Es más probable que incidentes en la infraestructura de la nube pública sean causados por los empleados de un cliente que por las acciones realizadas por los proveedores de la nube, de acuerdo con un nuevo informe de Kaspersky Lab «Comprendiendo la seguridad de la nube: desde los beneficios de adopción hasta las amenazas y preocupaciones«. Las empresas esperan que los proveedores de la nube sean los responsables de la seguridad de los datos almacenados en sus plataformas. Sin embargo, alrededor del 90% (88% de PYMEs y 91% de las grandes corporaciones) de las violaciones de datos corporativos en la nube a nivel global se producen debido a técnicas de ingeniería social dirigidas a los empleados de los clientes, no debido a problemas causados por el proveedor de la nube.
Con la adopción de la nube, las organizaciones pueden beneficiarse de procesos de negocios más ágiles, una inversión reducida en bienes de capital (CAPEX) y un aprovisionamiento de TI más rápido. Sin embargo, también les preocupa la continuidad de la infraestructura de la nube y la seguridad de sus datos. El 33% de las pequeñas, medianas y grandes empresas peruanas está preocupada por los incidentes que afectan a las infraestructuras de TI alojadas por terceros. Las consecuencias de un incidente pueden hacer que los beneficios de la nube sean redundantes y, en su lugar, evocar riesgos comerciales y de reputación complicados.
A pesar de que las organizaciones se preocupen principalmente por la integridad de las plataformas de nube externas, es más probable que se vean afectadas por debilidades mucho más cercanas. En Perú, el 25% de incidentes en la nube fue causado por técnicas de ingeniería social que afectan el comportamiento de los empleados, mientras las acciones de los proveedores de nube fueron responsables de solo el 13% de estos.
La encuesta muestra que es posible mejorar para garantizar que haya medidas de ciberseguridad adecuadas en vigor cuando se trabaje con terceros. Solo el 39% de las empresas peruanas ha implementado una protección personalizada para la nube. Esto puede ser el resultado de la gran confianza que las empresas depositan en la ciberseguridad del proveedor de infraestructura de nube. Alternativamente, podría ser que estas tienen un falso sentido de seguridad en que la protección de endpoints podrá funcionar sin problemas en entornos de nube sin restringir sus beneficios.
«El primer paso para cualquier empresa al migrar a una nube pública es comprender quién es responsable de sus datos comerciales y por las cargas de trabajo que contiene. Normalmente, los proveedores de la nube tienen medidas de ciberseguridad dedicadas a proteger sus plataformas y a sus clientes. Pero, cuando una amenaza está del lado del cliente, la responsabilidad ya no es del proveedor. Nuestra investigación muestra que las empresas deben estar más atentas a la higiene de ciberseguridad de sus empleados y adoptar medidas que protejan su entorno de nube desde adentro», comentó Maxim Frolov, vicepresidente de ventas globales en Kaspersky Lab.
Kaspersky Lab recomienda que las empresas tomen varias medidas específicas para garantizar que sus datos permanezcan seguros en la nube:
- Explique a los empleados que ellos pueden ser víctimas de ciberamenazas. No deben hacer clic en los enlaces ni abrir archivos adjuntos incluidos en mensajes de usuarios desconocidos. Capacitaciones de concientización dedicadas a este tema, como Kaspersky Security Awareness, en formato de juego puede ayudar con esto;
- Para minimizar el riesgo del uso no aprobado de plataformas de nube, informe al personal sobre el efecto negativo de TI paralelo y establezca procedimientos de compra y consumo de la infraestructura de nube para cada departamento;
- Utilice una solución de seguridad de endpoints para evitar vectores de ataque de ingeniería social. Esta debe incluir protección para servidores de correo electrónico, clientes de e-mail y navegadores;
- Implemente la protección de infraestructura de nube inmediatamente después de que se realice la migración. Elija una solución de ciberseguridad dedicada para la nube con una consola de administración unificada para administrar la seguridad en todas las plataformas de nube, y soporte la detección automática de hosts en la nube, además de escalar automáticamente la distribución de protección para cada uno de ellos;
- Kaspersky Hybrid Cloud Security ofrece a las empresas una protección multicapas para entornos de múltiples nubes, ciberseguridad unificada y coordinación perfecta. La solución detecta amenazas comunes y complejas y protege toda la infraestructura de la nube, desde los entornos virtualizados locales hasta las plataformas de nube pública, como AWS y Microsoft Azure.
El informe completo, «Entendiendo la seguridad de nube: desde los beneficios de adopción hasta las amenazas y preocupaciones», está disponible aquí.
