Llegamos a ustedes gracias a:



Columnas de opinión

3 ideas equivocadas que las empresas tienen acerca de la nube

Por: Paul Mash, colaborador de CIO.com

Paul Mash, cio.com

[21/02/2016] Comenzar una pequeña empresa o tratar de hacerla crecer es un asunto de enormes proporciones. Afortunadamente, han surgido los servicios en la nube para ayudar a los dueños de los negocios a aprovechar mejor la tecnología.

Sin embargo, la nube puede ser confusa y estar rodeada de mitos y mala información. Con esto en mente, echaremos un vistazo más de cerca a algunas de esas comunes ideas equivocadas, específicamente en el contexto del uso de la nube para alojar sitios web, servicios de email y almacenamiento de archivos online.

1. Desconfiando de la seguridad de la nube

Una preocupación antigua con los servicios en la nube es que la seguridad es pobre comparada a la de los negocios que manejan su propio hardware. Sin embargo, esto no capta la idea. Pocas pequeñas empresas pueden darse el lujo de crear su propio departamento de TI, y menos de contratar a personal dedicado a la seguridad con el conjunto de habilidades y experiencia para proteger adecuadamente sus organizaciones de los chicos malos.

Los negocios en la nube tienen todos los incentivos, no solo para defender su infraestructura contra los hackers, sino que tienen más recursos para monitorear brechas y manejar cualquier intrusión. Debido a que la nube se trata de economías de escala, esto también se consigue a un precio que es más barato que con acuerdos similares como, por ejemplo, una implementación local manejado bajo un contrato de gestión de servicios.

La seguridad superior de la nube se hace más evidente con grandes servicios basados en la nube como Gmail y Office 365, que operan en infraestructuras mantenidas por Google y Microsoft, respectivamente. Ciertamente, las pequeñas empresas son liberadas de la necesidad de estar constantemente monitoreando los parches y actualizaciones de seguridad, y de tener que programar lo tiempos de inactividad de los servicios para instalarlos.

Ninguna organización puede afirmar ser inmune a las amenazas de seguridad. Esto incluye a las empresas de gestión de contraseñas especializadas, firmas de seguridad de miles de millones de dólares, o incluso a la National Security Agency (NSA). Sin embargo, un gran proveedor de nube está, de lejos, mucho más equipado en términos tanto de la voluntad como de medios para proteger su territorio digital.

Las organizaciones que trabajan dentro de sectores regulados van a tener que adherirse y cumplir con las regulaciones de cumplimiento, sin importar su tamaño. Sin embargo, una clara distinción entre los tipos de datos existe hasta en ese tipo de situaciones, permitiendo a las empresas alojar sus páginas web, por ejemplo, en una plataforma de nube mientras su email y almacenamiento de archivos son implementados localmente o en una nube privada.

2. Malentender el cifrado

Un énfasis excesivo en el cifrado causado por los proveedores ha creado confusión sobre su rol. Para ser más claros, el cifrado se aplica, normalmente, ya sea a datos en transición o a datos en reposo. El primero de los casos es fácil de entender, ya que las tecnologías como Secure Sockets Layer (SSL) y Transport Layer Security (TLS) son usadas para proteger los datos contra el espionaje, a medida que viajan entre dos puntos en Internet.

Proteger datos en reposo, sin embargo, implica el cifrado de los datos que están escritos en una unidad de almacenamiento. De manera similar a cómo el cifrado protege a una organización de las fugas de datos procedentes de una laptop robada, esto asegura que los datos no pueden ser leídos por un intruso que de manera exitosa ha logrado irrumpir en una unidad de almacenamiento. Obviamente, esto es de utilidad limitada para los proveedores de servicios en la nube, considerando que sus servidores ya se encuentran dentro de las instalaciones de los centros de datos con un altísimo nivel de seguridad física.

Por otro lado, el proveedor de servicios en la nube debería tener la clave de descifrado en un software, a diferencia de una laptop que tiene un chip de hardware (Trusted Platform Module) diseñado específicamente para protegerla. En teoría, esto significa que un hacker que ha logrado obtener acceso no autorizado al servicio en la nube, podría -posiblemente- adquirir la clave de descifrado y acceder a sus datos cifrados. Es, por lo tanto, importante entender que cifrar datos en reposo en la nube es sumamente diferente a hacerlo con datos en una laptop con TPM habilitado.

Para mejorar su seguridad, a algunos servicios web les parece importante no contener su clave de descifrado. Por ejemplo, tanto Chrome como Firefox usan un esquema en el que los datos son cifrados con una clave derivada de la contraseña del usuario antes de subir a la nube. Por otra parte, los servicios de almacenamiento en la nube como SpiderOak han estructurado su servicio para que la clave de descifrado sea accesible solo para los propietarios de la cuenta.

Con, prácticamente, todos los servicios web haciendo alarde de sus capacidades de cifrado como evidencia de su robusta y gran seguridad, vale la pena entender cómo es que el cifrado es implementado con el fin de hacer una valoración informada. Como pauta general, los servicios en la nube que le permiten editar sus archivos desde el navegador web, están -probablemente- sin cifrar cuando están en reposo, o cifrados con una clave que es contenida por el servicio en la nube.

3. Considerar que la nube es infalible

A pesar de las ventajas que ofrece, no hay un mito más peligroso sobre la nube que el de su infalibilidad. Los proveedores de servicio en la nube hacen todo lo posible para poner varios niveles de redundancia en su sitio y para asegurar que todos los datos estén adecuadamente respaldados. Desafortunadamente, incluso el ingeniero más brillante comete errores, lo que se agrava por la gran complejidad del entorno de la nube y por el hecho de que se espera que los servicios en la nube vivan por siempre.

Incluso Google ha experimentado, por lo menos, un apagón en el que fueron corrompidas muchas copias de datos, obligándolos a recurrir a las copias de seguridad en cinta para recuperar los datos de algunos usuarios afectados. Los lotes de copias de seguridad en cinta hacen que sea muy probable que algunos de estos usuarios afectados puedan haber experimentado una cierta cantidad de datos perdidos -pero que no se hayan dado cuenta.

Con las cuestiones técnicas aparte, el hackeo/piratería y la insolvencia financiera son, probablemente, las siguientes dos principales razones por las cuales los servicios en la nube fallan. Así como informamos el año pasado, un servicio de nube prometedor fue abruptamente puesto fuera de servicio después de que los hackers accedieran a su panel de control EC2 de Amazon Web Services (AWS) usado para alimentar el servicio.

En lo que parece ser un intento de extorsión fallido, los repositorios de copias de seguridad de datos sumamente importantes fueron eliminadas cuando el hacker contraatacó en el momento en el que el legítimo propietario trataba de recuperar el control de la cuenta. Desafortunadamente, la falta de copias de seguridad fuera del sitio significó que los datos y sistemas irremplazables no pudieran ser recuperados, y dio como resultado el cierre del servicio en la nube.

Por otro lado, la insolvencia financiera ha cerrado más de un servicio en la nube y esto normalmente ocurre en un plazo muy corto. Hay dos lecciones que aprender aquí: evite depender de una sola plataforma en la nube, y realice copias de seguridad de sus datos fuera del sitio de manera regular.

Afortunadamente, la madurez de la nube, hoy en día, ha ampliado las opciones de respaldo, permitiendo almacenar copias de seguridad en una computadora, en un dispositivo de almacenamiento o, incluso, en otra ubicación en la nube. Por un lado, los clientes de software se conectan a servicios de almacenamiento en la nube como Amazon S3, Microsoft Azure y Google Cloud para una fácil descarga a una computadora por una custodia offline.

Para aquellos que prefieren descargas automáticas, los fabricantes de Network Attached Storage (NAS) como Synology ofrecen soporte para una gran variedad de servicios de almacenamiento en la nube. Finalmente, las copias de seguridad de nube a nube también son posibles con un servicio como cloudHQ, un servicio de nube capaz de sincronizas datos entre múltiples servicios en la nube en tiempo real.

Paul Mah, CIO (EE.UU.)