas de material escrito sobre las ventajas económicas, técnicas, arquitectónicas y ecológicas de la computación en nube. Sin embargo, a la luz de la experiencia directa de los integrantes de nuestro grupo de expertos y según las noticias recientes del «mundo real», el examen de los riesgos de la computación en nube en materia de seguridad debe tener su contrapunto en una revisión de las ventajas concretas que ofrece en materia de seguridad. La computación en nube posee un potencial considerable para mejorar la seguridad y la resistencia a los fallos. Lo que sigue a continuación es una descripción de las contribuciones clave que puede realizar.

LA SEGURIDAD Y LAS VENTAJAS DE LA ESCALA

En pocas palabras, todos los tipos de medidas de seguridad son más baratos cuando se aplican a gran escala. Por tanto, la misma cantidad de inversión en seguridad puede obtener una mejor protección. Aquí quedan incluidas las distintas medidas defensivas, como el filtrado, la administración de parches, el refuerzo de máquinas virtuales e hipervisores, los recursos humanos y su gestión y control, la redundancia de hardware y software, los sistemas de autenticación seguros, un control eficaz basado en funciones y soluciones federadas de gestión de la identidad por defecto, que también mejora los efectos de red de la colaboración de varios socios implicados en la defensa. Otras ventajas de la escala son:

 Ubicaciones múltiples: la mayoría de proveedores en nube cuentan con los recursos económicos necesarios para replicar el contenido en ubicaciones múltiples por defecto. De este modo se aumenta la redundancia y la independencia de los errores y se proporciona un grado de recuperación de desastres listo para su uso.  Redes de proximidad: el almacenamiento, procesamiento y entrega más cerca de la red de proximidad supone una confianza en el servicio y un incremento de la calidad en general; del mismo modo, es menos probable que los problemas de redes locales tengan efectos secundarios globales.  Mejora del tiempo de respuesta a los incidentes: los sistemas a mayor escala gestionados satisfactoriamente, por ejemplo, a raíz de la detección temprana de nuevos despliegues de programas maliciosos, pueden desarrollar capacidades más eficaces de respuesta ante incidentes.  Gestión de amenazas: los proveedores en nube también pueden permitirse contratar a especialistas para que se ocupen de las amenazas concretas a la seguridad, mientras que las compañías más pequeñas sólo se pueden permitir los servicios de un número reducido de profesionales generalistas.

Beneficios, riesgos y recomendaciones para la seguridad de la información

LA SEGURIDAD COMO ELEMENTO DIFERENCIADOR DE MERCADO

La seguridad constituye una prioridad para muchos clientes en nube [véase la encuesta: An SME perspective on Cloud Computing]; los clientes toman las decisiones relativas a la adquisición basándose en el renombre del proveedor en cuanto a confidencialidad, integridad y resistencia a los fallos, así como en los servicios de seguridad ofrecidos por el proveedor, todavía más que en los entornos tradicionales. Éste es un motivo de peso para que los proveedores en nube mejoren sus prácticas de seguridad y generen competencia en este aspecto.

INTERFACES NORMALIZADAS PARA SERVICIOS DE SEGURIDAD GESTIONADOS

Los grandes proveedores en nube pueden ofrecer una interfaz abierta y estandarizada a los proveedores de servicios de seguridad gestionadas que ofrecen servicios a todos sus clientes. Potencialmente, ello genera un mercado más abierto y disponible de servicios de seguridad, donde los clientes pueden cambiar de proveedor con mayor facilidad e incurriendo en menores gastos de configuración.

ESCALADA RÁPIDA E INTELIGENTE DE RECURSOS

La lista de recursos en nube que pueden ser escalados rápidamente bajo demanda ya incluye, entre otros, el almacenamiento, el tiempo de CPU, la memoria, las solicitudes de servicios web y las máquinas virtuales, y el nivel de control granular sobre el consumo de recursos aumenta a medida que las tecnologías mejoran.

Un proveedor en nube tiene potencial para reasignar recursos de manera dinámica para el filtrado, la catalogación de tráfico, la codificación, etc., con vistas a incrementar el apoyo a las medidas defensivas (por ejemplo, frente a los ataques distribuidos de denegación de servicio (DDoS)) cuando un ataque está produciéndose o puede producirse. Cuando esta capacidad de reasignación dinámica de recursos se combina con métodos adecuados de optimización de recursos, el proveedor en nube puede limitar las posibles consecuencias de determinados ataques sobre la disponibilidad de los recursos que utilizan los servicios alojados legítimamente, así como reducir el impacto del incremento de uso de los recursos por la defensa de seguridad para hacer frente a dichos ataques. Sin embargo, para lograr este efecto, el proveedor debe aplicar una coordinación adecuada de la autonomía para la defensa de seguridad y para la gestión y optimización de los recursos.

La capacidad de escalar dinámicamente los recursos defensivos bajo demanda posee ventajas evidentes con respecto a la resistencia a los fallos. Además, cuanto mayor sea la escalada de los distintos tipos de recursos individuales de manera granular —sin escalar la totalidad de los recursos del sistema—, más barato será responder a los picos repentinos (no maliciosos) de demanda.