Bienvenidos a una nueva era de complejidad para aquellos que alguna vez pensaron que la seguridad de los datos era un reto cuando el comercio se realizaba principalmente a nivel local. Hoy en día, las empresas son móviles y se utiliza el almacenamiento en la nube para conservar los datos en cualquier lugar. AWS, Azure Cloud o Google Cloud Platforms son las tres organizaciones proveedores de infraestructura (IAAS) más comunes. Sin embargo, hay algo que no ha cambiado: la gente sigue queriendo que las empresas protejan sus datos. El fracaso no es una opción, y el incumplimiento de las estrictas normas actuales conlleva sanciones severas y, lo que es quizás más importante, la pérdida de la confianza de los clientes, algo que ninguna empresa puede permitirse.
En este artículo, profundizaremos en el Marco de Cumplimiento Normativo en la Nube, por qué es esencial, sus componentes y los marcos comunes.
¿Qué es el cumplimiento normativo en la nube?
El cumplimiento normativo en la nube se refiere a las normas y reglamentos establecidos por los organismos reguladores para garantizar que los datos almacenados en la nube sean seguros, privados y cumplan con las directrices de ciberseguridad establecidas. Estas normativas se aplican con frecuencia a sectores que gestionan datos confidenciales, como el sector sanitario (que tiene requisitos HIPAA) o el comercio electrónico (que sigue las normas PCI DSS).
¿Por qué es importante el cumplimiento normativo en la nube?
Para 2022, más del 60 % de todos los datos corporativos estarán en la nube. Esto supone el doble de almacenamiento en la nube que en 2015.
Debido a que se guardan tantos datos en la nube, cada organización debe contribuir a garantizar la seguridad de esos datos.
Si no se cumplen los requisitos de la nube, pueden producirse costosas violaciones de datos pueden producirse si no se cumplen los requisitos de la nube. El cumplimiento normativo en la nube puede ayudarle a aprovechar la rentabilidad, la copia de seguridad y la recuperación de datos, y la escalabilidad de la computación en la nube, al tiempo que se mantiene una postura de seguridad sólida.
Por ejemplo, las leyes HIPAA del sector sanitario exigen métodos y directrices de seguridad estrictos para determinados tipos de datos sanitarios de los pacientes. Otra ejemplo son las nuevas leyes que regulan la privacidad financiera, impulsadas por los cambios en el sector bancario durante las últimas décadas.
En esencia, los clientes de la nube deben evaluar las prácticas de seguridad empleadas por sus proveedores de la misma manera que evaluarían su seguridad interna. Los servicios ofrecidos por el proveedor de la nube deben evaluarse para ver si cumplen con sus criterios. Hay muchas maneras de hacerlo. En ocasiones, las empresas pueden elegir a los proveedores de servicios basándose únicamente en si pueden certificar el cumplimiento y no tomar ninguna otra decisión al respecto. En ocasiones, los clientes pueden necesitar acceder activamente a la seguridad del proveedor de servicios en la nube para asegurarse de que cumple con los requisitos legales y las normas del sector.
¿Qué es el marco de cumplimiento normativo de la nube?
Un marco de cumplimiento normativo de la nube recopila normas y procedimientos recomendados para proteger los recursos de la nube. Otros son específicos de un sector (como los de los sectores de la defensa o la sanidad), mientras que algunos marcos son amplios y están destinados a un uso general.
Ejemplos:
- Norma de seguridad de datos de la industria de tarjetas de pago (PCI DSS): El objetivo principal de este marco de cumplimiento normativo en la nube es proteger las transacciones con tarjetas de crédito. Controla cómo se envían y conservan los datos de los titulares de las tarjetas.
- Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA): La HIPAA es una ley que regula la asistencia sanitaria en los Estados Unidos y que se ocupa de los datos de los pacientes y de cómo las empresas deben conservarlos y utilizarlos. Este Marco de Cumplimiento en la Nube también especifica lo que deben hacer las empresas si se divulga la información de identificación personal (PII) de los pacientes.
- SOC 2: Este Marco de Cumplimiento en la Nube evalúa los sistemas de información de una organización en lo que respecta a la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad o la privacidad.
- Con la ayuda del Marco de cumplimiento normativo en la nube ISO 27001, una empresa puede contar con una gestión de la seguridad de la información fiable y segura.
- El Instituto Nacional de Estándares y Tecnología (NIST) ofrece normas y directrices para desarrollar y proteger los sistemas de información de las agencias gubernamentales. El Marco de Ciberseguridad del NIST, el NIST 800-53 y el NIST 800-171 son los tres marcos de cumplimiento en la nube que se pueden utilizar para evaluar el cumplimiento de la norma del NIST.
- El RGPD (Reglamento General de Protección de Datos) es el marco europeo de cumplimiento normativo en la nube más conocido y crucial para la protección de datos personales.
Componentes del marco de cumplimiento normativo en la nube
Estos son los componentes clave del marco de cumplimiento normativo en la nube:
Gobernanza
Estos filtros preestablecidos protegen su información privada de una exposición pública potencialmente perjudicial. Los componentes cruciales de la gobernanza de la nube incluyen:
Las organizaciones deben hacer un inventario de todos los servicios y datos alojados en la nube como parte de la gestión de activos y, a continuación, definir todas las configuraciones para protegerse contra las vulnerabilidades. Caracterizar la estructura, la propiedad y las responsabilidades de la nube forma parte de la estrategia y el diseño de la nube, e incorpora la seguridad de la nube. Los controles financieros incluyen un proceso para aprobar la adquisición de servicios en la nube y equilibrar la rentabilidad con el uso de la nube.
Control de cambios
El control de los cambios se vuelve más difícil debido a las dos ventajas principales de la nube: la velocidad y la flexibilidad. Las configuraciones erróneas en la nube que son problemáticas suelen deberse a un control de cambios inadecuado. Las organizaciones pueden utilizar la automatización para comprobar si hay problemas en las configuraciones y garantizar unos procedimientos de cambio fluidos de forma continua.
En la nube, los controles de gestión de identidades y accesos (IAM) de la nube suelen sufrir varios cambios. A continuación se enumeran las prácticas recomendadas de IAM para su entorno de nube:
- Supervise siempre las cuentas raíz, ya que pueden proporcionar un acceso peligroso y sin control. Implemente la autenticación multifactor (MFA) para el acceso y, como mínimo, supervíselas con filtros y alarmas. Si es posible, desactívelas.
- Utilice el acceso basado en roles y los privilegios a nivel de grupo para proporcionar acceso en función de las necesidades de la organización y el principio del mínimo privilegio.
- Establezca reglas eficientes de gestión de credenciales y claves, desactive e institucionalice las cuentas inactivas.
Supervisión continua
Debido a la complejidad y la naturaleza dispersa de la nube, es fundamental supervisar y registrar toda la actividad. La base de la verificación del cumplimiento normativo es el quién, qué, cuándo, dónde y cómo de los eventos, lo que mantiene a las empresas preparadas para las auditorías. Se debe hacer lo siguiente al realizar el seguimiento y el registro de datos en su entorno de nube:
- No olvide activar el registro de todos los recursos de la nube.
- Los registros deben estar cifrados y no deben guardarse en un almacenamiento accesible al público.
- Configure sus métricas, alarmas y registros de actividad.
- Control de vulnerabilidades
Informes
Los informes ofrecen pruebas recientes y pasadas del cumplimiento normativo. Considere estos informes como su huella de cumplimiento; le serán útiles para las auditorías. Si alguna vez se cuestiona su cumplimiento, una cronología detallada de todas las actividades que condujeron a un incidente y las que le siguieron puede ofrecer pruebas fundamentales. El tiempo que debe conservar estos registros depende de la normativa específica; algunas exigen solo uno o dos meses, mientras que otras requieren mucho más tiempo. En caso de fallo del sistema in situ o de desastre natural, su equipo debe guardar todos los documentos en un lugar seguro y separado.
Marcos comunes de cumplimiento normativo en la nube
Estos marcos de cumplimiento normativo en la nube se aplican específicamente a los requisitos de cumplimiento normativo en la nube. Los proveedores y clientes de la nube deben comprender los detalles de estos marcos.
La matriz de controles de la Cloud Security Alliance es una recopilación fundamental de controles de seguridad que sirve como punto de partida para los proveedores de seguridad, ya que refuerza la configuración de los controles de seguridad y facilita las auditorías. Esta metodología también ayuda a los posibles clientes a evaluar el perfil de riesgo de los posibles proveedores de la nube.
Las organizaciones que deseen trabajar con cualquier agencia federal deben cumplir con el conjunto de requisitos de seguridad de datos relacionados con la nube establecido por FedRAMP. El objetivo de FedRAMP es garantizar que todas las instalaciones en la nube que utiliza el gobierno federal tengan una seguridad mínima de datos y aplicaciones.Sarbanes-Oxley (SOX) es un conjunto de regulaciones que controlan la forma en que las empresas que cotizan en bolsa divulgan sus datos financieros para proteger a los consumidores contra el fraude o los errores de información. Aunque las normas SOX no son específicas en materia de seguridad, abarcan diversas medidas de seguridad informática, ya que respaldan la integridad de los datos.Marcos centrados en la seguridad
La siguiente legislación específica en materia de seguridad puede ayudar a las organizaciones que manejan datos confidenciales al establecer normas conducta. estos marcos ofrecen el proceso y la estructura necesarios para prevenir incidentes perjudiciales.
LaOrganización Internacional de Normalización (ISO) 27001 es un conjunto de requisitos para los sistemas de gestión de la seguridad de la información que demuestra que su empresa sigue las mejores prácticas del sector y se compromete a proteger los datos de los clientes.
Marco de ciberseguridad del NIST: Esta referencia fundamental en materia de políticas y procedimientos para las empresas evalúa su capacidad para gestionar y contrarrestar las amenazas en línea. Este marco ayuda a identificar y gestionar los riesgos y sirve como manual de mejores prácticas para los profesionales de la seguridad.
Marcos de trabajo en la nube con una buena arquitectura
Estos marcos, que suelen abarcar factores de eficacia operativa, seguridad y relación calidad-precio, pueden considerarse estándares de buenas prácticas para los arquitectos de la nube.
Este marco, desarrollado por Amazon Web Services, ayuda a los arquitectos a diseñar cargas de trabajo y aplicaciones en la nube de Amazon. Gracias a este marco, que se basa en una serie de preguntas para analizar entornos en la nube, los clientes tienen acceso a un recurso fiable para la evaluación de la arquitectura. Los cinco principios rectores de los arquitectos de Amazon son la excelencia operativa, la seguridad, la fiabilidad, la eficacia del rendimiento y la optimización de los costes.
El Google Cloud Architected Framework sirve de base para desarrollar y mejorar las soluciones en la nube de Google. Cuatro principios fundamentales —excelencia operativa, seguridad y cumplimiento, fiabilidad y optimización de costes de rendimiento— son el eje central de este marco, que sirve de hoja de ruta para los arquitectos.
Guía de mercados de la CNAPP
Obtenga información clave sobre el estado del mercado de CNAPP en esta guía de mercado de Gartner para plataformas de protección de aplicaciones nativas de la nube.
Guía de lecturaConclusión
A pesar de sus diferencias, la seguridad y el cumplimiento normativo están relacionados y tienen mucho en común. Estos solapamientos podrían dar lugar a peligrosas lagunas en la defensa. El uso del Marco de Cumplimiento Normativo en la Nube le ayudará a aumentar la seguridad. Las organizaciones pueden detectar y gestionar las coincidencias entre las estrategias de mitigación de riesgos de seguridad y cumplimiento normativo mediante el uso de soluciones de cumplimiento normativo innovadoras y continuas, como las que ofrece SentinelOne, para crear entornos más seguros.
Preguntas frecuentes sobre el marco de cumplimiento normativo en la nube
Un marco de cumplimiento normativo en la nube es un conjunto de reglas y prácticas recomendadas que ayudan a las organizaciones a gestionar la seguridad y cumplir los requisitos legales en entornos de nube. Sirve de guía para proteger los datos, controlar el acceso, supervisar la actividad e informar sobre el cumplimiento.
Seguir este marco le ayuda a cumplir con la legislación del sector y a evitar costosas infracciones, al tiempo que mantiene la seguridad de los recursos en la nube.
Las organizaciones lo necesitan para reducir el riesgo de infracciones y sanciones legales. Crea un proceso claro para aplicar controles de seguridad de forma coherente y realizar un seguimiento del cumplimiento de leyes como el RGPD o la HIPAA. Un buen marco también genera confianza entre los clientes y socios al demostrar que se gestionan sus datos de forma responsable. Sin él, las configuraciones en la nube pueden convertirse en un mosaico con lagunas que los atacantes pueden aprovechar.
Entre los marcos más populares se incluyen el Marco de Ciberseguridad del NIST (CSF) para la gestión general de riesgos, los Controles CIS para medidas de seguridad prácticas, la norma ISO/IEC 27001 para estándares de sistemas de gestión, la Matriz de Controles en la Nube de la CSA para comprobaciones específicas de la nube y FedRAMP, utilizado por las nubes del gobierno de EE. UU.
Cada uno de ellos establece requisitos de cumplimiento, pero su elección depende del sector, la ubicación y el uso de la nube.
Una buena norma es auditar los entornos en la nube al menos una vez al trimestre. Si maneja datos regulados o lanza nuevos servicios con frecuencia, aumente esa frecuencia. Las herramientas de supervisión continua pueden señalar problemas entre auditorías. Las revisiones frecuentes ayudan a detectar configuraciones erróneas o desviaciones de forma temprana, para que no se salga del cumplimiento sin darse cuenta.
La sanidad se basa principalmente en la HIPAA para proteger la información de los pacientes. Las finanzas suelen seguir la PCI-DSS para los datos de las tarjetas y la SOC 2 para los proveedores de servicios. Las agencias gubernamentales suelen exigir el FedRAMP para el uso de la nube. Algunas industrias también adoptan el RGPD para la privacidad de los datos si operan en Europa. Elija los marcos en función de la normativa de su sector y del lugar donde se encuentren sus datos.