seguridad en la nube preeliminar - facultad de ciencias...

Seguridad en la Computación en la Nube

Carlos R. Primorac Página 2

Índice de Contenidos

1. Introducción ........................................................................................................ 5

2. Conceptos Fundamentales de la Computación en la Nub e ............................. 6

1.1. Modelo de Computación en la Nube del NIST ................................................ 6

1.1.1. Características esenciales ...................................................................... 7

1.1.2. Modelos de entrega ................................................................................ 8

1.1.3. Modelos de despliegue ........................................................................... 8

1.2. Virtualización .................................................................................................. 9

1.3. Arquitectura de Referencia ............................................................................10

2. Seguridad en la Computación en la Nube .......................................................12

2.1. Las nueve amenazas a la seguridad .............................................................12

2.2. Evaluación de los riesgos de seguridad ........................................................13

2.3. Pautas de seguridad y privacidad en nubes públicas ....................................14

2.3.1. Gobernabilidad .......................................................................................15

2.3.2. Confianza ...............................................................................................15

2.3.3. Arquitectura ............................................................................................15

2.3.4. Gestión de la identidad y acceso ............................................................16

2.3.5. Aislamiento del software ........................................................................16

2.3.6. Protección de datos ...............................................................................16

2.3.7. Disponibilidad .........................................................................................16

2.3.8. Respuesta a incidentes ..........................................................................16

3. Arquitectura de Referencia de Seguridad del NIST .........................................19

3.1. Modelo Formal de la NCC-SRA ....................................................................20

Conclusiones .............................................................................................................21

Referencias ................................................................................................................22



Índice de Figuras

Fig. 1. Modelo de Computación en la Nube del NIST ................................................... 6

Fig. 2. Modelos de despliegue ...................................................................................... 9

Fig. 3. Virtualización ....................................................................................................10

Fig. 4. NIST NCC-RA ..................................................................................................10

Fig. 5. NCC-RA actualizada ........................................................................................20

Fig. 6. Modelo formal de la NCC-SRA ........................................................................20



Índice de tablas

Tabla 1. Recomendaciones para la tercerización de servicios ....................................17



1. Introducción

La Computación en la Nube representa una arquitectura en la cual se integran un

conjunto de tecnologías que permiten reducir considerablemente los costos de las

infraestructuras, incrementado la confiabilidad, la flexibilidad y facilitando el acceso

bajo demanda a redes ubicuas para compartir un conjunto configurable de recursos

computacionales que pueden ser provistos y liberados con un mínimo esfuerzo de

administración o interacción por parte del proveedor.

En la actualidad, la proliferación de servicios operando en la nube se ha convertido en

una tendencia significativa en el mercado de las tecnologías de la información (IT) y el

interés en la Computación en la Nube se ha incrementado rápidamente debido a las

ventajas que ofrece este paradigma. Sin embargo, la seguridad y la privacidad

constituyen una de las principales preocupaciones para las empresas y organizaciones

que consideran la transición de datos y aplicaciones hacia una infraestructura en la

nube.

Una visión de los aspectos críticos de seguridad se puede extraer de las experiencias

obtenidas por los primeros en adoptar infraestructuras en la nube y por investigadores

que analizan y experimentan con plataformas en la nube y tecnologías asociadas de

distintos proveedores.

En este trabajo se sintetizan algunos documentos con el propósito de facilitar una

visión general de las principales amenazas, riesgos y aspectos a considerar en la

seguridad en la Computación en la Nube.

El informe se organizó en cuatro secciones. En primer lugar se realiza una descripción

de los componentes del modelo y se comenta brevemente la tecnología de la

virtualización, estrategia para la consolidación de centros de datos y base para las

nubes de alto rendimiento. Seguidamente, se enumeran las principales amenazas a la

seguridad según la Cloud Security Alliance (CSA), los riesgos a evaluar antes de

contratar un proveedor en la nube, mencionados por la consultora Gartner y se

describen las cuestiones de seguridad y privacidad, consideradas por el Instituto

Nacional de Normas y Tecnología (NIST: National Institute of Standards and

Technology), que pueden tener impacto a largo plazo en una infraestructura en nube

pública. En tercer lugar, se comenta brevemente el borrador de la arquitectura de

referencia de seguridad del NIST. Finalmente, se exponen algunas conclusiones.



2. Conceptos Fundamentales de la Computación en la Nube

La Computación en la Nube representa una arquitectura en la cual se integran el

conjunto de tecnologías:

• Software como Servicio (SaaS: Software as a Service).

• Plataforma como Servicio (PaaS: Platform as a Service).

• Infraestructura como Servicio (IaaS: Infrastructure as a Service).

La visión es reducir el costo de computación incrementando la confiabilidad y la

flexibilidad. Estandarizando los protocolos utilizados para requerir los recursos

computacionales, es posible crear tecnologías que permiten a los consumidores

obtener la potencia de computación bajo demanda análogamente, en forma y

utilidades, a una red de energía eléctrica [1].

1.1. Modelo de Computación en la Nube del NIST

Según [2], la Computación en la Nube es un modelo que permite, convenientemente,

el acceso bajo demanda a redes ubicuas para compartir un conjunto configurable de

recursos computacionales (redes, servidores, almacenamiento y aplicaciones) los

cuales pueden ser provistos y liberados con un mínimo esfuerzo de administración o

interacción por parte del proveedor. Este modelo está compuesto por cinco

características esenciales, tres modelos de servicios y cuatro modelos de despliegue

(Fig. 1).

Fig. 1. Modelo de Computación en la Nube del NIST [Fuente: elaboración propia].



1.1.1. Características esenciales

De acuerdo con la definición del NIST, las tres características esenciales del modelo

de la Computación en la Nube son [2]:

• Autoservicio bajo demanda.

• Acceso amplio a la red.

• Agrupamiento de recursos.

• Elasticidad rápida.

• Servicio medido.

El autoservicio bajo demanda, permite a los usuarios utilizar los recursos disponibles

en la nube según sean necesarios, sin que sea necesaria la interacción con el

proveedor de los servicios. El usuario puede programar el uso de los servicios en la

nube, tales como procesamiento o almacenamiento, además de implementarlos y

gestionarlos.

Los enlaces de comunicación de alto ancho de banda, hacen de la Computación en la

Nube una alternativa eficiente para los centros de cómputo manejados por cuenta de

la empresa (in-house). El costo reducido de estas redes de comunicaciones, facilita el

acceso a un mayor número de recursos IT, lo cual hace a una de las principales

justificaciones económicas.

La nube ofrece un gran número de recursos flexibles para cumplir con las necesidades

del consumidor, proporcionar economías de escala y cumplir con los requerimientos

de servicios. Las aplicaciones precisan recursos y estos deben asignarse

eficientemente para un rendimiento óptimo. Estos, pueden estar localizados en áreas

geográficas diferentes y asignarse virtualmente según las necesidades. De esta

manera, existe un sentido de independencia de la ubicación en la que el cliente no

tiene control o conocimiento sobre la ubicación exacta de los recursos proporcionados,

pero es capaz de especificarla en un nivel de abstracción más alto (país, estado o

centro de datos).

La elasticidad rápida se refiere a la capacidad de la nube para ampliar o reducir los

recursos asignados de forma rápida y eficiente para cumplir con los requisitos del

autoservicio bajo demanda. Esta asignación puede hacerse automáticamente y

aparece ante el usuario como una gran reserva de recursos dinámicos que se pueden

adquirir cuando sean necesarios. El desarrollo y la implementación de servicios

débilmente acoplados que escalan de manera independiente y sin depender de la

elasticidad de otros es lo que permite esta rápida elasticidad.



Las características de la Computación en la Nube están orientadas a los servicios. Los

recursos en la nube se asignan y supervisan en forma dinámica. Así, el cliente puede

ser facturado en base al uso medido de los servicios asignados a una sesión

determinada.

1.1.2. Modelos de entrega

Se refieren a los servicios específicos a los cuales se puede acceder en una

plataforma de Computación en la Nube [2]:

• SaaS.

• PaaS.

• IaaS.

SaaS proporciona al consumidor la capacidad de utilizar las aplicaciones del

proveedor que se ejecutan en la infraestructura en la nube. Estas aplicaciones están

disponibles desde diversos dispositivos del cliente hasta interfaces livianas, tales como

navegadores web. El consumidor no administra o controla la infraestructura

subyacente en la nube, incluyendo redes, servidores, almacenamiento, sistemas

operativos (OSs) y otras aplicaciones, con la excepción de limitadas opciones de

configuración especificas del usuario.

PaaS proporciona al consumidor la capacidad de desplegar en la infraestructura en la

nube, aplicaciones propias, adquiridas o desarrolladas utilizando lenguajes de

programación y herramientas ofrecidas por el proveedor. El consumidor no administra

ni controla la infraestructura subyacente en la nube, incluyendo la red, servidores,

almacenamiento u OSs. Sin embargo, tiene control sobre las aplicaciones instaladas y

posiblemente aplicaciones para la configuración del entorno de alojamiento.

IaaS proporciona al consumidor la capacidad de procesamiento, almacenamiento,

redes y otros recursos fundamentales que le permiten desplegar y ejecutar software

arbitrario. El consumidor tiene control sobre OSs, almacenamiento, aplicaciones

instaladas y un control limitado sobre componentes de red seleccionados.

1.1.3. Modelos de despliegue

Se clasifican en cuatro categorías (Fig. 2), las cuales se refieren a la localización y

administración de la infraestructura en la nube [2]:

• Nube privada.

• Nube pública.

• Nube comunitaria.



• Nube hibrida.

En una nube privada, la infraestructura es operada por una empresa o una

organización, pudiendo ser administrada por cuenta propia o por un tercero y existir

dentro o fuera de las instalaciones de la organización.

En una nube pública, la infraestructura se encuentra a disposición del público en

general o de un grupo de industrias. Es propiedad de una organización que ofrece los

servicios en la nube.

En una nube comunitaria, la infraestructura es compartida por varias organizaciones y

ofrece soporte a una comunidad específica con intereses comunes, por ejemplo

misión, requerimientos de seguridad y políticas. Es administrada por cuenta propia o

por un tercero, pudiendo existir dentro fuera de las instalaciones de las

organizaciones.

En una nube hibrida, la infraestructura es una combinación de una o más nubes

distintas, las cuales permanecen como entidades únicas pero unidas por tecnologías

estándares o propietarias que permiten la portabilidad de los datos y las aplicaciones.

Fig. 2. Modelos de despliegue [Fuente: elaboración propia].

1.2. Virtualización

Una infraestructura virtual constituye una estrategia para consolidar los centros de

datos y la base para las nubes de alto rendimiento [1].

La virtualización es la tecnología clave de la Computación en la Nube [3]. En esencia,

en un equipo anfitrión (host), una aplicación conocida como hipervisor o monitor de

máquina virtual (VMM: Virtual Machine Manager) crea una o más máquinas virtuales

(VMs: Virtual Machines) simulando equipos físicos, los cuales pueden ejecutar

software de cualquier tipo, desde OSs hasta aplicaciones de usuario (Fig. 3).



Fig. 3. Virtualización [Fuente: elaboración propia].

La virtualización facilita la agilidad y escalabilidad de la nube. Permite abstraer y

aislar el hardware subyacente mediantes VMs en su propio entorno de ejecución y

con múltiples VMs para los recursos de procesamiento, almacenamiento y redes en un

único entorno anfitrión. Esto es fundamental tanto para la gestión de datos como para

la utilización y disponibilidad de aplicaciones [4].

1.3. Arquitectura de Referencia

La definición de Computación en la Nube del NIST [3], es ampliamente aceptada y

proporciona una comprensión clara de las tecnologías involucradas.

Por otra parte, la Arquitectura de Referencia de la Computación en la Nube (NCC-RA:

Reference Architecture) [5], identifica a los principales actores, sus actividades y

funciones. El modelo conceptual de la Fig. 4, ilustra una arquitectura de alto nivel con

la intención de facilitar la comprensión de los requerimientos, usos, características y

estándares.

Fig. 4. NIST NCC-RA [5]



Como se puede apreciar en la Fig. 4, en este modelo, la seguridad es un

subcomponente del proveedor en la nube. Sin embargo, la seguridad es un aspecto

transversal de la arquitectura que se extiende a través de todas las capas del modelo

de referencia, abarcando tanto aspectos físicos como de las aplicaciones. Por lo tanto,

la seguridad en la Computación en la Nube, no es exclusivamente competencia de los

proveedores, sino también de los consumidores y otros actores relevantes. Los

sistemas basados en la nube, deben hacer frente a requisitos de seguridad tales como

autentificación, autorización, disponibilidad, confidencialidad, gestión de la identidad,

integridad, auditoria, supervisión, respuesta a incidentes y gestión de políticas de

seguridad [5].



2. Seguridad en la Computación en la Nube

En los últimos años el interés en la Computación en la Nube se ha incrementado

rápidamente debido a las ventajas que ofrece este paradigma, mayor flexibilidad y

disponibilidad de recursos a un menor costo. Sin embargo, la seguridad y la privacidad

constituyen una de las principales preocupaciones para las empresas y organizaciones

que consideran la transición de datos y aplicaciones hacia una infraestructura en la

nube [6].

Según [7], las oportunidades que ofrece la Computación en la Nube generan un gran

entusiasmo en los consumidores. No obstante, los riesgos en la seguridad y la pérdida

del control directo de los sistemas de los cuales no son responsables, continúa siendo

una constante preocupación.

Las organizaciones que consideren la transición hacia una infraestructura en la nube,

deben comprender los riesgos asociados que acarrea cualquier servicio externo y

evaluarlos en áreas tales como la integridad, recuperación, privacidad y cuestiones

legales tales como normativas y auditorias [8].

En [6], se señala que una visión de los aspectos críticos de seguridad se puede

extraer de las experiencias obtenidas por los primeros en adoptar infraestructuras en

la nube y por investigadores que analizan y experimentan con las plataformas en la

nube y tecnologías asociadas de distintos proveedores.

2.1. Las nueve amenazas a la seguridad

En una encuesta realizada por la CSA [9] en el 2012 entre expertos de la industria

para identificar las principales vulnerabilidades de la Computación en la Nube

relacionadas con la seguridad, se identificaron nueve amenazas críticas:

1. Violación de datos privados . Información confidencial copiada, transmitida,

leída, robada o utilizada por una persona no autorizada.

2. Pérdida de datos . Error en los sistemas, fallas en los dispositivos de

almacenamiento, transmisión o procesamiento de la información.

3. Secuestro de cuentas o servicios ( hijacking). Proceso por el cual una

cuenta de correo, usuario o sistema asociado a un dispositivo de computo, es

robada o secuestrada con propósitos mal intencionados

4. Interfaces y APIs inseguras . Interfaces de Programación de Aplicaciones

(APIs) con vulnerabilidades o debilidades que permiten explotar servicios o

datos de manera no autorizada.



5. Negación de servicio . Una interrupción a una red de computadoras o

servicios, típicamente causado por un intento mal intencionado

6. Persona interna mal intencionada ( insider). Empleados o ex-empleados,

socios de negocio y proveedores con acceso autorizado a la red, sistemas o

datos y que pueden utilizarlo afectando la confidencialidad, integridad y

disponibilidad de la informacion.

7. Abuso de servicios en la nube . El uso de recursos legítimos en la nube para

darles mal uso.

8. Due diligence insuficiente . La adopción de servicios en la nube sin tener una

clara comprensión de los riesgos de seguridad en su despliegue o sin realizar

una validación de controles de seguridad y privacidad en la nube de terceros o

del proveedor de servicios en la nube.

9. Vulnerabilidades en tecnologías compartidas . Vulnerabilidades en

tecnologías clave que hacen posible la computación en la nube (hipervisores).

2.2. Evaluación de los riesgos de seguridad

Las organizaciones pueden obtener ventajas competitivas al adoptar la Computación

en la Nube. Sin embargo, antes deben tener una visión integral de los riesgos de

seguridad asociados.

Siguiendo a [8], antes de contratar un proveedor en la nube es necesario evaluar:

• Privilegios en el acceso de usuarios.

• Cumplimiento de la normativa.

• Ubicación de los datos.

• Separación de los datos

• Recuperación.

• Soporte a la investigación.

• Viabilidad a largo plazo.

Los datos confidenciales procesados fuera de la organización corren un riesgo si los

servicios IT tercerizados no ejercen los mismos controles físicos, lógicos y de personal

que se realizan para las aplicaciones de la empresa. Es necesario solicitar a los

proveedores información específica sobre la contratación y supervisión de los

administradores con privilegios sobre la información sensible y los controles que

realizan en el acceso a esta.



El consumidor es el responsable de la seguridad e integridad de sus datos, incluso

cuando estos se encuentran en manos de un proveedor de servicios externos. Los

proveedores en la nube están sujetos a auditorías externas y certificaciones de

seguridad. Aquellos que se nieguen o no cuenten con estos controles no son

confiables.

En una infraestructura en la nube, es probable que el consumidor no tenga

conocimiento en qué país están alojados sus datos. Esto es motivo de preocupación

para cualquier organización que necesite cumplir con regulaciones nacionales de

privacidad. Se debe tener claro si los proveedores de servicios en la nube se

comprometen a almacenar y procesar datos en una jurisdicción específica y, si están

operando en ella, si está dispuesto a un compromiso contractual para obedecer la ley

en nombre de los consumidores.

Normalmente, en una infraestructura en la nube los datos se encuentran en un entorno

compartido con otro cliente. El cifrado es imprescindible, pero puede convertir los

datos en irrecuperables. El proveedor debe aportar la seguridad de que los esquemas

de cifrado están diseñados y probados por especialistas.

El proveedor debe garantizar la capacidad de una restauración completa en un mínimo

de tiempo en caso de fallas.

La investigación de actividades ilegales en una infraestructura en la nube puede ser

una actividad compleja puesto que los datos y registro de actividades es varios

clientes pueden coexistir e incluso estar en una gran cantidad de equipos y centros de

datos. Es necesario un compromiso contractual con el proveedor para apoyar a formas

específicas de investigación.

Es imprescindible asegurarse que el proveedor de servicios en la nube no tenga

dificultades financieras o que pueda ser absorbido por otra empresa. Llegado el caso,

es necesario saber que los datos se pueden recuperar.

2.3. Pautas de seguridad y privacidad en nubes públ icas

Las tecnologías de la Computación en la Nube pueden implementarse en una amplia

variedad de arquitecturas, diferentes modelos de servicios y despliegue, pudiendo

coexistir con otras tecnologías y enfoques de diseño de software. Los desafíos de

seguridad incluyen aquellos con los cuales se enfrentan las nubes públicas, en las

cuales la infraestructura y los recursos son provistos por un tercero que ofrece sus

servicios al público general a través de una plataforma distribuida (multi-tenant).



El paradigma de la Computación en la Nube promete efectos a largo plazo en los

sistemas de las organizaciones. Muchas de las características que la hacen atractiva

pueden estar en oposición con los modelos y controles de seguridad tradicionales.

Cada organización es responsable de aplicar los lineamientos proporcionados al

analizar sus necesidades para evaluar, seleccionar y supervisar los servicios en una

nube publica que pueden satisfacer sus requerimientos.

Según el NIST [6], las cuestiones de seguridad y privacidad que pueden tener impacto

a largo plazo en una infraestructura en la nube pública, y en muchos casos, para otros

modelos de despliegue son:

1. Gobernabilidad.

2. Cumplimiento.

3. Confianza.

4. Arquitectura.

5. Gestión de la identidad y el acceso.

6. Aislamiento del software.

7. Protección de datos.

8. Disponibilidad.

9. Respuesta a incidentes.

2.3.1. Gobernabilidad

Implica el control y la supervisión por parte de la organización sobre las políticas,

procedimientos y estándares para el desarrollo de aplicaciones y la adquisición de

servicios IT, así como también el diseño, implementación, pruebas, uso y control de

los servicios desplegados o contratados.

La amplia disponibilidad de servicios en la nube y la falta de control sobre los

empleados puede ser una fuente de problemas. La adquisición de una infraestructura

en la nube, amplifica la necesidad de la gobernabilidad.

2.3.2. Confianza

Bajo el paradigma de la Computación en la Nube, las organizaciones ceden el control

directo de muchos de los aspectos de la seguridad y la privacidad, al hacerlo

conceden un alto nivel de confianza en el proveedor de la nube.

2.3.3. Arquitectura



La arquitectura del software y del hardware utilizado para entregar los servicios en la

nube varía significativamente entre los distintos proveedores y para cada uno de los

servicios específicos del modelo. La localización física de la infraestructura, el diseño y

la implementación de la fiabilidad, el agrupamiento de recursos, la escalabilidad y otras

necesidades son decisiones del proveedor en la nube.

2.3.4. Gestión de la identidad y acceso

La sensibilidad de datos y privacidad de la información se han convertido en la

principal preocupación de las organizaciones. Las pruebas de autentificación y

aspectos de la gestión de identidades implican el uso, mantenimiento y protección de

la información de identificación personal (PII: Personally Identifiable Information) de los

usuarios. Otra consideración importante, es impedir el acceso no autorizado a los

recursos de información en la nube.

2.3.5. Aislamiento del software

Debido a las economías de escala, se requieren un alto grado de multi-tenencia en las

plataformas para lograr la flexibilidad y beneficios de costos previstos por el

autoservicio bajo demanda. Para llegar a altas escalas de consumo, los proveedores

deben garantizar la entrega dinámica y flexible de servicios, aislando los recursos de

los consumidores.

2.3.6. Protección de datos

En una infraestructura de nube pública, los datos de un cliente, normalmente residen

en un entorno y ubicación compartida con otros. Las organizaciones que mantengan

datos sensibles y reglamentados por una nube pública, deben tener en cuenta el

medio por el cual se controla el acceso a los datos y como se asegura la

confidencialidad de estos.

2.3.7. Disponibilidad

Es el grado en el cual una organización accede y utiliza un conjunto completo de

recursos computacionales. La Disponibilidad puede verse afectada temporal o

permanentemente y una perdida puede ser parcial o completa. Ataques de denegación

de servicio, caídas de sistemas y catástrofes naturales amenazan a la disponibilidad.

La mayor preocupación es la parte del tiempo de inactividad no planificada, la cual

puede afectar la misión de la organización.

2.3.8. Respuesta a incidentes



Implica un método organizado para enfrentar las consecuencias de un ataque contra la

seguridad. Es de vital importancia que el proveedor de la nube realice las actividades

de respuesta a incidentes, incluyendo verificación, análisis, contención, recopilación y

preservación de datos, solución del problema y la restauración del servicio. Cada una

de las capas en la pila de aplicaciones en la nube, está bajo el control del proveedor.

En la Tabla 1, se resumen las cuestiones de seguridad y recomendaciones a seguir

para las organizaciones que planifiquen, revisen, negocien o inicien un acuerdo de

tercerización de servicios en una nube pública.

Tabla 1. Recomendaciones para la tercerización de servicios [6]

Área Recomendaciones

Gobernabilidad

Extender las prácticas de la organización relativas a las políticas,

procedimientos y estándares utilizados para el desarrollo de aplicaciones y

la prestación de servicios en la nube, así como el diseño, implementación,

pruebas, uso y control de los servicios desplegados o contratados.

Establecer mecanismos y herramientas para asegurar prácticas de

organización de auditoría lugar se siguen en todo el ciclo de vida del

sistema.

Cumplimiento

Comprender los diferentes tipos de leyes y normas que imponen

obligaciones de seguridad y privacidad en la organización y potencialmente

impactan en iniciativas de Computación en la Nube, en particular los

relacionados con la ubicación de datos, controles de privacidad y de

seguridad, gestión de registros y requisitos de descubrimiento electrónico.

Revisar y evaluar las ofertas del proveedor de nube con respecto a los

requisitos organizativos que deben cumplir y asegurarse de que los

términos del contrato cumplen adecuadamente con estos.

Asegurar que las capacidades de descubrimiento electrónico del proveedor

de la nube y los procesos no pongan en peligro la privacidad o la seguridad

de los datos y aplicaciones.

Confianza

Asegurar que los acuerdos de servicios y sus tiempos, tienen los medios

suficientes para permitir la visibilidad de los controles de seguridad y

privacidad y procesos empleados por el proveedor de la nube.

Establecer claramente los derechos, la propiedad exclusiva sobre los datos.

Instituir un programa de gestión de riesgos que sea lo suficientemente

flexible como para adaptarse a la constante evolución y cambio en estos,

según el ciclo de vida del sistema.

Monitorear continuamente el estado de seguridad del sistema de



Área Recomendaciones

información para apoyar las decisiones de gestión de riesgos.

Arquitectura

Comprender las tecnologías subyacentes que utiliza el proveedor de la nube

para proporcionar los servicios, incluidas las consecuencias de los controles

técnicos involucrados en la seguridad y privacidad del sistema, a lo largo de

todo el ciclo de vida del mismo y de sus componentes.

Gestión de la

identidad y el

acceso

Asegurar que se cuenta con las garantías adecuadas para la

autentificación, autorización y otras funciones de gestión de la identidad y

acceso, además de que sean adecuados para la organización.

Aislamiento del

software

Comprender la virtualización y otras técnicas de aislamiento lógico que

emplea el proveedor en la nube para su arquitectura de multi-tenencia y

evaluar los riesgos que implican para la organización.

Protección de

datos

Evaluar la idoneidad de las soluciones del proveedor en la nube referidas a

la habilidad para controlar el acceso y seguridad de los datos de la

organización.

Comprender y ponderar los riesgos involucrados en la gestión de claves

criptográficas con las disponibles en el entorno en la nube establecidas por

el proveedor de la nube.

Disponibilidad.

Comprender las disposiciones del contrato y procedimientos para la

disponibilidad, respaldo y restauración de datos, recuperación de desastres,

y asegurar que cumplen con los requisitos de continuidad y planificación

de contingencias de la organización.

Asegurar que durante una interrupción intermedia o prolongada o un

desastre grave, las operaciones críticas pueden ser inmediatamente

reanudadas, y que todas las operaciones se pueden reestablecer de

manera oportuna y organizada.

Respuesta a

incidentes

Comprender las disposiciones del contrato y procedimientos de respuesta a

incidentes y asegurar que se cumplen los requisitos de la organización.

Asegurar que el proveedor de la nube tiene en marcha un proceso de

respuesta transparente y mecanismos suficientes para compartir

información durante y después de un incidente.

Asegurar que la organización pueda responder a los incidentes de manera

coordinada con el proveedor de la nube de conformidad con sus respectivos

roles y responsabilidades para el entorno.



3. Arquitectura de Referencia de Seguridad del NIST

El NIST, junto con otros organismos, fue el encargado de las actividades específicas

encaminadas a acelerar la adopción de la Computación en la Nube. Estas incluyen la

creación de las Publicaciones Especiales del NIST (NIST SP), las cuales se ocupan de

las definiciones, arquitectura de referencia y aspectos de seguridad [5] [6] [10].

El grupo de trabajo de Seguridad en la Computación en la Nube del NIST fue creado

con el objeto de lograr la colaboración entre actores privados y federales para hacer

frente a las preocupaciones relacionadas con la seguridad. Este, se encargó del

diseño de la Arquitectura de Referencia de Seguridad de la Computación en la Nube

(NCC-SRA: NIST Cloud Computing Security Reference Architecture) [10], la cual

complementa a la NCC-RA [5] con un modelo formal que identifica el conjunto de

componentes de seguridad recomendados para un ecosistema de Computación en la

Nube exitoso.

La NCC-SRA se basa en datos recolectados y validados en nubes públicas, teniendo

en cuenta los tres modelos de servicio y todos los actores en la nube. Sin embargo el

estudio es agnóstico en cuanto al modelo de despliegue y su metodología puede

aplicarse a nubes privadas, comunitarias o hibridas. Es un marco de trabajo que [10]:

• Identifica un conjunto de componentes de seguridad los cuales se pueden

implementar en un ecosistema en la nube para asegurar el entorno, la

operación y la migración de datos hacia la nube.

• Proporciona un conjunto de componentes de seguridad y responsabilidades

para cada actor en la nube, según el modelo de despliegue y servicios.

• Define un modelo de arquitectura formal centrado en la seguridad para la NCC-

AR.

• Proporciona diferentes enfoques para el análisis de datos.

La intención es ofrecer un marco de trabajo elástico y dinámico sobre las capas de la

NCC-RA teniendo en cuenta:

• Los modelos de servicio.

• Los modelos de despliegue.

• Los actores definidos.



3.1. Modelo Formal de la NCC-SRA

El borrador del modelo formal de la NCC-SRA, derivado de la NCC-RA actualizado

(Fig. 5), indica cada uno de los componentes de la arquitectura actualizada, los cuales

deben asegurarse mediante la implementación de componentes de seguridad.

Fig. 5. NCC-RA actualizada [10].

En la representación en capas del modelo formal de la NCC-SRA de la Fig. 6, se

pueden apreciar en primer plano los componentes de la arquitectura de seguridad

para cada uno de los actores ilustrados en segundo plano.

Fig. 6. Modelo formal de la NCC-SRA [10].



Conclusiones

La definición de Computación en la Nube del NIST, es ampliamente aceptada y

proporciona una comprensión clara de las tecnologías involucradas. La NCC-RA,

identifica a los principales actores, sus actividades y funciones, facilitando la

comprensión de los requerimientos, usos, características y estándares.

La seguridad es un aspecto transversal de la arquitectura y se extiende a través de

todas las capas del modelo de referencia, abarcando tanto aspectos físicos como de

las aplicaciones. Por lo tanto, la seguridad en la Computación en la Nube, no es

exclusivamente competencia de los proveedores, sino también de los consumidores y

otros actores relevantes. Los sistemas basados en la nube, deben hacer frente a

requisitos de seguridad tales como autentificación, autorización, disponibilidad,

confidencialidad, gestión de la identidad, integridad, auditoria, supervisión, respuesta a

incidentes y gestión de políticas de seguridad. Las organizaciones deben tener una

visión integral de los riesgos de seguridad asociados y antes de contratar un

proveedor en la nube es necesario evaluarlos.

Cada organización es responsable de aplicar los lineamientos proporcionados al

analizar sus necesidades para evaluar, seleccionar y supervisar los servicios en una

nube publica que pueden satisfacer sus requerimientos. Las cuestiones de seguridad y

privacidad que pueden tener impacto a largo plazo en una infraestructura en la nube

pública son aplicables para otros modelos de despliegue.

El modelo formal que identifica el conjunto de componentes de seguridad

recomendados para un ecosistema de Computación en la Nube exitoso, se basa en

datos recolectados y validados en nubes públicas, teniendo en cuenta los tres modelos

de servicio y todos los actores en la nube. Sin embargo el estudio es agnóstico en

cuanto al modelo de despliegue y su metodología puede aplicarse a nubes privadas,

comunitarias o hibridas.



Referencias

[1] C. R. Primorac. (2015). Computación en Nube [En línea]. Disponible:

http://exa.unne.edu.ar/informatica/SO/primorac_monografia_computacion_en_nu

be.pdf [22 de Septiembre de 2015].

[2] P. Mell, T. Grance. (2011). NIST Special Publication 800-145, The NIST Definition

of Cloud Computing [En línea]. Disponible:

http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf [22 de

Septiembre de 2015]

[3] B. Furht and A. Escalante. Handbook of Cloud Computing.New York: Springer,

2010.

[4] Intel IT Center (2003). Virtualization and Cloud Computing. Steps in the Evolution

from Virtualization to Private Cloud Infraestructure as a Service [En línea].

Disponible:http://www.intel.in/content/dam/www/public/us/en/documents/guides/cl

oud-computing-virtualization-building-private-iaas-guide.pdf [22 de Septiembre

de 2015].

[5] F. Liu, J. Tong, J. Mao, R. Bohn, J. Messina, L. Badger and D. Leaf. (2001). NIST

Special Publication 500-292, NIST Cloud Computing Reference Architecture [En

línea]. Disponible: http://www.nist.gov/customcf/get_pdf.cfm?pub_id=909505 [22

de Septiembre de 2015].

[6] W. Jansen and T. Grance. (2011). NIST Special Publication 800-144, Guidelines on

Security and Privacy in Public Cloud Computing [En línea]. Disponible:

http://csrc.nist.gov/publications/nistpubs/800-144/SP800-144.pdf [22 de

Septiembre de 2015].

[7] Cloud Security Alliance. (2010). Top Threats to Cloud Computing V1.0 [En línea].

Disponible: https://cloudsecurityalliance.org/topthreats/csathreats.v1.0.pdf [22 de

Septiembre de 2015].

[8] Gartner. (2008). Assessing the Security Risks of Cloud Computing [En línea].

Disponible:http://www.globalcloudbusiness.com/SharedFiles/Download.aspx?pag

eid=138&mid=220&fileid=12 [22 de Septiembre de 2015].

[9] Cloud Security Alliance. (2013). The Notorious Nine Cloud Computing Top Threats

in 2013 [En línea]. Disponible:

https://downloads.cloudsecurityalliance.org/initiatives/top_threats/The_Notorious

_Nine_Cloud_Computing_Top_Threats_in_2013.pdf [22 de Septiembre de

2015].



[10] NIST. (2013). NIST Special Publication 500-299, NIST Cloud Computing Security

Reference Architecture [En línea]. Disponible: http://collaborate.nist.gov/twiki-

cloudcomputing/pub/CloudComputing/CloudSecurity/NIST_Security_Reference_

Architecture_2013.05.15_v1.0.pdf [22 de Septiembre de 2015].

seguridad en la nube preeliminar - facultad de ciencias...

Documents