Preste atención al cifrado de datos en la nube para proteger su empresa

A pesar de un aumento continuo en las vulnerabilidades y los riesgos de seguridad basados ​​en la nube, una cantidad abrumadora de datos en la nube permanece desprotegida a medida que las empresas continúan migrando aplicaciones y datos a la nube. Según lo informado por una encuesta, actualmente solo el 45% de los datos confidenciales almacenados en la nube están encriptados. Sin embargo, el 39 % de los encuestados se ha encontrado con una brecha de seguridad en la nube en el último año.

El cifrado de datos en la nube, que consiste en encapsular y reorganizar los datos antes de transmitirlos a la nube, es vital. Garantiza que independientemente de si los datos se pierden, son robados o se comparten sin querer, su contenido es prácticamente irrelevante sin la clave de cifrado, a la que solo pueden acceder los usuarios autorizados.

Comprender el significado del cifrado de datos en la nube

El cifrado en la nube es un mecanismo de seguridad de datos que cifra los datos de texto sin formato en texto cifrado ininteligible para garantizar que estén seguros mientras viajan entre entornos de nube o dentro de ellos. Los datos se cifran antes de migrar a la nube o cuando se mueven entre dos nubes.

El cifrado es un método sencillo pero eficiente para evitar el acceso no autorizado a datos confidenciales almacenados en la nube en el desafortunado caso de una infracción. Incluso si los datos son robados, estos delincuentes no pueden descifrar la información en archivos cifrados.

Es importante destacar que el cifrado de datos en la nube no puede evitar las violaciones de datos, simplemente las hace mucho menos peligrosas para su empresa.

Sin embargo, el cifrado aumenta los gastos de los proveedores de almacenamiento en la nube debido al mayor ancho de banda necesario. Esto se debe a que el cifrado debe implementarse antes de transferir datos a la nube (y, en última instancia, a sus clientes). Como resultado, muchos proveedores restringen sus ofertas de cifrado en la nube y algunos clientes protegen sus datos localmente antes de cargarlos en la nube.

El cifrado se ha considerado uno de los elementos más poderosos de la estrategia de ciberseguridad de una organización. Además de proteger los datos de la explotación, aborda las siguientes preocupaciones de seguridad cruciales adicionales:

• Cumplimiento de las normas reglamentarias de confidencialidad y seguridad
• Protección mejorada contra el acceso no autorizado a los datos de otros inquilinos de la nube pública
• En ciertos casos, proteger a la organización de tener que revelar infracciones u otros incidentes de seguridad.

¿Por qué la necesidad urgente de cifrado de datos en la nube?

A medida que los datos y las cargas de trabajo migran rápidamente a la nube, se vuelve más difícil controlar y proteger los datos confidenciales. Desde 2020, el 86 % de las empresas han aumentado el alcance y la escala de sus iniciativas en la nube. Sin embargo, las funciones de cifrado aún son deficientes, razón por la cual Forrester enfatizó recientemente la importancia de salvaguardar los datos en la nube.

1. Requisitos de cumplimiento y auditoría más estrictos

La mayoría de las empresas deben cumplir con estrictas normas de privacidad como PCI-DSS, GDPR, CCPA, GLBA, HIPAA, etc. En el pasado, estos requisitos se cumplieron mediante el almacenamiento de datos en sistemas con espacios de aire locales, lo que no es factible en entornos de nube.

2. Las nubes híbridas y multinube dificultan la visibilidad

La implementación de múltiples nubes significa que la información se aloja en varios sitios, incluidos AWS, Azure, GCP, Salesforce, SAP, etc. Esto conduce a una falta de visibilidad completa de los datos y requiere una asistencia administrativa sustancial para manejar y monitorear la migración de datos.

3. La migración a la nube desde aplicaciones heredadas está complicando la gestión de claves

Varias organizaciones dependían de software heredado, local o comercial listo para usar (COTS) hasta hace poco. Cuando se trata de la migración a la nube, confían únicamente en los ISV que migran las aplicaciones sin modificarlas ni reestructurarlas. Las aplicaciones COTS carecen de la noción de BYOK (traiga su propia clave), lo cual es problemático si el cliente desea asumir la propiedad del cifrado.

Solo el 14 % de las empresas confía en que controla todas las claves de cifrado de sus datos basados ​​en la nube. A nivel mundial, casi dos tercios (62 %) de los encuestados tienen cinco o más sistemas de gestión esenciales, lo que genera una mayor complejidad.

Por este motivo, es necesario un enfoque estratégico para el cifrado de datos en la nube y una solución centralizada.

4. El acceso a los datos de la nube suele estar descontrolado

Desafortunadamente, la administración de identidades y accesos (IAM) no siempre se ejecuta en la nube, a pesar de su papel crucial en la prevención de intrusiones de datos. Sin el cifrado, sus datos podrían caer fácilmente en las manos equivocadas. ¡Sorprendentemente, solo el 41% de las organizaciones en todo el mundo han implementado controles de acceso a la infraestructura de la nube de confianza cero! Incluso menos organizaciones (38 %) implementan tales controles dentro de sus redes en la nube.

5. Ninguna solución de cifrado de datos en la nube da como resultado una baja adopción de la nube

La mayoría de las empresas carecen de un método confiable para separar la información confidencial de los datos no confidenciales. Sin experiencia con los marcos de cifrado, creen que deben cifrar los datos estructurados y no estructurados antes de cargarlos en la nube. Esto disminuye la adopción de la nube en general.

6. Las integraciones se vuelven más simples y seguras

Las interfaces de programación de aplicaciones o API son utilizadas con frecuencia por organizaciones que trabajan en entornos de nube para administrar los diversos aspectos de sus sistemas en línea. Ya sean internas o externas, las API con protocolos de seguridad inadecuados representan un riesgo, especialmente cuando se transfiere información. Los servicios de cifrado en la nube pueden ayudar a mitigar los riesgos creados por las API inseguras, lo que le permite construir con confianza un entorno integrado.

(Descargue el documento técnico: 5 pasos para desarrollar su estrategia de gestión de datos en la nube )

Las empresas necesitan dos tipos de cifrado de datos en la nube

Todas las herramientas y protocolos de cifrado de datos en la nube se pueden clasificar en dos grandes grupos: simétricos o asimétricos. En el primer método, solo se emplea una clave para cifrar y descifrar texto sin formato. Como ejemplo sencillo, la palabra "niebla" se puede codificar avanzando cada letra en una posición en orden alfabético, hasta "gmh".

Es lo suficientemente complejo para ser seguro, pero adecuadamente básico para ser rápido. Adivinar la clave requeriría innumerables intentos. Sin embargo, este método de clave única es más susceptible de verse comprometido.

En el cifrado de datos asimétrico, tanto la codificación como la decodificación se realizan mediante pares vinculados de claves públicas y privadas. Esto es similar a un candado con una clave codificada: puede asegurarlo (a través de una clave pública) sin aprender el código, pero solo la persona que entiende el código (es decir, la clave privada) puede desbloquearlo.

Hoy en día, se utilizan métodos asimétricos como Transport Layer Security (TLS) porque son menos susceptibles a la infiltración.

Cuando se compara con el cifrado simétrico, la desventaja más significativa del cifrado asimétrico es que generalmente es más lento. Las empresas deben elegir sabiamente entre los dos cuando se trata de seguridad de datos en la nube. Las cargas de trabajo que deben ser rápidas pero que no transmiten información confidencial, por ejemplo, videoconferencias en la nube, funcionan bien con el cifrado simétrico de datos en la nube.

Por otro lado, los flujos de datos que contienen información confidencial, sin un contexto limitado en el tiempo, como las aplicaciones de inteligencia comercial, se adaptan mejor a los protocolos asimétricos.

¿Cuál es el riesgo de dejar datos sin cifrar y sin inspeccionar?

La violación de datos de Equifax de 2018 comprometió la información de identificación personal (PII) de más de 148 millones de personas. Los procesos correctos de encriptación y vigilancia habrían disminuido la posibilidad de que esto suceda.

Un certificado de sitio vencido permitió que el tráfico pasara sin control durante diez meses, lo que permitió a un adversario filtrar información del cliente sin ser detectado. Si los datos se hubieran cifrado antes de cargarlos, los piratas informáticos solo habrían expuesto el texto cifrado ilegible.

El cifrado de datos en la nube es crucial, pero sin investigación, puede producir puntos ciegos. Según la investigación, más del 80% de los ataques ahora ocurren a través de canales encriptados. Las señales de alerta se pueden identificar mediante el descifrado, el escrutinio y la obtención de visibilidad del tráfico de la red a través de técnicas de inspección.

Los viajes continuos a la nube requieren una mayor atención al cifrado

Las empresas están aumentando sus inversiones en la nube, pero casi siete de cada diez (68 %) siguen considerando que sus empresas en la nube están inconclusas. Habiendo seleccionado la fruta madura, es decir, migrar una aplicación de un servidor local a un servicio en la nube, ahora están transfiriendo una infraestructura más sofisticada y crítica para el negocio, pero aún tienen que comprender el alcance de sus repercusiones en la seguridad de los datos. .

Algunas prácticas recomendadas de cifrado pueden ayudar a las empresas a comprender las necesidades de seguridad actuales:

• Evite conservar las claves de cifrado con los datos que sirven para cifrar y descifrar. Traiga su propio KMS (BYOKMS), también conocido como Administración de claves externas (EKM), ofrece el nivel más alto posible de seguridad de cifrado en la nube.
• Las soluciones de software que almacenan claves de cifrado pueden corromperse o exponerse accidentalmente en varios niveles de infraestructura. Configure una configuración de implementación confiable dirigida por hardware, como un módulo de seguridad de hardware (HSM), para almacenar claves.
• Dado que la mayoría de las organizaciones siguen una estrategia de múltiples nubes, tener políticas discretas, procesos de auditoría y medidas de seguridad individualizadas para cada implementación de la nube aumenta el riesgo y los costos. Centralizar la administración de claves para toda la nube pública o el cifrado SaaS es una mejor práctica recomendada.
• Utilice la informática confidencial para el desarrollo interno de aplicaciones que funcionan con datos confidenciales. Aquí, las aplicaciones se ejecutan en configuraciones de ejecución segura impulsadas por hardware. Evite aprovechar la nube en absoluto en tales escenarios, ya que la aplicación aún no se ha probado por completo.

Terminando

Las filtraciones de datos en la nube son una realidad inevitable en el mundo digital actual, cada vez más hiperconectado. Debido a las amenazas de día cero, es posible que no siempre sea posible prevenir estos ataques. Sin embargo, puede proteger sus datos cifrándolos antes de migrar a la nube. Las empresas también deben prestar atención a la protección de la carga de trabajo dentro de la nube a través de soluciones de seguridad emergentes como el borde del servicio de acceso seguro (SASE), diseñado específicamente para empresas nativas de la nube.