Acerca de estrategias eficaces para la seguridad y el cumplimiento

Cree una estrategia de diseño

Una estrategia de diseño de seguridad integral proporciona seguridad mediante Identity Management: el proceso de autenticación y autorización de principales de seguridad. Utilice los servicios de gestión de identidades para autenticar y otorgar permisos a usuarios, socios, clientes, aplicaciones, servicios y otras entidades.

También fomenta la protección de activos colocando controles sobre el tráfico de red que se origina en Oracle Cloud Infrastructure, entre recursos locales y alojados en Oracle Cloud Infrastructure, y el tráfico hacia y desde Oracle Cloud Infrastructure. Si las medidas de seguridad no están implantadas, los atacantes pueden obtener acceso; por ejemplo, explorando los rangos de IP pública. Los controles de seguridad de red adecuados pueden proporcionar elementos de defensa en profundidad que ayudan a detectar, contener y detener a los atacantes que intentan acceder a sus despliegues en la nube.

Una estrategia de diseño acertada también intentará clasificar, proteger y supervisar los activos de datos confidenciales mediante el control de acceso, el cifrado y la conexión a Oracle Cloud Infrastructure. También controlará los datos en reposo y en tránsito.

Las aplicaciones y los datos asociados a ellas actúan como la principal tienda de valor de negocio en una plataforma en la nube. Las aplicaciones pueden desempeñar un papel en los riesgos para el negocio porque encapsulan y ejecutan procesos de negocio que necesitan estar disponibles y estar dotados de una gran integridad. Las aplicaciones también almacenan y procesan datos de negocio que requieren garantías elevadas de confidencialidad, integridad y disponibilidad. Por lo tanto, una estrategia acertada debería centrarse en la seguridad de las aplicaciones y los datos, y permitirla.

Creación de una estrategia de supervisión y auditoría

Una estrategia de seguimiento eficaz se centrará en el modelado de la salud.

El modelado de estado hace referencia a las actividades que mantienen la postura de seguridad de una carga de trabajo mediante el control. Estas actividades pueden indicar si las prácticas de seguridad actuales son efectivas o si hay nuevos requisitos. El modelado de estado puede incluir estas categorías:

Supervise la carga de trabajo y la infraestructura en la que se ejecuta.
Efectuar auditorías.
Activar, adquirir y almacenar logs de auditoría.
Actualizar y aplicar parches a correcciones de seguridad.
Responda a incidentes.
Simule ataques en función de incidentes reales.

Cree una estrategia de optimización

Una vez que se haya establecido una línea base segura para las operaciones de seguridad en la nube, los equipos de seguridad deberán investigar continuamente los procesos y controles de seguridad específicos de la nube que puedan dar lugar a avances y optimizaciones respecto de las prácticas de seguridad existentes.

Miles de empresas utilizan con éxito y de forma segura los servicios en la nube para cumplir los objetivos empresariales de aumentar la agilidad y reducir el costo de los servicios de TI. Este marco de mejores prácticas proporciona recomendaciones para patrones en las organizaciones de operaciones de seguridad que proporcionarán las arquitecturas, los procesos y los controles de seguridad necesarios para permitir un uso empresarial seguro de los servicios en la nube. Además de comenzar con un despliegue seguro, debe implantar una estrategia de mejora continua.

Seguir los principios del diseño de seguridad

Los artículos de este pilar describen cómo implementar las tres estrategias de diseño, control y optimización y ofrecen recomendaciones para su implementación en Oracle Cloud Infrastructure. Cada una de estas recomendaciones implementa uno o más de los siguientes principios de diseño de seguridad.

Estos principios respaldan estas tres estrategias clave y describen un sistema con un diseño seguro alojado en centros de datos locales o en la nube (o una combinación híbrida de ambos). La aplicación de estos principios aumentará drásticamente la probabilidad de que su arquitectura de seguridad mantenga garantías de confidencialidad, integridad y disponibilidad.

Las mejores prácticas de conformidad y seguridad implementan estos principios de diseño:

Diseño para atacantes: su diseño y priorización de seguridad deben centrarse en la forma en que los atacantes ven su entorno, que a menudo no es la forma en que los equipos de TI y aplicaciones lo ven. Informe su diseño de seguridad y pruébelo con pruebas de penetración para simular ataques puntuales. Utilice equipos rojos para simular grupos de ataques persistentes a largo plazo. Diseñe su estrategia de segmentación empresarial y otros controles de seguridad para contener el movimiento lateral de los atacantes dentro de su entorno. Medir y reducir de forma activa la posible superficie de ataque que los atacantes se dirigen a la explotación de recursos dentro del medio ambiente.
- Limite los permisos según los requisitos. Escribir políticas que sean lo más granulares posible en términos de recursos de destino y los privilegios de acceso necesarios.
- Aplicar segmentación de red. Restrinja el tráfico para aislar los despliegues de aplicaciones entre sí a nivel de red y utilice una lista de permisos para todos los flujos de red necesarios. Minimice el tráfico excesivamente permisivo.
Aproveche los controles nativos: favorece los controles de seguridad nativos integrados en los servicios en la nube mediante controles externos de terceros. El proveedor de servicios mantiene y soporta los controles de seguridad nativos, eliminando o reduciendo el esfuerzo necesario para integrar las herramientas de seguridad externas y actualizar esas integraciones con el tiempo.
Usar identidad como control de acceso principal: el acceso a los recursos de las arquitecturas en la nube se rige principalmente por la autenticación basada en identidad y la autorización para controles de acceso. La estrategia de control de cuentas debe basarse en sistemas de identidad para controlar el acceso en lugar de basarse en controles de red o el uso directo de claves criptográficas.
Rendición de cuentas: designe una propiedad clara de los activos y las responsabilidades de seguridad y garantice que se pueda realizar un seguimiento de las acciones en caso de no repudio. También debe asegurarse de que se ha otorgado el privilegio mínimo necesario a las entidades (a un nivel de granularidad gestionable).
Automatización de la iniciativa: la automatización de las tareas reduce las posibilidades de que se produzcan errores humanos que pueden generar riesgos, de modo que tanto las operaciones de TI como las mejores prácticas de seguridad se deben automatizar todo lo posible para reducir los errores humanos (a la vez que se garantiza que los humanos cualificados controlan y auditan la automatización).
Centrarse en la protección de la información: la propiedad intelectual suele ser uno de los mayores repositorios del valor organizativo y estos datos deben protegerse en cualquier lugar, incluidos servicios en la nube, dispositivos móviles, estaciones de trabajo y plataformas de colaboración (sin obstaculizar la colaboración que permita la creación de valor empresarial). Su estrategia de seguridad se debe basar en clasificar la información y los activos para permitir la priorización de la seguridad, aprovechar una tecnología de cifrado y control de acceso sólida y satisfacer las necesidades empresariales, como la productividad, la facilidad de uso y la flexibilidad.
Diseño para la resiliencia: su estrategia de seguridad debe asumir que los controles fallarán y diseñarán según corresponda. Para hacer que su estrategia de seguridad sea más resiliente, se necesitan varios enfoques que funcionen de forma conjunta:
- Vigilancia continua: asegúrese de que las anomalías y amenazas potenciales que puedan plantear riesgos a la organización se aborden oportunamente.
- Defensa en profundidad: considere controles adicionales en el diseño para mitigar el riesgo para la organización en caso de que falle un control de seguridad principal. Este diseño debe tener en cuenta la probabilidad de que el control primario falle, el riesgo organizativo potencial si lo hace y la eficacia del control adicional (especialmente en los casos probables que causen el fallo del control primario).
- Defensa en el perímetro: considere una seguridad integrada eficaz para controlar las amenazas antes de que afecten a sus aplicaciones. Esto es fundamental para el cumplimiento de la política de seguridad de la información.
- Privilegio mínimo: es una forma de defensa en profundidad para limitar los daños que puede realizar cualquier cuenta. Se debe otorgar a las cuentas la menor cantidad de privilegios necesarios para realizar sus tareas asignadas. Restringe el acceso por nivel de permiso y por tiempo. Esto ayuda a mitigar el daño de un atacante externo que obtiene acceso a la cuenta, o un empleado interno que involuntariamente (o deliberadamente, como con un ataque interno) compromete las garantías de seguridad.
Asumir confianza cero: al evaluar las solicitudes de acceso, todos los usuarios, dispositivos y aplicaciones que solicitan se deben considerar no fiables hasta que su integridad pueda ser suficientemente validada. Las solicitudes de acceso se deben otorgar condicionalmente según el nivel de confianza del solicitante y la sensibilidad del recurso de destino. Se deben realizar intentos razonables de ofrecer medios para aumentar la validación de la confianza (por ejemplo, solicitar la autenticación multifactor) y corregir los riesgos conocidos (cambiar la contraseña conocida, corregir la infección de malware) para apoyar los objetivos de productividad.