IT Seguridad en “la Nube”: ¿cómo controlar lo que no controlas?

Tradicionalmente, la seguridad ha estado presente en los contratos, principalmente, a través del establecimiento de cláusulas generales de confidencialidad y protección de datos de carácter personal. Pero los nuevos modelos de servicio requieren de una mayor especificación y nivel de detalle en materia de seguridad en los contratos y de una mayor participación de los responsables de seguridad en su confección.

Cloud Computing, Software as a Service, Infrastructure as a Service, Platform as a Service, All as a Service… ¿nuevos términos para viejos modelos? Quizás en algunos casos, pero algo está cambiando en el panorama de IT, y más, si cabe, en lo relativo a seguridad de la información.

La orientación a servicios de la práctica IT es, obviamente, un hecho; no es nada nuevo, pero va a más, está evolucionando, su empuje es imparable y es una clara apuesta del mercado y de las empresas. Sea como fuere, lo cierto es que, de modo creciente, las empresas finales estamos pasando de gestionar software, hardware y personal a gestionar servicios. En consecuencia, estar bien preparados para ello, en lo que respecta a seguridad, no se me antoja algo trivial.

Gestionar servicios, como digo, no es nada nuevo; pero los nuevos modelos de servicios, que persiguen estandarización y “comoditización” convierten a las necesidades de control de las empresas finales y la visibilidad que éstas tienen de los servicios en líneas divergentes. No deja de ser curioso, pero lo cierto es que, por un lado, las empresas tenemos cada vez mayor sensibilidad en lo que respecta a la seguridad de la información, tanto porque la información se ha ido convirtiendo paulatinamente en un activo estratégico de nuestras compañías, como porque las regulaciones son también cada vez mas sensibles y estrictas con su tratamiento; y por otro, en los nuevos modelos de servicio, cada vez disponemos de menor capacidad de visión y control sobre cómo se trata nuestra información.

Tomar las riendas

¿Cómo controlar lo que, por naturaleza, no controlas?, ¿cómo gestionar la seguridad en procesos que acaban por no ser nuestros?

Es anecdótico, pero no es la primera vez que oigo que, simplemente, “es una cuestión de fe”. Además, lo que me dice la experiencia es que los proveedores de servicios, por lo general, son los primeros que no están suficientemente preparados para ofrecer, de partida, un modelo formal de control que calme nuestras inquietudes.

Dejando la fe aparte, considero que, desde un primer momento, se deben “tomar las riendas” en la definición y alcance de lo que se espera de un servicio en “la nube”, SaaS, IaaS… en materia de seguridad de la información.

En mi modesta opinión, esta “toma de riendas” se materializa a través de cuatro líneas de acción principales:

1. Formalización de cuerpos normativos, procesos y procedimientos internos de gestión de la seguridad.

2. Incorporación de cláusulas de seguridad en el contrato.

3. Establecimiento de acuerdos de nivel de servicio en materia de seguridad.

4. Negociación.

En lo que respecta a normas, procesos y procedimientos internos, cuanto mayor sea la formalización de los mismos, más fácil será “extenderlos” contractualmente a un servicio, permitiéndonos, además, disponer de un modelo de control homogéneo y común a cualquier tipología de servicio e iniciar la negociación de la propuesta de seguridad en el contexto de dicho servicio en base a nuestras necesidades reales.

En lo relativo al clausulado de seguridad, ni que decir tiene que lo que no está en el contrato, sencillamente, no existe. Tradicionalmente, la seguridad ha estado presente en los contratos, principalmente, a través del establecimiento de cláusulas generales de confidencialidad y protección de datos de carácter personal. Los nuevos modelos de servicio requieren de una mayor especificación y nivel de detalle en materia de seguridad en los contratos y de una mayor participación de los responsables de seguridad en la confección de los mismos. De esta forma, con carácter general, propongo recoger en el contrato, al menos, los siguientes compromisos por parte del proveedor del servicio:
1.El despliegue de los oportunos mecanismos de control, organizativos y técnicos, basados en estándares internacionales de referencia, buenas prácticas de mercado y en línea con nuestras políticas, normas y procesos internos, que garanticen la confidencialidad, la integridad y la disponibilidad de nuestros activos de información y eviten su exposición y el acceso no autorizado a los mismos, su vulneración e infección por cualquier tipo de malware y la propagación de dicho malware y/o infección por nuestra infraestructura tecnológica.
2.La obligación por parte del proveedor de auditar dichos mecanismos regularmente por medio de un auditor independiente y consensuado por ambas partes, debiéndose poner a nuestra disposición los oportunos informes de auditoría, a partir de los cuales, el proveedor deberá implantar las recomendaciones emitidas en los mismos. Por supuesto, con independencia de tales auditorías, debemos reservarnos por contrato el derecho a realizar regularmente nuestras propias auditorías (incluidos tests de penetración) sobre la infraestructura que presta el servicio con objeto de poder comprobar “personalmente” la eficacia e idoneidad de los mecanismos de control desplegados.
3.El establecimiento de un procedimiento formal de gestión de incidentes de seguridad con el que responder ante situaciones que pudieran resultar o resulten en una pérdida o vulneración de la confidencialidad, la integridad o la disponibilidad de nuestros activos de información, y minimizar el impacto de los incidentes sobre dichos activos.
4.La garantía de que todo incidente de seguridad nos deberá ser reportado atendiendo a una periodicidad dependiente de la criticidad de los mismos.
5.La identificación y asignación, por parte del proveedor, de la figura del Responsable de Seguridad del servicio, a través de la cual se establecerá la relación permanente entre el servicio y nosotros en materia de seguridad de la información, en especial en la gestión de incidentes de seguridad, y a través de la cual dispondremos de la adecuada visión del estado de la seguridad mediante la elaboración de informes periódicos y el establecimiento de reuniones de seguimiento.
6.La garantía de que la ocurrencia de un incidente de seguridad “exitoso” podrá ser causa de terminación del contrato.

Adicionalmente al clausulado de seguridad, el contrato debería recoger acuerdos de nivel de servicio en materia de seguridad sobre determinados aspectos tales como los siguientes, cuya aplicación dependerá de la naturaleza del servicio prestado: tiempos de respuesta en configuraciones y parametrizaciones de seguridad; idoneidad de las configuraciones y parametrizaciones de seguridad; nivel de infecciones, intrusiones y exposiciones de información; bastionado y nivel de actualización y parcheado de las plataformas; tiempo de respuesta en la identificación, notificación, mitigación y resolución de incidentes; nivel de incremento de incidentes de seguridad; nivel de cumplimiento en auditorías de seguridad, y nivel de proactividad por parte del proveedor.

Con independencia del establecimiento de acuerdos de nivel de servicio, considero relevante contemplar adicionalmente en el contrato una importante penalización económica, independiente de las posibles penalizaciones limitadas asociadas al incumplimiento de acuerdos de nivel de servicio, ante la exposición/vulneración de nuestra información. Los SLAs nunca nos van a compensar.

Y una vez sentados los mínimos, que no máximos, sólo resta negociar. La experiencia me dice que a más de un proveedor le pillan “fuera de juego“ en este tipo de planteamientos y no está preparado para asumirlos; pero debemos elevar la seguridad a la altura de las circunstancias. Hay que creérselo; en los nuevos modelos de servicio, la seguridad no es una pieza más y merece un “capítulo aparte”. Eso sí, nadie dijo que fuera fácil

Juan Cobo Páez

Jefe del Departamento de Seguridad de la Información FERROVIA

Fuente: http://www.auditool.org/index.php?option=com_content&view=article&id=350:it-seguridad-en-la-nube-icomo-controlar-lo-que-no-controlas&catid=57:auditoria-de-ti&Itemid=112