La seguridad en la nube es un componente importante para las empresas que utilizan aplicaciones, infraestructura y servicios alojados en entornos cloud. Sin embargo, trasladar recursos a la nube no significa que su protección ocurra automáticamente.

Configuraciones inadecuadas, permisos excesivos, recursos expuestos o controles de acceso deficientes pueden generar riesgos para la información y la operación. Por ello, proteger un entorno cloud requiere conocer qué recursos existen, quién puede acceder a ellos y cómo están configurados.

En SecurED MX, la unidad de Seguridad en la Nube y DevSecOps busca proteger aplicaciones, infraestructura y accesos. Para ello, incorpora controles de seguridad desde el diseño y desarrollo hasta el despliegue y la operación. 

¿Qué es la seguridad en la nube?

La seguridad en la nube comprende los controles y prácticas utilizados para proteger los recursos tecnológicos que una organización mantiene en este tipo de entornos.

Para una empresa, esto implica revisar mucho más que la disponibilidad de sus servicios. También requiere prestar atención a la configuración de los recursos, los accesos administrativos, la conectividad y la protección de la información.

Por ejemplo, una evaluación puede considerar recursos accesibles desde internet, reglas de red, puertos habilitados y restricciones de comunicación. Además, puede revisar permisos sobre almacenamiento, mecanismos de cifrado y configuraciones que permitan accesos públicos o intercambios no controlados de información.

De esta manera, la organización puede obtener mayor visibilidad sobre sus riesgos y definir una ruta de mejora.

Seguridad en la nube: ¿qué aspectos deben revisarse?

Cada organización utiliza la nube de manera diferente. Por esta razón, una evaluación debe delimitarse de acuerdo con las tecnologías utilizadas, la criticidad de los activos y las capacidades necesarias para atenderlos.

Algunos aspectos que pueden formar parte de una evaluación son:

• Inventario de recursos. Identificar qué componentes forman parte del entorno, cuál es su propósito, quiénes son sus responsables y cuál es su criticidad.
• Exposición y conectividad. Revisar recursos accesibles desde internet, reglas de red y restricciones de comunicación.
• Protección de información. Analizar permisos de almacenamiento, mecanismos de cifrado y posibles configuraciones de acceso público.
• Accesos administrativos. Identificar privilegios excesivos, cuentas de alto impacto y oportunidades para fortalecer la autenticación.
• Registros y trazabilidad. Comprobar la disponibilidad de bitácoras para investigar cambios o actividades relevantes.
• Configuración segura. Identificar ajustes necesarios considerando las dependencias y posibles impactos en la operación.

Además, una evaluación puede incluir la validación de las correcciones acordadas. Así, es posible comprobar que los cambios atiendan los hallazgos identificados. 

El objetivo es que la empresa no se quede únicamente con una lista de problemas. En cambio, puede contar con una ruta de mejora enfocada en las debilidades de mayor impacto. 

Seguridad desde el desarrollo: el papel de DevSecOps

La protección de los entornos cloud no comienza únicamente cuando una aplicación llega a producción. También puede incorporarse durante su desarrollo.

Aquí entra en juego DevSecOps.

La integración de seguridad en pipelines DevOps permite incorporar controles dentro del flujo habitual de desarrollo y entrega de software. Su objetivo es detectar problemas de manera temprana y establecer criterios claros para atenderlos antes de liberar nuevas versiones. 

Dependiendo del alcance, este proceso puede incorporar diferentes controles:

• Análisis estático de código (SAST).
• Análisis de dependencias.
• Detección de secretos, credenciales, tokens o llaves.
• Validación de infraestructura como código (IaC).
• Pruebas dinámicas (DAST).
• Criterios de liberación.
• Gestión y seguimiento de excepciones. 

De esta forma, la seguridad puede integrarse al proceso de desarrollo en lugar de tratarse únicamente como una revisión posterior.

SAST y DAST: dos perspectivas para evaluar aplicaciones

Dentro de una estrategia de seguridad en la nube y DevSecOps existen procesos que permiten revisar las aplicaciones desde diferentes perspectivas.

El análisis estático de seguridad de aplicaciones (SAST) analiza el código fuente para identificar debilidades de programación. Esto permite detectar problemas desde etapas tempranas. Además, proporciona información sobre dónde se encuentran y cómo pueden corregirse. 

Sin embargo, SAST no debe entenderse como una evaluación suficiente por sí sola. Su cobertura depende de los lenguajes, frameworks, código y dependencias disponibles. Además, necesita complementarse con otras revisiones para evaluar el comportamiento durante la ejecución y la lógica de negocio.

Por otro lado, las pruebas dinámicas de seguridad de aplicaciones (DAST) evalúan aplicaciones web y APIs mientras se encuentran en ejecución. Así, permiten identificar vulnerabilidades observables mediante las interfaces y respuestas del sistema. 

Por tanto, ambos enfoques pueden ser complementarios dentro de una estrategia de desarrollo seguro.

Infraestructura como código: prevenir configuraciones inseguras

La infraestructura también puede definirse mediante código. Por ello, la seguridad debe considerar los archivos y plantillas utilizados para crear o modificar estos recursos.

La revisión de Infrastructure as Code (IaC) busca detectar configuraciones inseguras antes de que se propaguen a diferentes ambientes. Asimismo, puede ayudar a establecer componentes reutilizables con criterios de seguridad consistentes. 

Dependiendo del alcance, pueden revisarse aspectos relacionados con redes, permisos, almacenamiento, cifrado, información sensible y controles operativos.

Además, las validaciones pueden integrarse en repositorios o pipelines. De esta manera, es posible detectar la recurrencia de determinadas configuraciones antes de que lleguen a otros ambientes. 

IAM: controlar quién puede acceder y qué puede hacer

Otro componente relevante de la seguridad en la nube es la gestión de identidades y accesos (IAM).

Su propósito es controlar quién puede acceder a los recursos de la organización, qué acciones puede realizar y durante cuánto tiempo. También busca que los accesos respondan a necesidades vigentes y cuenten con responsables, autorizaciones y evidencia. 

Entre los aspectos que pueden revisarse se encuentran:

• Altas, cambios y bajas de usuarios.
• Roles y perfiles de acceso.
• Principio de mínimo privilegio.
• Segregación de funciones.
• Accesos privilegiados.
• Cuentas de servicio y terceros.
• Autenticación multifactorial.
• Revisiones periódicas de accesos. 

Como resultado, una adecuada gestión de identidades puede reducir accesos innecesarios. También mejora la trazabilidad de las autorizaciones durante el ciclo de vida de las identidades. 

¿Cómo puede SecurED MX fortalecer la seguridad en la nube de tu empresa?

La seguridad de un entorno cloud requiere comprender la tecnología utilizada, los activos que deben protegerse y las necesidades de cada organización.

Por ello, en SecurED MX los proyectos de Seguridad en la Nube y DevSecOps se delimitan de acuerdo con las tecnologías del cliente y la criticidad de sus activos. También se consideran las capacidades técnicas requeridas para atender cada proyecto.

La oferta combina evaluación, acompañamiento para corregir vulnerabilidades e integración de controles preventivos. 

Los servicios de esta unidad contemplan:

• Evaluación y configuración segura en AWS, Azure y GCP.
• Integración de seguridad en pipelines DevOps.
• Análisis estático de seguridad de aplicaciones (SAST).
• Revisión de infraestructura como código (IaC).
• Gestión de identidades y accesos (IAM).
• Pruebas dinámicas de seguridad de aplicaciones (DAST). 

Así, la seguridad puede abordarse en diferentes momentos. Esto incluye desde la configuración de la infraestructura hasta el desarrollo, despliegue y operación de las aplicaciones.

Fortalece la seguridad de tus entornos cloud

Adoptar servicios en la nube también implica mantener una estrategia para proteger los recursos, aplicaciones, información y accesos que forman parte de esos entornos.

La seguridad en la nube permite identificar áreas de exposición, fortalecer configuraciones e incorporar controles en diferentes etapas del ciclo tecnológico.

Sin embargo, cada entorno requiere un alcance acorde con sus tecnologías, recursos y necesidades. Por eso, una evaluación adecuada debe partir del contexto específico de cada organización.

En SecurED MX podemos ayudarte a evaluar tu entorno y definir un alcance acorde con las tecnologías y necesidades de tu empresa.

Contáctanos para conocer nuestros servicios de Seguridad en la Nube y DevSecOps y construir una estrategia de protección adaptada a tu entorno tecnológico.

Este artículo web se realizó con información proporcionada por el ingeniero Ricardo Tovar, director de la unidad de Seguridad en la Nube y DevSecOps de SecurED MX.