El concepto de seguridad evoluciona al ritmo de los cambios que suceden en las propias soluciones informáticas. La movilidad empresarial, el aluvión de dispositivos en el lugar de trabajo, las aplicaciones SaaS y la nube han transformado el funcionamiento empresarial y a medida que el aumento de estas soluciones y la disponibilidad de los datos crecen, también han crecido los requerimientos globales de cumplimiento, junto con la sofisticación de los hackers.
Aunque las empresas son muy conscientes de los innumerables beneficios que les ofrece la nube y ante esta nueva etapa de transformación digital, muchos directores de IT se plantean ¿Están los datos y la infraestructura de mi empresa protegidos en la nube?
Este es el primer post de una serie de artículos en los que vamos a adentrarnos en toda la temática de seguridad en la nube y en las soluciones de seguridad inteligente que Microsoft nos ofrecen con Office 365 y Azure.
¿Qué hace Microsoft para poder mantener una nube segura?
Desde que Microsoft decidió centrar sus esfuerzos en sus servicios en la nube (Azure y Office 365), siempre ha acompañado su oferta de servicios con sistemas y herramientas de seguridad de la información punteros. De hecho, Microsoft es una de las empresas en el Top 5 que más invierten en desarrollar y mejorar productos de seguridad, sobrepasando los mil millones de dólares anuales.
El enfoque de Microsoft para proteger sus servicios en la nube es holístico, es decir, contempla todos los niveles del servicio e implementa soluciones para resguardar la información de sus clientes esté donde esté. Desde sus centros de procesado de datos, donde se almacena la información, hasta el dispositivo desde el que un cliente consume los datos de su empresa, Microsoft se encarga de proteger la privacidad e integridad de la información para que nada ni nadie pueda afectar ni alterar el negocio de sus clientes.
En la lucha para mantener protegida la información de sus servicios en la nube, Microsoft divide su estrategia de seguridad en 4 grandes bloques, cada uno orientado a proteger un aspecto diferente de los componentes del servicio:
Identidad
La identidad protege el eslabón más débil del entorno empresarial: las personas. Se estima que cerca del 52% de las brechas de seguridad de 2016 son fruto de un error humano. Dejando un ordenador abierto sin bloquear, usando contraseñas demasiado sencillas, abriendo correo electrónico de remitentes desconocidos, etc… Un fallo humano puede derivar en un acceso privilegiado a los sistemas y servicios internos y en el robo y/o destrucción de la información confidencial de la organización. Una de las maneras adecuadas de proteger la identidad de los usuarios es mediante una formación bien ajustada a los riesgos que corre la organización; aunque no es suficiente.
¿Cómo nos ayuda la nube de Microsoft a proteger la identidad?
Microsoft pone al alcance de sus clientes una serie de herramientas que permiten a los usuarios proteger su acceso a la información de la organización con tecnologías de doble verificación de acceso, acceso condicional a los servicios según ubicación, dispositivo y aplicación, análisis del riesgo para el acceso de los usuarios según su actividad, detección de anomalías y actividades sospechosas, etc…
En el próximo artículo te hablaremos sobre estas herramientas y servicios que nos ofrece Microsoft para ayudarnos a proteger la identidad de los usuarios:
- Multi-factor
- Identity Threat Protection
- Cloud App Security
- Microsoft Defender for Office 365
- Acceso condicional
- GDPR
Dispositivos
En segundo lugar, deben protegerse los dispositivos. El uso de dispositivos móviles en el entorno empresarial está ganando terreno a los ordenadores a un ritmo acelerado, abriendo un abanico de ventajas respecto a la movilidad y la productividad de los trabajadores. Paralelamente también incrementa el riesgo de sufrir incidentes de seguridad dadas las limitaciones en el control que pueda tener el departamento de TI respecto estos dispositivos, especialmente si la organización opta por una filosofía de BYOD (bring your own device), es decir, que cada cual use su dispositivo personal para acceder a la información corporativa. Con este tipo de filosofías las empresas se ahorran costes de inversión en equipos nuevos, pero pierden visibilidad sobre quién, cómo, y cuando accede a los datos de la empresa.
La pérdida o sustracción de los dispositivos móviles es el principal factor de riesgo en la seguridad de la información, dando pie a la sustracción de datos confidenciales e incluso al robo de la identidad del usuario del dispositivo.
¿Cómo nos ayuda la nube de Microsoft a proteger los dispositivos?
Microsoft ofrece varias herramientas para tomar el control del acceso a la información corporativa desde dispositivos móviles. No solo podemos controlar si permitimos o no acceder a los datos corporativos desde dispositivos, sino que podemos controlar qué tipos de dispositivos permitimos acceder, establecer requisitos a los dispositivos para permitir el acceso a determinados datos (contraseñas complejas, acceso biométrico, etc.), además de controlar qué aplicaciones están consideradas como corporativas y que permiten el uso de datos de la organización. En la tercera parte de esta serie de artículos te hablaremos sobre la gestión segura de los dispositivos que acceden a la información corporativa y de las herramientas para la protección de dispositivos móviles que nos ofrece Microsoft:
- Mobile Device Management
- Acceso condicional
Datos
En tercer lugar, deben protegerse los datos de la organización, pues la información de nuestra empresa es uno de los activos más valiosos que existe, y como tal hay que tenerla bien protegida. De hecho, coloquialmente se dice que deberías proteger bien tu castillo, pero no está nunca de menos ponerle un buen candado a tu tesoro. La razón para proteger los datos no es simplemente para evitar que alguien los pueda robar, sino también para saber cómo se están usando, donde están almacenados, quien está accediendo a ellos e incluso evitar que se fuguen datos sensibles para la organización.
¿Cómo nos ayuda la nube de Microsoft a proteger los datos?
Microsoft incluye herramientas de control y auditoría para los datos almacenados en sus servicios en la nube, dando visibilidad de cómo se consume la información y desde donde, mejorando en gran medida los procesos de gobierno de la información corporativa.
Adicionalmente podemos añadir controles para determinados tipos de información que sean sensibles para la compañía, por ejemplo datos personales de clientes que puedan vulnerar alguna ley de protección de datos, datos confidenciales para la empresa como información fiscal y financiera; que no permite saber si se está realizando un uso incorrecto e incluso malintencionado de estos datos. Incluso podemos mantener bajo control aquellos ficheros que compartimos con otras organizaciones colaboradoras, dándonos visibilidad sobre quien accede y desde donde; además podemos revocar el acceso a los ficheros aunque no estén dentro de los límites de nuestra infraestructura informática.
Podrás descubrir estas herramientas y más, en la cuarta parte de esta serie de artículos sobre Proteger los datos de tu empresa, estén donde estén:
- Auditoría
- DLP
- eDiscovery
- Azure Information Protection
- RMS Tracking
Infraestructura
En el cuarto y último bloque hablaremos sobre cómo podemos proteger la infraestructura de nuestra empresa gracias a servicios conectados a la nube.
Muchos de los servicios existentes en las infraestructuras clásicas incluyen firewalls, sistemas de monitorización, antivirus, antimalware, etc. que son muy útiles para evitar incidentes de seguridad clásicos, pero las nuevas técnicas que usan los atacantes están pensadas expresamente para evitar estos controles de seguridad. Por esta razón es necesario modernizar los sistemas de control y acceso con tecnologías adecuadas a las nuevas amenazas.
¿Cómo nos ayuda la nube de Microsoft a proteger la infraestructura?
Microsoft ha realizado un paso adelante con su visión holística de la seguridad pues ahora sus controles ocupan todos los niveles del servicio, teniendo visibilidad desde los dispositivos con Windows 10 hasta los servicios en la nube como Azure y Office 365. Con esta capacidad de control Microsoft ha puesto a disposición de sus clientes un conjunto importante de herramientas que permiten proteger los sistemas con infraestructura en la nube, infraestructura en casa e incluso infraestructura híbrida. Desde los dispositivos con Windows 10 con controles de identidad biométricos, sistemas de protección contra software malicioso y arranque siempre seguro del sistema operativo, hasta sistemas de detección de brechas de seguridad que permite detectar actividades sospechosas tanto en la red como en los propios dispositivos, e incluso entender el origen y la evolución de un ataque a la seguridad de los datos de la organización.
Podrás descubrir estas y otras herramientas en la quinta parte de esta serie de artículos sobre Las amenazas a la seguridad en tu infraestructura:
- ATA
- Windows Defender for Endpoint
Lo que Softeng puede hacer por ti
Softeng, que recientemente ha sido garladonada por Microsoft con el premio al mejor partner Cloud del año, te ofrece su experiencia y calidad para ayudarte a trazar y consensuar la estrategia más adecuada para que tu empresa se suba a la nube paulatinamente, por etapas, sin quebraderos de cabeza , con seguridad y empezando a tener ventajas, beneficios y ahorros desde el primer momento. Asimismo, te ayudamos a implementar y sacar partido a todas las herramientas de seguridad que te hemos explicado en este post.
¿Quieres saber más? Contacta con nosotros.