En un mundo cada vez más digitalizado, es esencial abordar los desafíos y las mejores prácticas para proteger los datos y los sistemas en la nube. En la mesa redonda “Fortaleciendo la Seguridad en la Nube: Perspectivas y Desafíos”, organizada por CIO México en Monterrey, Nuevo León, con el patrocinio de Palo Alto Networks y AWS, se reunieron CIOs y CISOs de diversas industrias para discutir acerca de los retos y las oportunidades que enfrentan al migrar a la nube y de qué manera se puede fortalecer la seguridad en este entorno.

Las organizaciones de todos los tamaños están trasladando la mayor parte de sus operaciones a la nube, y la mayoría lucha por automatizar la seguridad en la nube y mitigar los riesgos. “Esta es una razón por la cual muchas empresas intentan mejorar la seguridad en una etapa más temprana del proceso de desarrollo y buscan menos proveedores que puedan ofrecer más capacidades de seguridad”, aseveró Marcos Nehme, Head para América Latina y el Caribe de Prisma Cloud en Palo Alto Networks, en su presentación introductoria al tema de discusión.

Dijo que hay más de 3,500 fabricantes en el mundo que ofrecen soluciones en materia de seguridad de la información. Esto se suma a la falta de integración de las más de 32 herramientas de seguridad que, en promedio, las organizaciones emplean actualmente, y que requieren al menos cuatro días para investigar algún incidente y los 212 días que en promedio permanece un atacante sin que la empresa lo sepa.

Al hacer referencia al estudio Global What´s Next in Cyber Survey 2022, para el cual Prisma Cloud de Palo Alto Networks entrevistó a 3,000 responsables del área de seguridad en sus respectivas organizaciones, el 77% de ellos señaló que es fundamental reducir el número de soluciones de seguridad y servicios que utilizan, por lo cual la gestión de los riesgos cibernéticos actuales requiere consolidación.

“La propuesta de Palo Alto Networks es integrar soluciones puntuales, de manera que las organizaciones puedan tener algo consolidado de punta a punta cien por ciento seguro, otorgando la facilidad y flexibilidad para gestionarlo todo de la mejor manera”.

La oferta, dijo Nehme, está basada en cuatro bases principales de productos: Network Security (que integra soluciones de Zero Trust en firewalls de siguiente generación mediante productos de Strata y Prisma SASE), Cloud Security (que ofrece el concepto de Shift left from Code to Cloud, “donde se efectúa el mindset para resolver las vulnerabilidades mientras el personal de DevOps desarrolla la aplicación, para lo cual se aportan soluciones de Prisma Cloud”); Security Operations (que brinda soluciones de Cortex “para monitoreo y para tener un SOC más completo, integrado y flexible”. Estos tres segmentos tienen como base una plataforma de servicios de asesoramiento e inteligencia de amenazas, que permite gestionar los riesgos cibernéticos, aseveró.

Alternativas y experiencias compartidas

En la mesa de discusión, los participantes invitados aportaron su opinión sobre las estrategias que han aplicado y que han resultado efectivas para proteger los datos y las aplicaciones en la nube.

Oscar Pérez Esquivel, CIO de Gilsa, mencionó que las mejores estrategias que se pueden aplicar en este sentido están relacionadas con un tema de conciencia hacia el usuario. “Dentro del comité de seguridad que tenemos en la compañía, nos planteamos la pregunta: ‘¿qué es lo que necesitamos proteger de manera prioritaria en la empresa?’. ¿Es la operación, la data? ‘¿Y dónde hay mayor impacto y de operación para el negocio?’. Planteándonos estos escenarios, podemos generar el roadmap adecuado para determinar el presupuesto”.

Pablo Cuevas, Gerente de Infraestructura y Seguridad de Grupo Cemix, recomendó también emplear pruebas de phishing entre el personal, y reforzarlas mediante cursos y exámenes para incrementar el nivel de concientización sobre las posibles amenazas.

Al abordar el tema de ¿cómo se evalúan los riesgos y la mitigación de amenazas en sus ambientes de nube? Jesús Cortés, Jefe Administrador de Seguridad en la Universidad Autónoma de Nuevo León, recomendó hacer la gestión de riesgos “que abarque lo relativo a la infraestructura, así como los activos para habilitar todos los servicios, que van más allá de la nube”.

Por su parte, Noel Hortiales, Subdirector de Infraestructura en Cómputo y Software de la UANL,  que hay “viejos riesgos en nuevos escenarios”. En ocasiones, dijo, hay un deseo por buscar cosas nuevas en situaciones de las cuales los responsables del área de Seguridad deben estar familiarizados, y deben gestionar, independientemente si los servicios se suministran en forma local o mediante una configuración de nube”. Reiteró que los servicios deben ser considerados y tratados desde un punto de vista integral, sin separarlos o verlos desde la perspectiva de si están en nube o en sitio. “Están muy relacionados ambos, y lo que pudiera ser una debilidad en uno de ellos, puede generar situaciones de riesgos en el otro”.

Francisco Juárez, Director de Procesos, Tecnología e Innovación de Almex, puso en la mesa la pregunta de ¿cómo garantizar que la nube está correctamente configurada en una organización?

Marcos Nehme, de Palo Alto Networks, resaltó que en este caso lo más importante es tener visibilidad de la infraestructura que se está utilizando. Esto se consigue mediante procesos y por una tecnología que puede identificar alguna configuración que esté mal, para que se genere una alerta y, sobre todo, que produzca recomendaciones y acciones de cambios rápidos.

En este sentido, añadió que Prisma Cloud es una solución única de Gestión de la Postura de Seguridad en la Nube (CSPM) que puede reducir la complejidad de proteger los entornos de múltiples nubes, al tiempo que simplifica radicalmente el cumplimiento. “En este caso, los equipos de seguridad y cumplimiento obtienen una visibilidad completa en toda la infraestructura de la nube pública, con un monitoreo continuo y automatizado que brinda información sobre activos nuevos y existentes, comportamientos anómalos y amenazas potenciales”, concluyó Nehme.

José Luis Becerra, CIO México