Acerca de las estrategias efectivas de seguridad y conformidad

Crear una estrategia de diseño

Consiga seguridad y conformidad en sus despliegues en la nube diseñándolos desde cero pensando en la seguridad.

Una estrategia de diseño de seguridad integral proporciona seguridad a través de Identity Management: el proceso de autenticación y autorización de principales de seguridad. Utilice los servicios de gestión de identidad para autenticar y otorgar permiso a usuarios, partners, clientes, aplicaciones, servicios y otras entidades.

También fomenta la protección de activos mediante la colocación de controles sobre el tráfico de red originado en Oracle Cloud Infrastructure, entre recursos locales y alojados en Oracle Cloud Infrastructure, y el tráfico hacia y desde Oracle Cloud Infrastructure. Si no se aplican medidas de seguridad, los atacantes pueden obtener acceso; por ejemplo, mediante la exploración en rangos de IP pública. Los controles de seguridad de red adecuados pueden proporcionar elementos de defensa en profundidad que ayudan a detectar, contener y detener a los atacantes que intentan acceder a sus despliegues en la nube.

Una estrategia de diseño correcta también intentará clasificar, proteger y supervisar activos de datos confidenciales mediante el control de acceso, el cifrado y el inicio de sesión en Oracle Cloud Infrastructure. También realizará controles de los datos en reposo y en tránsito.

Las aplicaciones y los datos asociados a ellas actúan como el almacén principal de valor de negocio en una plataforma en la nube. Las aplicaciones pueden desempeñar un papel en los riesgos para el negocio porque encapsulan y ejecutan procesos de negocio que deben estar disponibles y proporcionarse con alta integridad. Las aplicaciones también almacenan y procesan datos de negocio que requieren altas garantías de confidencialidad, integridad y disponibilidad. Por lo tanto, una estrategia exitosa debe centrarse y habilitar la seguridad de las aplicaciones y los datos.

Tenga en cuenta los principios de FinOps al crear su estrategia de diseño de seguridad, integrando consideraciones de costos en prácticas de seguridad. Equilibrar las medidas de seguridad con la rentabilidad se alinea con los principios de optimización de valor de FinOps.

Las zonas de llegada de OCI son una opción para desplegar una arquitectura con estas funciones de diseño de seguridad y conformidad incorporadas. Las zonas de llegada permiten el aprovisionamiento repetible con 1 clic de una infraestructura de carga de trabajo y arrendamiento reforzada con el Centro para la seguridad de Internet (CIS), incluidos servicios en la nube esenciales como identidad, seguridad, redes, observabilidad y gobernanza. Utiliza las zonas de llegada de OCI para activar los servicios de seguridad de OCI, incluidos Oracle Cloud Guard, OCI Vault y el servicio OCI Vulnerability Scanning, para una sólida estrategia de seguridad.

Creación de una estrategia de supervisión y auditoría

Una estrategia de monitoreo exitosa se centrará en el modelado de salud.

El modelado de estado hace referencia a las actividades que mantienen la estrategia de seguridad de una carga de trabajo mediante la supervisión. Estas actividades pueden indicar si las prácticas de seguridad actuales son eficaces o si existen nuevos requisitos. El modelado de estado puede incluir estas categorías:

Supervise la carga de trabajo y la infraestructura en la que se ejecuta.
Configuración y uso de alertas y notificaciones.
Agregue logs de servicio con plataformas de gestión de eventos e información de seguridad (SIEM).
Realizar auditorías.
Active, adquiera y almacene logs de auditoría.
Actualizar y aplicar parches a las correcciones de seguridad.
Respuesta a incidentes.
Simular ataques en función de incidentes reales.

Creación de una estrategia de optimización

Una vez que se haya establecido una línea base segura para las operaciones de seguridad en la nube, los equipos de seguridad tendrán que investigar continuamente los procesos y controles de seguridad específicos de la nube que pueden resultar en avances y optimizaciones sobre las prácticas de seguridad existentes.

Miles de empresas utilizan con éxito y seguridad los servicios en la nube para cumplir los objetivos empresariales de aumentar la agilidad y reducir el costo de los servicios de TI. Este marco de mejores prácticas proporciona recomendaciones para patrones en todas las organizaciones de operaciones de seguridad que proporcionarán las arquitecturas de seguridad, los procesos y los controles necesarios para permitir un uso comercial seguro de los servicios en la nube. Además de comenzar con un despliegue seguro, debe implantar una estrategia de mejora continua.

Siga los principios de diseño de seguridad

Los artículos de este pilar describen cómo implantar las tres estrategias de diseño, supervisión y optimización, y ofrecen recomendaciones sobre cómo se pueden implantar en Oracle Cloud Infrastructure. Cada una de estas recomendaciones implementa uno o más de los siguientes principios de diseño de seguridad.

Estos principios respaldan estas tres estrategias clave y describen un sistema diseñado de forma segura alojado en centros de datos locales o en la nube (o una combinación híbrida de ambos). La aplicación de estos principios aumentará drásticamente la probabilidad de que su arquitectura de seguridad mantenga garantías de confidencialidad, integridad y disponibilidad.

Las mejores prácticas de seguridad y conformidad implementan estos principios de diseño:

Diseño para la resiliencia: su estrategia de seguridad debe asumir que los controles fallarán y diseñarán según corresponda. Para que su estrategia de seguridad sea más resistente, es necesario que varios enfoques trabajen juntos:
- Vigilancia en curso: asegúrese de que las anomalías y las amenazas potenciales que podrían plantear riesgos para la organización se aborden de manera oportuna.
- Defensa en profundidad: considere controles adicionales en el diseño para mitigar el riesgo para la organización en caso de que falle un control de seguridad principal. Este diseño debe considerar la probabilidad de que el control primario falle, el riesgo organizacional potencial si lo hace, y la eficacia del control adicional (especialmente en los casos probables que causarían que el control primario falle).
- Defense at Edge: considera una seguridad perimetral integrada eficaz para controlar las amenazas antes de que afecten a tus aplicaciones. Esto es fundamental para el cumplimiento de la política de seguridad de la información.
Diseño para atacantes: tu diseño y priorización de seguridad deben centrarse en la forma en que los atacantes ven tu entorno, que a menudo no es la forma en que lo ven los equipos de TI y aplicaciones. Informa a tu diseño de seguridad y pruébalo con pruebas de penetración para simular ataques puntuales. Utiliza equipos rojos para simular grupos de ataque persistentes a largo plazo. Diseñe su estrategia de segmentación empresarial y otros controles de seguridad para contener el movimiento lateral del atacante dentro de su entorno. Mida y reduzca activamente la superficie de ataque potencial a la que se dirigen los atacantes para la explotación de recursos dentro del entorno.
- Limite los permisos en función de los requisitos. Escriba políticas que sean lo más granulares posible en términos de los recursos de destino y los privilegios de acceso necesarios.
- Aplique segmentación de red. Restrinja el tráfico para aislar los despliegues de aplicaciones entre sí en un nivel de red y utilice una lista de permitidos para todos los flujos de red necesarios. Minimice el tráfico excesivamente permisivo.
- Privilegio mínimo: este es un enfoque estratégico de la seguridad en el que se implementan varias capas de defensa para proteger los activos de una organización. Se debe otorgar a las cuentas la menor cantidad de privilegios necesaria para realizar las tareas asignadas. Restrinja el acceso por nivel de permiso y por tiempo. Esto ayuda a mitigar el daño de un atacante externo que obtiene acceso a la cuenta, o de un empleado interno que involuntariamente (o deliberadamente, como con un ataque interno) compromete las garantías de seguridad.
- Rechazar por defecto. Asegúrese de que no haya políticas de permiso por defecto para las que un atacante pueda aprovechar. Cree solo las políticas necesarias según los permisos de límite basados en los requisitos y los principios de privilegio mínimo.
Aproveche los controles nativos: use controles de seguridad nativos cuando corresponda, al tiempo que garantiza que estén alineados con su estrategia general de herramientas. Los controles de seguridad nativos son mantenidos y soportados por el proveedor de servicios, eliminando o reduciendo el esfuerzo necesario para integrar herramientas de seguridad externas y actualizar esas integraciones a lo largo del tiempo.
Aproveche las herramientas de seguridad: utilice herramientas diseñadas para la nube o las nubes en las que opera. El proveedor de servicios mantiene y soporta los controles de seguridad nativos. Sin embargo, una limitación de las herramientas nativas de la nube a este respecto es que puede que no sean compatibles con otras nubes o entornos locales. Por ejemplo, si necesita proteger datos tanto en OCI como en Azure en un despliegue multinube, puede que prefiera una herramienta de seguridad de terceros que sea capaz de soportar ambas nubes.
Usar identidad como control de acceso principal: el acceso a los recursos de arquitecturas en la nube se rige principalmente por la autenticación basada en identidad y la autorización para los controles de acceso. Su estrategia de control de cuentas debe basarse en sistemas de identidad para controlar el acceso en lugar de depender de los controles de red o el uso directo de claves criptográficas.
Rendición de cuentas: designe una propiedad clara de los activos y las responsabilidades de seguridad, y asegúrese de que las acciones se puedan rastrear para evitar el rechazo. También debe asegurarse de que se ha otorgado a las entidades el privilegio mínimo necesario (a un nivel de granularidad gestionable).
Abrazar la automatización: la automatización de tareas reduce las posibilidades de errores humanos que pueden crear riesgos, por lo que tanto las operaciones de TI como las mejores prácticas de seguridad deben automatizarse tanto como sea posible para reducir los errores humanos (a la vez que se garantiza que los humanos cualificados gobiernan y auditan la automatización).
Centrarse en la protección de la información: la propiedad intelectual suele ser uno de los mayores repositorios de valor organizativo y estos datos deben protegerse dondequiera que vayan, incluidos los servicios en la nube, los dispositivos móviles, las estaciones de trabajo y las plataformas de colaboración (sin impedir la colaboración que permita la creación de valor de negocio). Su estrategia de seguridad debe basarse en la clasificación y el etiquetado de información y activos para permitir la priorización de la seguridad, el aprovechamiento de una sólida tecnología de cifrado y control de acceso y la satisfacción de las necesidades empresariales, como la productividad, la facilidad de uso y la flexibilidad.
Asumir confianza cero: al evaluar las solicitudes de acceso, se debe considerar que todos los usuarios, dispositivos y aplicaciones que solicitan no son de confianza hasta que su integridad pueda validarse lo suficiente. Las solicitudes de acceso se deben otorgar condicionalmente según el nivel de confianza del solicitante y la sensibilidad del recurso de destino. Se deben hacer intentos razonables para ofrecer medios para aumentar la validación de confianza (por ejemplo, solicitar autenticación multifactor) y remediar los riesgos conocidos (cambiar la contraseña filtrada conocida, remediar la infección de malware) para respaldar los objetivos de productividad.