Actividades Políticas de seguridad de la información

Actividades[pic 1]

Trabajo: Políticas de seguridad de la información

El uso de servicios en la nube (cloud computing) y del software como servicio (Software-as-a-Service, SaaS) es una tendencia en el área de servicios de TI en las organizaciones. No obstante, junto a los nuevos modelos de costes y las posibilidades de externalización aparecen nuevos riesgos relacionados con la seguridad. Estos riesgos abarcan a una gran cantidad de empresas, dado que en mayor o menor medida, muchas de ellas utilizan almacenamiento u otros servicios en la nube.

En el contexto descrito, se pide:

• Identificar los riesgos más importantes en ese entorno. Existen compilaciones de estos riesgos en la web. Por ejemplo, se recomienda comenzar la búsqueda por las páginas del Open Web Application Security Project (OWASP). El resultado de esta identificación serán los cinco riesgos considerados más importantes y por qué se consideran más importantes. Extensión máxima: 1 página.

• Razonar si estos riesgos pueden formularse en una o varias políticas, teniendo en cuenta los responsables, la tipología del riesgo y el tipo de herramientas para implementarla.

• Diseñar una de esas políticas de acuerdo al esquema de la política analizada en los materiales.

Identificación de los cinco riesgos más importantes:

1. Responsabilidad y riesgo en los datos. Generalmente las organizaciones tienen bajo control los datos que son importantes para ellas, con control total sobre esta información. La organización que opta por una solución cloud pierde el control de sus datos. Este hecho representa un riesgo de seguridad crítico que la organización debe contar y mitigar. Debe existe un acuerdo con el tercero que almacenará la información para que los datos no puedan ser utilizados por otros o consultados, sin una compensación
2. Cumplimiento legal y regulatorio. Es complejo demostrar el cumplimiento normativo asociado a una zona “no física”. Los datos que se perciben en un país no pueden ser percibidos en otro debido a diversas leyes reglamentarias de dicho país. Por ejemplo, la UE cuenta con leyes de privacidad muy estrictas, y por lo tanto, datos almacenados en EEUU pueden no cumplir las leyes de la UE
3. Continuidad de negocio y la resiliencia en términos de seguridad. La continuidad del negocio es una actividad que una organización de IT realiza para asegurar que el negocio puede seguir desarrollándose ante una situación de desastre. En caso de utilizar el cloud, la responsabilidad de la continuidad de negocio se delega en el proveedor de la nube. Esto genera un riesgo para la organización, por no tener la continuidad de negocio adecuada. Se tiene que asegurar sobre las soluciones contractuales propuestas por el operador de la nube, así en el SLA.
4. Privacidad del usuario y un posible uso secundario de los datos. Los datos personales de los usuarios se almacenan en el cloud, ya que éstos pueden utilizar diversas redes sociales. La mayoría de estos sitos son irresponsables sobre cómo gestionar los datos de carácter personal de los usuarios. Existe una necesidad de garantizar con los proveedores del cloud los datos que pueden ser utilizados y cuáles no para fines secundarios. En esta afirmación se incluyen los datos que pueden ser extraídos directamente de los datos de usuario por los proveedores.
5. Servicio de Integración de datos. Las organizaciones deben asegurarse de que su dato patentado está protegido de manera adecuada, ya que se transfiere entre el usuario final y el centro de datos en la nube. Mientras que la interceptación de datos en tránsito debe ser motivo de preocupación para todas las organizaciones, el riesgo es mucho mayor para las organizaciones que utilizan un modelo de computación en la nube, donde los datos se transmiten a través de Internet. Datos sin garantía es susceptible a la intercepción y comprometer durante la transmisión. (Shankar, Ove).

Razonamiento y análisis de políticas

Analizando cada uno de los riesgo que presenta cloud computing, es claro que todos estos riesgos parten del proveedor  de servicio,   por lo cual considero que la política de seguridad debe de estar adecuada al tipo de servicio cloud que el proveedor hospeda: Software as a Service (SaaS), Platform as a Service (PaaS) o Infrastructure as a Service (IaaS). Para estos riesgos identificados se pueden platear tres políticas: Política de Administrar el acceso, Política de Protección de datos  y por  ultimo Política de administración de recursos.

...