S EG U R ID A D EN EN TO R N O S C LO U D

C O M P U TIN G

CHAVARRIA ARAGON, LUIS

SEG U R ID A D EN EN TO R N O S C LO U D
C O M P U TIN G
INTRODUCCION
ALCANCE
OBJETIVOS

C LO U D C O M P U TIN G
Cloud computing es un modelo de prestacin de
servicios de TI que consiste en tomar los servicios
de un proveedor para satisfacer las necesidades
tecnolgicas sin invertir en infraestructura y
pagando solo por el consumo realizado.
CARACTERISTICAS. Autoservicio.
Accesibilidad.
Asignacin de recursos en comn.
Elasticidad y Escalabilidad.
Supervisin del servicio.

C LO U D C O M P U TIN G
MODELOS DE SERVICIO
Software as a Service
SaaS End Users
Platform as a Service
PaaS Aplication Developers
Infrastructure as a Service
IaaS Network Architects

C LO U D C O M P U TIN G
MODELOS DE DESPLIEGUE
NUBE
PRIVADA

NUBE
PBLICA

NUBE HBRIDA
NUBE
PRIVADA

NUBE
COMUNITARIA

NUBE
PBLICA

C LO U D C O M P U TIN G
MODELOS DE SERVICIO
Software as a Service
SaaS End Users
Platform as a Service
PaaS Aplication Developers
Infrastructure as a Service
IaaS Network Architects

G O B ER N A B ILID A D Y G ESTIO N D EL
R IESG O

En entornos de nube, se debe partir de un

buen proceso de gobierno de seguridad de la
informacin, el cual bien desarrollado debe
garantizar el gobierno en la nube siendo
rentable para el cliente en todo momento.
El principal problema para estas dos
gestiones se encuentra al identificar e
implementar estructuras, procesos y
controles adecuados para mantener un buen
gobierno, seguridad de la informacin y
gestin del riesgo.

G O B ER N A B ILID A D Y G ESTIO N D EL
RRECOMENDACIONES
IESG O
PARA LA
GOBERNABILIDAD.
Destinar un presupuesto para controles de

seguridad.
La gobernabilidad se debe realizar entre el
cliente y el proveedor.
Revisar la estructura y procesos de gobierno
del proveedor
Participacin del rea de Seguridad de la Inf.
Establecer mtricas y estndares.

G O B ER N A B ILID A D Y G ESTIO N D EL
RRECOMENDACIONES
IESG O
PARA LA GESTION
DEL RIESGO.
nfasis en la documentacin.
Auditora y evaluacin de Riesgos.
Revisar la estructura y procesos de

gobierno del proveedor

Asegurar el tratamiento de los riesgos
del proveedor.
Definir la tolerancia del riesgo.

G O B ER N A B ILID A D Y G ESTIO N D EL
RRECOMENDACIONES
IESG O
PARA LA GESTION
DE TECEROS.
Revisar la cadena de suministros.
Gestin de Incidencias, BCP y DRP.
Estar preparado para el corte del

servicio.

G ESTIO N D EL C IC LO D E V ID A D E LA
IN FO R M A CIO N
CREAR
DESTRUIR

ALMACENA
R

ARCHIVAR

UTILIZAR
COMPARTIR

G ESTIO N D EL C IC LO D E V ID A D E LA
IN FO R M A CIO N
CREAR, Etiquetado, derechos, tagging.
ALMACENAR, Controles, Cifrado,

descubrimiento.
UTILIZAR, Seguimiento, lgica, accesos.
COMPARTIR, crear, almacenar, utilizar.
ARCHIVAR, Cifrado, activos, seguimiento.
DESTRUIR, Cryto Shredding, Disk Wiping,
fsico.

G ESTIO N D EL C IC LO D E V ID A D E LA
IN FO R M A CIO N
CONSIDERACIONES. Seguridad de los datos.
Localizacin fsica de los datos.
Remanencia o Persistencia de datos.
Mezcla de datos entre clientes.
Planes de Respaldo, Recuperacin y
Restauracin.
Descubrimiento de datos.
Agregacin de datos e Inferencia.

P O RTA B ILID A D E
IN TER O P ER A B ILID A D
En algn momento, necesitaremos cambiar
de proveedor de nube, debemos estar
preparados para esta transicin.
Las consideraciones a tomar deben ser de
acuerdo al modelo de servicio que se tenga
contratado (SaaS, PaaS, IaaS).

P O RTA B ILID A D E
IN TER O P ER A B ILID A D
CONSIDERACIONES GENERALES. Planificacin en la transicin.
Cantidad de los datos.
Documentar.

P O RTA B ILID A D E
IN TER O P ER A B ILID A D
CONSIDERACIONES ESPECIFICAS. SaaS, Backups, metadata, testear.
PaaS, estndares, transferencias,

documentar,
funciones de control,
efectos, testeo.
IaaS, imgenes, extensiones,
desabastecimiento, dependencias,
acceso, retorno, incompatibilidad.

SEG U R ID A D D E LA IN FO R M A C IO N ,
B C P, D R P.
Estos tres aspectos son completamente
diferentes al de las arquitecturas
tradicionales, se debe tener una constante
evaluacin en un entorno joven como el
cloud computing.
Cloud ayuda a minimizar algunos aspectos
de seguridad, pero puede generar otros,
nunca hay una seguridad total.

SEG U R ID A D D E LA IN FO R M A C IO N ,
B C P, D R P.
RECOMENDACIONES. Accesos.
Inspecciones.
BCP y DRP.
Obligaciones contractuales.
Estndares Internacionales, BS25999.
Recursos en Lnea.

V IRTU A LIZA C IO N .
Los entornos de cloud computing se han
extendido gracias a la reduccin de costos
al implementar entornos virtualizados,
siendo las mquinas virtuales las ms
utilizadas.
La virtualizacin introduce nuevas
superficies de ataque, sobre todo en la red,
al ser diferente a la tradicional.

V IRTU A LIZA C IO N
RECOMENDACIONES. Tipo de Virtualizacin.
Seguridad de Terceros.
Controles de Seguridad.
Integridad de las VM.
Control de Acceso.

C O N C LU SIO N ES
Evaluacin.
Continuidad del negocio.
Documentos contractuales.
Modelo de Servicio y Despliegue.