La migración a cloud aporta una gran flexibilidad a las organizaciones para adaptarse fácilmente a las nuevas demandas que vaya solicitando su negocio. Pero la nube también es un objetivo para los ciberdelincuentes. Sin las medidas adecuadas, pueden acceder sencillamente a ella. El único camino para garantizar la resiliencia cloud es invertir en seguridad para proteger los recursos en la nube. Y es que a los activos en cloud hay que aplicarles las mismas medidas que a los físicos.
La revista Dealer World toma el pulso en su número de febrero al estado de la inversión en seguridad cloud dentro las organizaciones españolas. Pilar García Garzón, directora general de Orbit Consulting Group, ha participado en el reportaje ‘Resiliencia en la nube: ¿se gasta lo suficiente?’ en el que se analiza el comportamiento que están teniendo las empresas para hacer frente no solo a las ciberamenazas, sino también a la exigente legislación existente en materia de protección de datos.
Dado que las infraestructuras en la cloud pública cada vez tienen más peso en las organizaciones, sufrir un ciberataque puede tener gravísimas consecuencias para las empresas, ya sea interrumpiendo la continuidad del negocio o recibiendo facturas de los proveedores cloud con altos costes que corresponden a consumos que no son suyos, al haberse hackeado sus cuentas. Establecer un plan de contingencia cloud es fundamental.
A continuación, os ofrecemos la charla que mantuvo Pilar García Garzón con el medio en la que plantea soluciones básicas para asegurar la protección de los activos TI corporativos en la nube. Aquí podéis acceder al reportaje.
¿Qué valoración hace de la actitud de las empresas ante este escenario en la actualidad?
En estos primeros meses de 2023 vemos la misma tendencia que en los últimos dos años. Cada vez hay más organizaciones conscientes de los riesgos a los que se enfrentan y del impacto negativo que tendría en ellas sufrir un ataque por lo que la inversión en seguridad se está incrementando. Es un cambio significativo porque venimos de un escenario en el que muchas no se veían susceptibles de ser atacadas, pensaban que eso era un peligro para otro tipo de empresas. Además, existía bastante confusión en la migración al cloud, creyendo que al estar en la nube ya no tenían que preocuparse por temas de seguridad, sin comprender que se trata de un entorno en el que la seguridad tiene que ser compartida entre el proveedor y la empresa usuaria de los servicios.
¿El gasto en seguridad informática y la creación de resiliencia son este año una prioridad?
Por supuesto. Una vez asumido lo letal que puede ser poner en riesgo los datos y perderlos, las empresas entienden que es crítico implementar una estrategia de protección proactiva para sus recursos tanto físicos como cloud. Y esta pasa por la puesta en marcha, como mínimo, de un plan básico que atienda, por supuesto, a la seguridad perimetral y de comunicaciones; incorpore protección para el correo electrónico, ya que es el principal vector de los ataques; cuente con soluciones de identificación de doble factor; y se complemente con un mantenimiento periódico de la infraestructura TI para detectar vulnerabilidades. Este sistema de vigilancia continua puede potenciarse con el despliegue de un SOC que asegura una monitorización permanente, si bien su coste lo limita un tanto en el entorno pyme. Aunque cada vez hay más empresas interesadas al estar muy comprometidas con la prevención.
Todo ello sin olvidar que el pilar básico es contar con una estrategia de backup sólida, incluyendo repositorios inmutables desconectados, de manera que sean inaccesibles para los ciberdelincuentes.
¿Invierten lo suficiente las empresas en seguridad y resiliencia en la nube? Más aún, ¿saben lo que es eso?
El problema de la nube es que siempre ha estado muy arropada por potentes campañas de marketing que, a veces, han despistado a las empresas pensando que, al estar en ella, la seguridad ya no era de su responsabilidad. Sin embargo, es un entorno que exige un modelo de seguridad compartido. Ciertamente, las tecnologías cloud son muy confiables en temas de continuidad de negocio; pero en cuanto a ciberseguridad a los recursos en la nube hay que aplicarles las mismas medidas que a los físicos. Conviene explicar claramente que la nube es segura si tú la incorporas seguridad. La máquina virtual que tengo en cloud también tengo que protegerla. Por ejemplo, utilizar MS365 no impide que un ciberataque entre por el correo electrónico si no tengo un antivirus apropiado.
¿Cómo puede ayudar el Canal a sus clientes en este cometido?
Sobre todo, mediante la divulgación y la concienciación. El interés de las empresas por invertir en ciberseguridad nace si hay alguien a nivel interno que lo defienda. Y aquí el papel del canal es básico. En ese sentido, nuestra estrategia es explicar al cliente los riesgos a los que se expone, qué tipo de ataques son los habituales y qué impacto tendría en su negocio sufrir uno de estos.
También es importante trasladarle la idea de que la seguridad es transversal, está presente en cualquier ámbito TI. Hay que tenerla en cuenta al plantear cualquier proyecto y en todas las fases, desarrollos, despliegue de aplicaciones, gestión de accesos…
Ese enfoque transversal alcanza también al backup como vector de resiliencia ante ataques ransomware. Es básico contar con un buen entorno de sistemas de copia. Y, en especial, desplegar backups inmutables, desconectados offline, fuera del alcance de los hackers. No olvidemos que en un ataque ransomware tras el robo de credenciales, si no se cuenta con una solución de autenticación de doble factor disuasoria, el ciberdelincuente puede iniciar una espiral de acciones nocivas, espiar correos, controlar sistemas, encriptar datos… siendo el acceso a los backups uno de sus principales objetivos. De ahí la importancia de tener un backup inaccesible como tabla de salvación, porque el coste de la pérdida de información puede llegar a ser inasumible.
Junto a estas consideraciones técnicas, el canal es clave también para formar a los usuarios finales de la TI empresarial. Es otra inversión imprescindible al considerar la ciberseguridad porque, bien formados, ellos son la primera defensa ante un ataque.
Orbit Consulting Group es una empresa especializada en diseñar e implantar soluciones de arquitectura TI para pymes y empresas de Madrid, y el resto de España. Combina esta esta expertise con el diseño e implantación de soluciones de Negocio y Gestión (CRM/BPM-ERP) ágiles, sencillas y asequibles. Además, proporciona Soporte Informático y Servicios Gestionados TI.
