Seguridad en la nube: ¿dónde comienzan y terminan las responsabilidades del CSP y del cliente?

Consulte todas las sesiones bajo demanda de Smart Security Summit aquí.

Cuando se trata de seguridad en la nube, la cuestión de quién es responsable de qué (el anfitrión o el hospedado) a veces puede ser un poco confusa.

¿Cuáles son las obligaciones del proveedor de servicios en la nube (CSP)? ¿Dónde se delinea la culpa? ¿Y hay una superposición o un área gris?

Con el costo de una violación de datos en un máximo histórico de $ 4,4 millones, estos problemas son una prioridad para los CISO.

Como explica la organización sin fines de lucro de capacitación y certificación (ISC)2, en los primeros días de la computación en la nube, muchos "ejecutivos sin saberlo se enamoraron de la idea de que ya no serían responsables de ninguno de los "dolores de cabeza" asociados con un centro de datos fuera de las instalaciones.

Evento

Cumbre de seguridad inteligente bajo demanda

Obtenga más información sobre el papel esencial de la IA y el ML en la ciberseguridad y los estudios de casos específicos de la industria. Mira las sesiones a pedido hoy.

mira aquí

Sin embargo, "la transferencia de algunas responsabilidades no significa también la transferencia de responsabilidad", advierte la organización sin fines de lucro.

Entonces, ¿cómo pueden las organizaciones estar seguras de sus responsabilidades y las de sus proveedores (y cuáles son compartidas)? Aquí, los expertos de la industria lo desglosan.

Todas las principales nubes públicas, como AWS, Microsoft Azure, Oracle Cloud e IBM Cloud, observan lo que se conoce como "modelo de seguridad compartida".

Esto, según (ISC)2, significa que una organización es responsable de la seguridad "en" la nube y los CSP son responsables de brindar seguridad "de" la nube. Estas responsabilidades varían según la implementación de software como servicio (SaaS), plataforma como servicio (PaaS) o infraestructura como servicio (IaaS).

Con IaaS, la responsabilidad del hardware disminuye para el cliente de la nube, según (ISC)2. Se aplican cambios de responsabilidad similares a los modelos PaaS y SaaS.

"Estos modelos sacan al cliente de la rutina de actualización, aprovechando la experiencia del proveedor de la nube", según la organización sin fines de lucro.

Sin embargo, la aplicación práctica es "donde las cosas pueden complicarse", advierte (ISC)2. Sin experiencia, los ejecutivos pueden “adormecerse” con la idea de que un proveedor resuelve todos sus problemas de ciberseguridad.

Los "matices" de la responsabilidad de la seguridad en la nube

De hecho, hay "matices" de responsabilidad compartida, según el analista Patrick Hevesi, vicepresidente de Gartner. Él y su colega Charlie Winckless, analista principal de Gartner, definen 10 áreas de responsabilidad de la nube:

Continuidad del negocio Gestión de identidad y acceso (IAM) Datos Solicitud API de aplicaciones Carga de trabajo red virtual Orquestación de servicios Virtualización/infraestructura en la nube Físico

Naturalmente, con IaaS, el proveedor de la nube es responsable de la infraestructura de virtualización/nube y...