Muchas empresas altamente reguladas han dado el salto a la nube; usted también puede
junio 1, 2021 / Unisys Corporation
Empresas como contratistas de defensa, instituciones de servicios financieros y organizaciones sanitarias que operan en industrias altamente reguladas deben cumplir estrictos requisitos de cumplimiento como NIST, HIPAA, SOX, NYDFS, GDPR, etc.
Dichas entidades tienen preocupaciones de que la nube afecte negativamente a su capacidad para cumplir con las obligaciones de cumplimiento impuestas por el gobierno y las corporativas. Una filtración de datos confidenciales podría ser catastrófica, provocar la pérdida de credibilidad o la disminución de los ingresos de la empresa; incluso podría afectar a la seguridad nacional. Dichas entidades pueden pensar que la nube es menos segura y menos regulada. Esto les lleva a concluir que es posible que no puedan cumplir sus estrictos estándares en un entorno en la nube.
Pero las empresas deben saber que el cumplimiento normativo no es un obstáculo para la nube. En su lugar, su resistencia a la adopción de la nube puede clasificarse probablemente como un bloqueo mental.
Muchas empresas muy reguladas han dado el salto a la nube. Usted también puede. Así es como se hace:
Replantee y replantee su cumplimiento y gobernanza
La nube ofrece agilidad, escalabilidad e innovación. Pero para disfrutar de estos beneficios y seguir cumpliendo con las normativas, no solo puede transferir sus prácticas de cumplimiento y gobernanza heredadas.
Los entornos heredados están orientados al hardware y son altamente manuales. Para desplegar un nuevo firewall, por ejemplo, un ingeniero de red suele pasar por los consejos de aprovisionamiento y cambio, y el proceso de despliegue y configuración puede durar semanas.
Pero en los entornos en la nube, todo está definido por el software. Como resultado, son muy dinámicos y las cosas se mueven mucho más rápido. Por ejemplo, un ingeniero de la nube podría desplegar y configurar un firewall con unos pocos clics. Con la velocidad, existe un mayor riesgo de que el firewall se configure incorrectamente y, si no se detecta, pueda provocar una brecha de seguridad. Si no tiene automatización como parte de su despliegue y operaciones, estará en riesgo.
La gestión de la postura de seguridad en la nube es importante, ya que el 62 % de las filtraciones se deben a una configuración incorrecta de la nube, según el último informe de Cybersecurity Insiders. Asegúrese de que cada capa de la pila cumpla con los estándares de seguridad y cumplimiento. La aplicación y la capa de datos son igual de vulnerables, y se aplican requisitos específicos. Por ejemplo, necesita evaluar sus ubicaciones de almacenamiento de datos en la nube para cumplir con los requisitos de cumplimiento del RGPD. O puede que tenga que elegir una de las zonas de aterrizaje con controles más estrictos, que muchos proveedores de nube ponen a disposición de las agencias gubernamentales y sus socios (por ejemplo, Azure Government).
Aproveche el poder de la automatización y los marcos bien diseñados
Se ha escrito mucho sobre la brecha de talento en la nube, especialmente la escasez aguda de habilidades para los especialistas en seguridad en la nube. Recientemente trabajamos con un contratista de defensa que está sujeto a auditorías frecuentes por parte del ejército y debe cumplir con los estándares del NIST y de la FedRAMP. Encontrar a alguien que entienda todos los controles y que pueda utilizarlos para comprobar su configuración en la nube es una tarea ardua. Aprovechar mecanismos como las listas de comprobación automatizadas y las herramientas habilitadas por IA para la remediación le permite depender menos de expertos humanos.
Adoptar marcos bien arquitectados ofrecidos por organizaciones de servicios en la nube como Amazon Web Services y Microsoft Azure también puede ayudar con la fiabilidad, el rendimiento y la seguridad. Asegúrese de que usted y su proveedor comprendan bien el modelo de responsabilidad compartida con el que está trabajando.
Integre la seguridad y el cumplimiento normativo en todos los aspectos de su viaje a la nube
Automatice la seguridad y el cumplimiento e intégrelo en todos los aspectos de su viaje a la nube.
DevSecOps es un ejemplo de integración de la seguridad en las primeras etapas del ciclo de vida del desarrollo, como se ilustra en mi reciente artículo de Forbes Councils. Asegúrese de que las validaciones realizadas como parte del ciclo de vida incluyan código de aplicación estático y dinámico automatizado e infraestructura como análisis de código.
La creación de un programa de formación en la nube para su personal de TI también es una gran manera de reforzar su posición en materia de seguridad y cumplimiento normativo en la nube.
Adoptar la agilidad controlada
A medida que los retos de ciberseguridad aumentan y las preocupaciones sobre las ciberamenazas y la privacidad continúan impulsando nuevas regulaciones, la gobernanza y el control nunca han sido tan importantes. Para seguir siendo una empresa creíble y fiable que gane y mantenga la confianza de sus clientes, debe demostrar continuamente que está haciendo las cosas de la manera correcta con el cumplimiento.
Pero como empresa, no puedes simplemente detenerte o ser reactivo. Debe aumentar su productividad, visibilidad y capacidad para tomar decisiones basadas en datos, y debe seguir evolucionando su estrategia y ofrecer soluciones innovadoras rápidamente para abordar las dinámicas del mercado en constante cambio.
Estas dos fuerzas aparentemente opuestas, que demuestran el cumplimiento y son capaces de moverse rápidamente, requieren una agilidad controlada.
Con una agilidad controlada, su empresa y sus clientes se beneficiarán de la agilidad mientras cuentan con las barreras de seguridad adecuadas para garantizar el cumplimiento. Elegir un socio probado que pueda proporcionar soluciones de automatización, nube y ciberseguridad, y la orientación y asistencia que necesita a lo largo de su viaje hacia la nube, puede ayudarle a hacer realidad la agilidad controlada.