Seguridad en entornos ‘cloud’, una necesidad en auge

La compañía analista de mercado Canalys confirmó hace pocas semanas lo que muchos ya esperaban: el gasto mundial en servicios cloud batió un nuevo récord durante el tercer trimestre de 2021, situándose en 49.400 millones de dólares. Se trata, por tanto, de un crecimiento del 35 por ciento con respecto al mismo periodo del año anterior, lo que equivale a un aumento de 12.900 millones de dólares. Además, con respecto al segundo trimestre supone un incremento de 2.400 millones de dólares. Esto, a juicio de la firma analista, se ha producido a consecuencia del impulso del trabajo y la formación remota, así como por el creciente uso de aplicaciones en la nube específicas para diferentes sectores, sobre todo a raíz de la pandemia.

Sin embargo, este crecimiento también tiene su contrapartida. Y es que, como apunta Marisol Oliva, Regional Sales Manager de Netskope Iberia, «los riesgos de seguridad en el cloud han aumentado». «Según el último Netskope Cloud and Threat Report, el malware entregado a través de aplicaciones en la nube ha alcanzado un máximo histórico a partir de la segunda mitad de 2021, representando casi el 70 por ciento de la entrega de malware en general», asegura este profesional.

Al igual que ella, Sergio Pedroche, Country Manager de Qualys para España y Portugal, opina que «la adopción del cloud por parte de las compañías ha crecido de manera exponencial, sobre todo en países que llevaban un ritmo más pausado, como España. En este sentido, la seguridad de los entornos cloud es ahora mismo un aspecto crítico para todo tipo de organizaciones tanto grandes como pequeñas».

Consecuentemente, puntualiza Iñaki Zárate, Sales Engineer de Trend Micro Iberia, «las empresas que ofrecen servicios especializados de seguridad en la nube han visto incrementada la demanda debido a que la mayoría de las organizaciones no han tenido la capacidad de incorporar el conocimiento  específico a sus equipos de seguridad».

La incorrecta configuración de los sistemas es uno de los principales y más frecuentes problemas relacionados con la seguridad en la nube

Seguridad ‘cloud’: variedad de amenazas

Cada día son más las amenazas que surgen relacionadas con la nube a las que hay que prestar atención. Una de las más importantes, en opinión de Alberto R. Rodas, Sales Engineer Manager de Sophos Iberia, es la mala configuración de los sistemas. «Durante la pandemia, muchas organizaciones han desarrollado escritorios remotos sin ningún tipo de protección para que los usuarios pudieran hacer su trabajo, lo que propició un incremento de los ataques«. Por lo tanto, una de las principales amenazas es el propio administrador que no configura bien sus sistemas y deja puertas abiertas a ‘los
malos’. De hecho, «según las encuestas de Sophos, dos tercios de las organizaciones dejan huecos abiertos por malas configuraciones», desvela Rodas.

Al respecto también se pronuncia Yasser Fuentes, gerente técnico de Productos de Seguridad para Nube de Bitdefender. «Un factor que posibilita que el atacante pueda tomar fácilmente el control de los recursos en la nube son las vulnerabilidades y configuraciones deficientes, en especial las que utilizan muchos de los sistemas y servicios de nube por defecto como parte de los controles de seguridad que ofrece el proveedor de servicio», observa este profesional. Además, añade: «La rápida adopción de estos sistemas también trae consigo que no se tomen en cuenta las medidas y procedimientos en cuanto al control de cambio, lo cual también posibilita la adopción de tecnologías y sistemas que pueden ser fácilmente comprometidos».

Así también lo pone de manifiesto el reciente informe Cloud Security Report 2021 de (ISC)2, el cual menciona específicamente «las malas configuraciones de los recursos» como uno de los principales problemas de seguridad en la nube. Por eso, Pedroche, de Qualys, apunta que «la detección de problemas desde el principio del ciclo de desarrollo acelera la entrega segura de aplicaciones y fomenta una mayor colaboración entre los equipos de DevOps y seguridad. Y, lo que es más importante, permite aplicar mejores políticas de seguridad en los entornos de producción».

A esto se suma otro aspecto importante que cita Oliva, de Netskope. «Según el informe Netskope Cloud and Threat, en la actualidad, el 97 por ciento de las apps en la nube utilizadas en la empresa son Shadow IT, no gestionadas y a menudo adoptadas libremente«. El mencionado documento desvela que el incremento de los entornos en la nube que se exponen al público (35 por ciento) de todas las cargas de trabajo en AWS, Azure y Google Cloud Platform son ‘no restringidas’; es decir, están abiertas a la visión pública de cualquier persona en Internet. Del mismo modo, el uso generalizado (97 por ciento) de credenciales corporativas de Google, utilizadas como un atajo conveniente para iniciar sesión en aplicaciones de terceros, supone una importante amenaza de exposición de los datos corporativos.

Por otro lado, tampoco hay que olvidar el problema de las amenazas internas. Así, de hecho, lo indica también el informe de Netskope, según el cual los empleados que dejan su puesto suben tres veces más datos a las aplicaciones personales en los últimos 30 días de trabajo, y el 15 por ciento de esos datos se originan en una instancia de aplicación corporativa o violan directamente una política de datos corporativa. En este punto, «las instancias personales de Google Drive y Microsoft OneDrive son los objetivos más populares», confirma Oliva.