Uno de los temas de los cuales más se ha hablado en estos últimos años en materia de soluciones tecnológicas en las empresas está relacionado con la virtualización. De hecho, esta tecnología ha evolucionado hasta llegar a un punto de madurez técnica que la vuelve muy atractiva para cualquier empresa, apoyada en las capacidades de procesamiento y almacenamiento que proveen las soluciones de hardware.
Pero además de la incorporación de las facilidades que ofrece virtualizar una infraestructura, aspectos como la reducción de costos que implica la convierten en una tecnología con mucha popularidad en los equipos de TI. A raíz de estos avances en las tecnologías de virtualización es que el concepto de cloud ha tomado tanta relevancia, acompañado como era de esperarse de algunas bondades y peligros.
En cualquiera de los tres modelos de servicios de cloud computing, SaaS (Software as a Service), PaaS (Platform as a Service) o IaaS (Infrastructure as a Service) es importante incorporar la gestión de seguridad desde el principio para evitar problemas que puedan poner en riesgo la continuidad del negocio.
Si bien inclinarse por un modelo IaaS nos permitirá ajustar mejor la seguridad con respecto a un modelo SaaS, o utilizar una nube privada nos brinda mayores garantías que una pública, hay por lo menos cinco aspectos que deberíamos considerar al momento de desarrollar nuestro proyecto.
1. Adoptar el cambio de paradigma en la gestión
Después de un análisis juicioso de los pros y los contras de migrar hacia una infraestructura virtualizada es muy importante que los equipos encargados de su gestión también sean conscientes de lo que implican estos cambios.
Si bien para un usuario estos cambios son prácticamente transparentes, aquellos encargados de su gestión deben aprender cuáles son las características de seguridad para gestionarlas de forma adecuada y en el caso de los equipos encargados de gestionar la seguridad deben hacer una nueva valoración de riesgos para actualizar las medidas de control que apliquen al nuevo escenario.
2. Nuevo modelo de infraestructura, viejas amenazas
Si bien tener un nuevo modelo en la gestión de infraestructura va a ahorrar muchos dolores de cabeza a los equipos de TI, hay amenazas que siguen persistiendo y que por lo tanto no se pueden descuidar. Los códigos maliciosos y la explotación de vulnerabilidades son solo dos ejemplos de amenazas que no deben excluirse dentro del panorama de amenazas, por más que los servidores, equipos o aplicaciones no estén físicamente las políticas de actualización y control deben mantenerse, incluso si el modelo es del tipo SaaS deben tenerse la certeza que los proveedores garanticen estos controles.
3. Replantear los controles de acceso
Tener los servicios o la infraestructura virtualizada brinda una gran flexibilidad en cuanto al acceso a la información. Esto representa una gran ventaja para el negocio, pero también obliga a que se revisen los controles de acceso para acceder a la misma.
En este escenario, contar con un doble factor de autenticación se vuelve fundamental. Además otros controles como el cifrado de la información le van a brindar a la empresa niveles adicionales de seguridad para garantizar que quien accede a la información es quien realmente se espera.
4. Definición estricta de roles de gestión
Quién puede acceder a los sistemas, desde dónde lo puede hacer, qué permisos de sesión tiene, quién puede moverlos o clonarlos son solo algunas de las preguntas que deben tener respuesta y estar correctamente implementadas. La virtualización implica considerar una serie adicional de permisos sobre los sistemas y aplicaciones tanto en su gestión como en el uso por parte de los usuarios.
5. Seguimiento de logs para detectar anomalías
El hecho de no tener servidores físicos no quiere decir que desaparece la gestión de logs de seguridad. De hecho, además de hacer un seguimiento a los equipos de toda la infraestructura con la virtualización aparece un nuevo componente que es fundamental monitorear: el hipervisor.
No se puede dejar de lado el seguimiento oportuno de logs de estado de servidores y aplicaciones, ya que nos pueden brindar información crucial para detectar y bloquear amenazas que comprometan la seguridad de la información.
Si bien cada uno de los aspectos que mencionamos anteriormente están relacionados con las tareas que deberían llevar a cabo los equipos de TI y de seguridad en forma conjunta dentro de la empresa, no hay que olvidar un aspecto clave para la seguridad: los usuarios. Si bien el hecho de virtualizar la infraestructura debe tener un impacto mínimo sobre los usuarios, es muy importante que comprendan las ventajas y los riesgos que traen estas nuevas implementaciones.
Lograr el éxito en la implementación de cualquier proyecto requiere que tengamos un enfoque completo te todos aquellos aspectos que pueden llegar a impactar el normal desarrollo del negocio. Si lo que se busca es virtualizar de forma segura, entonces los aspectos de seguridad no se pueden relegar a un segundo plano. Si no se consideran las medidas de control adecuadas desde el principio por ahorrar costos al negocio y se sufre algún incidente grave, tal vez no tengamos negocio sobre el cual seguir trabajando.
