Red Seguridad 095

red seguridad cuarto trimestre 2021 39 cloud monográfico La incorrecta configuración de los sistemas es uno de los principales y más frecuentes problemas relacionados con la seguridad en la nube ciones dejan huecos abiertos por malas configuraciones”, desvela Rodas. Al respecto también se pronuncia Yasser Fuentes, gerente técnico de Pro- ductos de Seguridad para Nube de Bitde- fender. “Un factor que posibilita que el atacante pueda tomar fácilmente el con- trol de los recursos en la nube son las vulnerabilidades y configuraciones defi- cientes, en especial las que utilizan mu- chos de los sistemas y servicios de nube por defecto como parte de los controles de seguridad que ofrece el proveedor de servicio”, observa este profesional. Además, añade: “La rápida adopción de estos sistemas también trae consigo que no se tomen en cuenta las medidas y procedimientos en cuanto al control de cambio, lo cual también posibilita la adopción de tecnologías y sistemas que pueden ser fácilmente comprometidos”. Así también lo pone de manifiesto el reciente informe Cloud Security Report 2021 de (ISC) 2 , el cual menciona especí- ficamente “las malas configuraciones de los recursos” como uno de los principa- les problemas de seguridad en la nube. Por eso, Pedroche, de Qualys, apunta que “la detección de problemas desde el principio del ciclo de desarrollo ace- lera la entrega segura de aplicaciones y fomenta una mayor colaboración entre los equipos de DevOps y seguridad. Y, lo que es más importante, permite aplicar mejores políticas de seguridad en los entornos de producción”. A esto se suma otro aspecto importan- te que cita Oliva, de Netskope. “Según el informe Netskope Cloud and Threat , en la actualidad, el 97 por ciento de las apps en la nube utilizadas en la empresa son Shadow IT , no gestionadas y a menudo adoptadas libremente”. El mencionado documento desvela que el incremento de los entornos en la nube que se expo- nen al público (35%) de todas las cargas de trabajo en AWS, Azure y Google Cloud Platform son ‘no restringidas’; es decir, están abiertas a la visión pública de cualquier persona en Internet. Del mis- mo modo, el uso generalizado (97%) de credenciales corporativas de Google, uti- lizadas como un atajo conveniente para iniciar sesión en aplicaciones de terce- ros, supone una importante amenaza de exposición de los datos corporativos. Por otro lado, tampoco hay que olvidar el problema de las amenazas internas. Netskope Security Cloud Según explica Marisol Oliva, Regional Sales Manager Netskope Iberia, la compañía “ofrece una plataforma única basada en la ar- quitectura SASE, que traslada la seguridad de la red a la nube, y acerca aún más a la industria al futuro de la seguridad de redes y datos basada en cloud”. Se trata de Netskope Security Cloud, que proporciona visibilidad, cumplimiento, control de acceso granular, protección contra amenazas avanzadas, prevención de fugas de datos y cifrado, incluso cuando los usuarios y los datos se encuen- tran fuera del perímetro de la empresa y de su control directo sobre SaaS, IaaS y Web. Además, combina capacidades CASB, Next Gen SWG, FW y CSPM con el acceso seguro a aplicaciones basado en el modelo Zero Trust para ofrecer una protección de datos completa frente a amenazas y gestión de incidentes, tanto para sitios web como aplicaciones en la nube. Así, de hecho, lo indica también el infor- me de Netskope, según el cual los em- pleados que dejan su puesto suben tres veces más datos a las aplicaciones per- sonales en los últimos 30 días de trabajo, y el 15 por ciento de esos datos se origi- nan en una instancia de aplicación cor- porativa o violan directamente una polí- tica de datos corporativa. En este punto, “las instancias personales de Google Dri- ve y Microsoft OneDrive son los objetivos más populares”, confirma Oliva. Tecnologías de protección Afortunadamente, cada vez surgen en el mercado nuevas tecnologías que ayu- dan a proteger los entornos cloud desde distintos puntos de vista. Una de ellas es la que se conoce como Cloud Workload Protection Platform (CWPP), que sirve, en palabras de Zárate, de Trend Micro, “para proteger las instancias y contenedores frente a malware y la explotación de vul- nerabilidades en tiempo de ejecución”. Ahora bien, tal y como apunta Fuen- tes, de Bitdefender, esta solución ”debe contar a su vez con la capacidad de monitorizar factores e indicadores de riesgo (incluyendo el humano), tener