Tres buenas prácticas para la protección de datos en la nube

1. Conozca sus datos

El primer paso para resolver cualquier problema es saber a qué nos enfrentamos. Antes de proteger algo, hay que saber qué, quién y dónde se almacena. ¿Utilizan todos en la organización las mismas cuentas? Para asegurarse de que esto se hace correctamente, los equipos de TI tienen que jugar a ser detectives o emprender un viaje de descubrimiento por toda la empresa. Para encontrar estos hilos conductores, suele ser necesario revisar las finanzas y recopilar facturas de los costos de la nube en toda la organización.

Cuando se juntan los datos que guardan la mayoría de ellas, tanto si se han migrado desde on-premise como si se han almacenado originalmente en la nube, es un conjunto enorme. Los humanos somos acumuladores por naturaleza, y el mundo digital no es una excepción. Aunque el "garaje virtual" de la nube puede almacenar infinitas cajas de datos, localizarlo todo es sólo la mitad de la batalla. Para saber qué datos son críticos y sensibles, estos deben clasificarse. Los motores automatizados de clasificación de datos pueden ayudar a organizarlos, para que no esté intentando protegerlo todo a ciegas hasta la más mínima expresión. Una vez que sepa exactamente qué tiene almacenado en la nube (y dónde) podrá empezar a estudiar cómo proteger esos datos.

Como las organizaciones pueden migrar datos a la nube sin mayor dificultad, es posible que los equipos encargados de hacerlo no hayan dado prioridad a los procesos de seguridad y de red necesarios; si la migración se ha hecho demasiado rápido, es fácil que esto ocurra. Asimismo, como la nube es un entorno completamente diferente, pero que hay que cuidar, suelen pasarse cosas por alto: hay muchos tipos de servicios nuevos que no siempre existen on-premise y muchos de ellos deben protegerse y recuperarse en caso de ataques o interrupciones. Algunos ejemplos son el código en el almacenamiento en la nube, las aplicaciones que aprovechan otros servicios y las APIs proporcionadas en ésta.

2. Conozca sus responsabilidades

Un problema clave es que las empresas a menudo no se dan cuenta exactamente de que son responsables en materia de seguridad y protección de datos en la nube. Existe un gran desconocimiento del modelo de responsabilidad compartida en el que se basa la seguridad en este entorno. Asumen que el proveedor es responsable de ciertas medidas de seguridad cuando, en realidad, también es su trabajo. Aunque depende del proveedor de nube, normalmente estos son responsables de la seguridad de la infraestructura y de las instalaciones físicas que la albergan. La seguridad de las aplicaciones, los datos y el acceso al entorno, sin embargo, es responsabilidad del cliente. 

En la práctica, esto significa que las organizaciones deben asegurarse de que tienen respaldo de todos los datos relevantes y sensibles almacenados en la nube en caso de violaciones o interrupciones. La mejor práctica es disponer de varios respaldos en diferentes ubicaciones (por ejemplo, una on-premise y otra en la nube) y tener copias en diferentes ambientes, con al menos una de ellas fuera de las instalaciones, desconectada e inmutable, o mejor aún, las tres cosas.

La otra responsabilidad vital en materia de seguridad que incumbe a la empresa es controlar el acceso y los permisos. Si todos los usuarios de la nube tienen acceso al “Modo Dios”, cualquier brecha va a ser devastadora. Lo mismo ocurre si se usa una sola cuenta para hacer funciones diferentes, como la protección y el suministro. La mejor práctica posible en este caso es asegurarse de que se utilizan varias cuentas, gestionando correctamente los accesos e identidades en todas las cuentas y suscripciones para poder eliminar fácilmente el dominio en caso de una violación de la seguridad. A nivel de usuario, asegúrese de que se sigue el principio del permiso mínimo en todo el entorno de nube, de modo que las personas sólo tengan acceso a los recursos y entornos que requieren.

3. Mantenga la rentabilidad

Ciertamente, poner en práctica los dos principios anteriores será un proyecto importante para la gran mayoría de las empresas. Pero la buena noticia es que la pesada carga inicial no se mantendrá a largo plazo, es decir, no mantendrá la misma escala de costos. Sin embargo, para mantener el entorno de la nube sano y rentable a largo plazo, es importante contar con procesos de higiene de datos en la nube.

Asegúrese de contar con un ciclo de vida de datos adecuado. Sin él, el buen trabajo realizado inicialmente se volverá ineficaz y costoso con el tiempo; la empresa pagará por almacenar y proteger los datos incorrectos de las formas equivocadas. Deben estar en la plataforma de almacenamiento adecuada, y esto irá cambiando durante su ciclo de vida. Por ejemplo, pueden pasar de los recursos de bloques al almacenamiento de objetos o al almacenamiento de archivos. Los costos asociados son variables, así que asegúrese de no almacenar (o respaldar) de forma ineficiente.

Ésta es una pequeña parte para evitar un posible "shock de facturación" por los costos informáticos y de almacenamiento. Más allá de los simples datos, están los costos de API, la salida (transferencia) de datos y otros. Siempre recomiendo a las empresas tener un "modelo económico de nube" establecido para evitar que estos –los costos– se acumulen, y garantizar que el gasto se ajuste a las expectativas. Para utilizar una analogía de la vida real, si hay una luz encendida o uno se olvida de cancelar una suscripción que ya no utiliza, sus facturas mensuales serán más altas de lo esperado. Si esto ocurre en un entorno de nube empresarial, la cuenta total puede ser exorbitante. 

A medida que la cantidad de datos almacenados por las empresas (y por el mundo) siga creciendo durante los próximos cinco años, la nube se convertirá en una pieza vital del rompecabezas de la gestión de datos. Las organizaciones no deben limitarse a almacenar y proteger sus datos, sino que deben buscar formas de utilizarlos y generar valor para su negocio y sus clientes. Esto requiere una refactorización para lograr una mayor agilidad, pero también significa que se está preparado para "lo que sea".

La informática de la nube es dinámica y seguirá evolucionando, por lo que las buenas prácticas cambiarán. Si las empresas se centran ahora en los datos, tanto en la nube como en las instalaciones, estarán preparadas para lo que les depare el futuro.

Sobre el autor: Rick Vanover es director senior de estrategia de producto en Veeam. La experiencia de Vanover incluye administración de sistemas y gestión de TI; sus designaciones incluyen Microsoft MVP, VMware vExpert y Cisco Champion, con un enfoque reciente en tecnologías de virtualización, nube y almacenamiento.