Computación en nube por agencias gubernamentales

Enfrentando los retos empresariales y de seguridad en la nube

El gobierno federal de los Estados Unidos tiene el presupuesto anual de TI más grande de todas las organizaciones, casi US$ 80 mil millones sólo en 2010. Para ahorrar dinero y mejorar los servicios, el gobierno está comenzando a adoptar un enfoque de primero la nube hacia la obtención de sistemas nuevos y de sustitución. Los casos empresariales y beneficios técnicos de moverse en la nube son los mismos para el gobierno que para otras firmas, sólo que los ahorros y retos son mucho más grandes. Las agencias gubernamentales tienen dos retos especiales: obtención y seguridad. Este artículo describe brevemente los retos de la obtención y después salta a recomendar compras gubernamentales de servicio de nube en los positivos y negativos de la seguridad en la nube, y cómo gestionar los riesgos de seguridad de sus proveedores potenciales. Las amenazas de seguridad están cubiertas desde el punto de vista del gobierno, pero los proveedores de nubes inteligentes lo tomarán como una vista previa de qué preguntas podría hacerles el gobierno y prepararse de acuerdo a esto.

Shahid N Shah, CEO and Chief Architect, Netspective Communications, LLC

Shahid Shah photoShahid N. Shah es un líder de pensamiento de TI del cuidado de la salud reconocido e influyente internacionalmente que es conocido como "El Tipo de la TI del Cuidado de la Salud" en Internet. Es un consultor para diversas agencias federales en asuntos de TI y ganador del codiciado premio "Fed 100" de Federal Computer Week otorgado a expertos de TI que han causado un gran impacto en el gobierno. Shahid ha proyectado y desarrollado diversas soluciones clínicas en sus casi 20 años de carrera. Ayudó a diseñar y desplegar la solución de registros electrónicos de salud de la Cruz Roja Americana a través de miles de sitios; ha construido dos EMRs basados en web ahora en uso por cientos de médicos; ha diseñado grandes sitios de groupware y colaboración que están siendo utilizados por miles; y, como un ex-CTO de una división de miles de millones de dólares de CardialHealth, ayudó a diseñar interfaces clínicas avanzadas para dispositivos médicos y hospitales. Shahid también sirve como consejero sénior de estrategia de tecnología para el programa SBIR/STTR de NIH ayudando a pequeñas empresas a comercializar sus aplicaciones del cuidado de la salud.



08-04-2011

Retos empresariales y técnicos de moverse hacia la nube

La Administración de Obama se ha enfocado particularmente en utilizar tecnologías modernas de Web 2.0 y de nube para ayudar a mejorar los servicios gubernamentales. Esa solicitud fue realmente escrita en los presupuestos para los próximos años, lo que significa que, oficialmente y por ley, todas las agencias deberían estar pensando en primero la nube ahora. Debido a este pensamiento de primero la nube, un esfuerzo impresionante de análisis de consolidación del centro de datos está en camino y la Administración está buscando formas de acelerar la adopción de la nube. Por supuesto, cualquier gran movimiento hacia la computación en nube por parte del gobierno es una iniciativa multianual, pero está claro que el principal liderazgo de TI en el gobierno ya está listo conceptualmente.

Los casos empresariales y beneficios técnicos de moverse en la nube son los mismos para el gobierno que para otras firmas, sólo que los retos y los ahorros potenciales son mucho más grandes. Si el gobierno puede reducir aún el 5 por ciento de sus costos durante los próximos años, significará miles de millones de dólares de ahorros; así que es fácil de entender por qué los líderes séniores de TI en el gobierno están pensando en la nube.

La mayoría de los retos típicos empresariales de la nube son los mismos que en otros entornos, pero el gobierno tiene unos cuantos retos especiales. El primero es la obtención. ¿Cómo comprar servicios de nube on demand si el gobierno hace su presupuesto con años de anticipación cuando la demanda de algo no es conocida? Los procesos de contratación y obtención son típicamente largos y arduos, porque el gobierno intenta negociar menos contratos que se ajusten a las necesidades de todas las agencias y a largo plazo. Ya que son contratos a largo plazo, son fácilmente superados por el ciclo de innovación de la tecnología, lo que significa que el gobierno termina comprando más antiguos y costosos servidores, redes, centros de datos, etc.

Mientras que las barreras de compra culturales y de obtención son sustanciales, la segunda barrera más importante, que también es el caso en firmas comerciales pero con implicaciones de un alcance más largo y más grande para el gobierno, es la seguridad en la nube. Las normas de seguridad a las que el gobierno se debe adherir están normalmente escritas por el Congreso como normas formales con la fuerza de la ley; son mucho más restrictivas y menos tolerantes que aquellas en el sector comercial.


Ventajas generales de seguridad obtenidas por moverse a la nube

Muchas agencias gubernamentales hospedan sus datos públicos (datos no protegidos que comparten con los ciudadanos) en las mismas redes (lógicamente hablando) que sus datos privados. Al pasar los datos públicos a una nube externa, las agencias pueden reducir la exposición de datos sensibles internos, ya que los servidores públicos y privados no están juntos.

Hoy, cada agencia tiene su propia red y literalmente gastan miles de millones de dólares en la arquitectura, construcción, documentación, seguridad, supervisión y auditoría de cientos de redes distintas que probablemente hacen cosas similares. Al moverse a la nube, la auditoría y pruebas de seguridad y las tareas relacionadas son más sencillas, ya que las infraestructuras y redes se ven igual o son idénticas.

La redundancia y recuperación de desastres (DR) o la continuidad de operaciones (COOP) es muy costosa dada la estructura actual de aplicaciones, plataformas y redes en la mayoría de las agencias. Al moverse a la nube y, más importante, a las tecnologías de virtualización, puede ver estrategias de DR y COOP más fáciles, ya que la nube ofrece copias de seguridad más sencillas y mejor redundancia.

Es fácil ver cómo la DR y la COOP son más sencillas— todos los proveedores de nube de buena reputación tienen diversos centros de datos redundantes y ofrecen replicación de máquina virtual a través de diversos sitios. Es fácil pasar por alto las ofertas de copia de seguridad más sencillas—muchos proveedores ofrecen redes de área de almacenamiento (SANs) para redundancia de datos a través de diversas unidades de disco, lo que significa que usted obtendrá copias de seguridad en tiempo real. Además, sin embargo, los proveedores también ofrecen instantáneas de copias de seguridad regulares de discos enteros a las que usted puede retroceder y finalmente mover a cinta o almacenamiento fuera del sitio si compra ese servicio. Las ofertas de DR, COOP y copia de seguridad no son sólo dispositivos técnicos, son importantes consideraciones de seguridad, ya que las pérdidas de datos y las fugas de datos ocurren frecuentemente debido a estrategias pobres de DR y copia de seguridad.


Retos generales de seguridad presentados por moverse a la nube

Mientras algunos beneficios son asociados con moverse a la nube, la mayoría de los profesionales de TI ven muchas razones para tener miedo. Aquí hay preguntas comunes que preguntan los profesionales de seguridad:

  • ¿Cómo sé que puedo confiar en tu modelo de seguridad (el del proveedor)? ¿Tu documentación y proceso serán transparentes? ¿Cómo sé que está respondiendo probablemente a descubrimientos de auditoría?
  • ¿Su implementación propietaria puede ser fácilmente examinada para descubrir errores? ¿Soportará mis investigaciones de intrusiones y criminales de la misma forma que yo lo puedo hacer dentro de mi red actual?
  • ¿Soporta las Trusted Internet Connections (TICs) con auditoría completa para la banda ancha de tráfico de Internet utilizada por el gobierno? Las TICs están siendo obligatorias y la mayoría de los proveedores de nube ni siquiera saben qué es una TIC.
  • ¿Cómo realiza el seguimiento de fugas de datos clasificados en sistemas no clasificados? Si alguna vez se da el caso de una "fuga" accidental de información clasificada en un sistema no clasificado, el gobierno puede ir a sus instalaciones y solicitar que borre sus discos duros completos para limpiarlos después de tal fuga de información. ¿Qué tipos de procesos tiene en su lugar para tratar con una limpieza de disco duro en caso de que haya compartido datos para diversos clientes en un disco duro único? ¿Cómo satisface las preocupaciones alrededor de la responsabilidad de mezclar datos clasificados y no clasificados?
  • ¿Cómo garantiza que los datos del gobierno se mantengan en servidores físicamente ubicados dentro del territorio continental de Estados Unidos? Estas son normas restrictivas escritas por el Congreso y normas promulgadas por distintas administraciones presidenciales que requieren que este sea el caso.
  • ¿Las copias de seguridad están fuera de su límite de sistema? ¿El transporte está en una conexión segura y cifrada en una ubicación remota? ¿Está cifrada durante el tránsito fuera del sitio? ¿Qué es lo que controlan la seguridad física y técnica en la ubicación fuera del sitio? ¿Las copias de seguridad son enviadas a ubicaciones foráneas para el almacenamiento fuera del sitio? ¿El sitio de la copia de seguridad tiene los mismos controles de seguridad que el sitio primario?

La mayoría de estas preguntas—asuntos de multiusuarios, cifrado y conformidad —se reducen a la confianza. Existen más preguntas que pueden ser fácilmente respondidas por la mayoría de los proveedores de nube. Si usted es un proveedor de nube buscando servir al gobierno o si es un comprador del gobierno preguntándose en qué preguntas de seguridad técnica enfocarse, aquí están algunos indicadores. Este artículo cubre las amenazas de seguridad desde el punto de vista del gobierno, pero los proveedores de nubes inteligentes lo tomarán como una vista previa de qué preguntas podría hacerles el gobierno y prepararse de acuerdo a esto.

A continuación, verá retos específicos de seguridad para usuarios de nube gubernamental.


Riesgos de personal, gestión de identidad y control de acceso

Usted desea estar consciente de las amenazas incluyendo personal interno malicioso, como la persona o personas responsables de fugar más de 90.000 páginas de documentos clasificados relacionados con la guerra en Afganistán. La gestión de identidad y el control de acceso apropiados ya son difíciles dentro de los límites de un sistema de TI de una entidad individual. Pero cuando un sistema cruza las fronteras, con parte de ello sucediendo dentro de una red interna y una parte más pequeña o más grande sucediendo en la nube dentro del entorno de otro proveedor, se vuelve aún más difícil. Si usted ayudó a asegurar tales sistemas híbridos, asegúrese de considerar las prácticas de contratación en sus proveedores de nube. Deberán tener, al menos, políticas de contratación tan exigentes como las suyas. ¿Cómo le notificará el proveedor cuando vayan y vengan los individuos que trabajan en sus datos o sistemas? ¿Y bajo qué circunstancias se ha ido alguien? Si no puede confiar en las personas del proveedor, no puede confiar en el proveedor. Por ejemplo, cuando un empleado de su proveedor de nube se va, ¿es usted notificado?

Una vez que esté seguro de que conoce las normas del proceso de contratación y de suministro de sistema, querrá entender su proceso de acceso lógico y de escalamiento de privilegios de acceso. ¿Quién decide las normas de acceso y cómo es usted notificado cuando cambian las normas de acceso? Las personas están frecuentemente más preocupadas por otorgar el acceso inicial. Recuerde, sin embargo, que las infracciones más probables ocurren cuando el acceso es escalado para empleados existentes dentro de un proveedor pero usted no es notificado de dicho escalamiento (de forma que pueda supervisar el uso de forma distinta). La supervisión de identidad y acceso para sus propios empleados en el gobierno es crucial, pero tiene otras garantías tales como la seguridad física en las instalaciones para su red o VPNs para acceso remoto que requiere autenticación de doble factor. Desde el punto de vista de la seguridad, los empleados de su proveedor de nube son igual a sus empleados y, si los empleados del proveedor de nube no están siguiente las mismas normas que sus empleados internos, espere una infracción tarde o temprano.

Como un remedio específico para estos tipos de riesgos, tal vez quiera crear listas de personal clave en sus proveedores de nube que son conocidas y seguidas por obligaciones contractuales. Realizar auditorías regulares del acceso a la información es otra técnica común. Requerirá herramientas de conformidad de informes y supervisión que sean puestas en práctica que hagan los procesos del proveedor de nube completamente transparentes para el personal del gobierno que supervisa el contrato. Las cosas obvias como requerir seguridad de doble factor y prevenir el compartir las credenciales son importantes, pero son los intangibles y ver si la seguridad está en el ADN del proveedor de nube contra algo que ellos ven como un esfuerzo de conformidad lo que es aún más importante comprobar.

Proveedores con buena reputación como IBM®, Amazon, Google, Microsoft® y otros nombres ya saben cómo hacer que este tipo de seguridad funcione; la preocupación es por los proveedores enfocados al software de Software Como un Servicio (SaaS) o de Plataforma como un Servicio (PaaS) que tienen más enfoque en las aplicaciones que en el sistema. Si una compañía de nube está más enfocada al consumidor que al gobierno (o a la empresa) necesitará más escrutinio, ya que no tratan tanto con datos críticos de misión que puedan causar un daño irreparable al gobierno.


Riesgos de fuga de datos

Muchos tipos de propiedad intelectual necesitan ser protegidos, pero los datos sin duda lo más importante: Cuando piensa en seguridad no está tan preocupado por personas robando sus servidores o aplicaciones. Lo que realmente le preocupa, especialmente en el gobierno, es que los datos estén almacenados en los servidores. Las infracciones de datos causan pérdidas de datos, también conocidas como fugas de datos, en esos casos donde los datos originales son preservados pero copiados de las fuentes. Muchas cosas pueden causar las infracciones de seguridad de datos.

  • Alterar los datos sin el conocimiento del propietario de los datos
  • Suprimir los datos de alguna forma irrecuperable
  • Obtener los datos de formas viles y utilizarlos para causar daño al gobierno o a sus ciudadanos

Usted ya sabe sobre las implicaciones de seguridad nacional: Las fugas de datos clasificados pueden poner a soldados en peligro. Sin embargo, los ataques comerciales de piratas informáticos y las infracciones de datos son aún más comunes y necesitan ser prevenidos. Aquí hay un ejemplo sencillo: Un contratista que trabaja para el gobierno podría robar o tomar prestados datos sensibles de obtención para otro contratista que busca beneficiarse de información interna. Este tipo de fuga de datos es más fácil de seguir cuando todos los datos y usuarios están dentro de la misma red; sin embargo, es muy difícil realizar el seguimiento cuando los datos y los sistemas de TI están fuera de su control en la nube.

Para ayudar a remediar el riesgo de fuga de datos, asegúrese de tener obligado contractualmente a su proveedor de nube para que mantenga registros de acceso y que realice auditorías regulares de sistemas principales como los servidores de base de datos [máquina física o virtual (VM)] y los sistemas de base de datos (MySQL, ORACLE, DB2®, etc.). Necesita saber, por ejemplo, qué datos son regularmente revisados y gestionados por el equipo de DBA de su proveedor de nube. Si un proveedor de nube no realiza el seguimiento de esta información y no está haciendo algo especial para usted, podría tener un problema.

La seguridad de nube es una propiedad emergente de todo el sistema sí como un requisito funcional. Tratar la seguridad como un requisito funcional específico es un comienzo —los sistemas que compra y los proveedores que elige necesitan ser "seguros" sin duda. Sin embargo, en los sistemas más complejos la seguridad debe ser entendida como un tipo de propiedad emergente, lo que significa que usted de hecho puede tener partes principales de su funcionalidad de sistema seguras, pero todo el sistema se mantiene inseguro y con un alto riesgo. Por ejemplo, su proveedor de nube podría tener datos cifrados en reposo en sus discos duros (seguros) y sus datos podrían ser transferidos entre sitios de forma cifrada (también segura), pero los usuarios pueden escribir sus contraseñas o almacenarlas en sus teléfonos móviles (inseguro). Muchos profesionales de seguridad, y específicamente patrocinadores ejecutivos, frecuentemente gastan más tiempo en la seguridad técnica de los componentes que en los factores humanos que unen a esos componentes— al hacer esto, los riesgos son perdidos con facilidad. Esto es aún más real al entrar en la nube donde existen organizaciones completamente diferentes involucradas. Si usted trata la seguridad y sus riesgos asociados como una propiedad emergente (algo que "se está levantando" en su sistema más que algo que está contenido en él), usted podrá gestionar mejor las amenazas de seguridad de la nube.

Otro esfuerzo de remediación rodea la eliminación de datos. Algunas de las fugas de datos más comunes ocurren no mientras los datos están protegidos activamente por los DBAs, sino cuando los discos duros son eliminados, las cintas de copia de seguridad son transferidas de un entorno a otro o la media es planificada para su reutilización. Si usted es responsable de realizar el seguimiento de la seguridad de los datos en su proveedor de nube, pregúntele sobre su plan de eliminación de datos y haga una auditoría de ello con cuidado.


Riesgos del hosting de multiusuarios

Una vez que ha visto los amplios vectores de ataque como los controles de acceso del personal y la eliminación de datos, enfóquese en la multipropiedad y entremezclado de datos entre distintos clientes y cómo esos datos son protegidos. Por ejemplo, un proveedor de Infraestructura como un Servicio (IaaS) podría ofrecer a cinco clientes acceso de VM particionado en el mismo servidor físico. Acceder a los datos en una VM desde otra VM protegida en el mismo recuadro es posible pero muy difícil. Sin embargo, proteger una aplicación de multiusuario de una fuga de datos entre clientes es más difícil y la fuga se hace más probable. Usted querrá preguntarle a su proveedor de nube cómo almacena los datos de multiusuario y si es posible para un usuario (usted) acceder accidental o maliciosamente a los datos de otro usuario. La mayoría de los proveedores y programadores le dirán que tienen garantías programadas, pero un simple error en la lógica de acceso dentro de un archivo HTML o JavaScript puede derramar grandes cantidades de datos. Los sistemas de multiusuario que almacenan todo en una base de datos lógica y física están más propensos a este tipo de error que aquellos que almacenan los datos de cada usuario en bases de datos lógicas separadas con distintos esquemas para cada cliente. Trabaje cerca de sus proveedores para averiguar su riesgo de fuga de datos. Probablemente es mucho más grande de lo que piensa.


Manejando información secreta

Las técnicas de cifrado de datos y base de datos translúcidas son otros dos métodos comunes para manejar la información secreta. Sus proveedores pueden elegir el cifrado de disco completo, el cifrado basado en sistema de archivo de disco parcial, el cifrado basado en esquema, el cifrado de tabla, el cifrado de columna o una mezcla. El cifrado FIPS 140-2 debe ser un requisito mínimo cuando sea apropiado para los datos específicos que están siendo protegidos (ver Recursos para un enlace a la "Federal Information Processing Standards publication 140-2"). Lo mejor que se puede hacer es asegurar el cifrado de disco completo, a menos que su proveedor realmente entienda cómo hacer los otros tipos. Sin embargo, aún cuando su proveedor de nube le diga que los datos están cifrados en reposo en su base de datos, pregúntele sobre su enfoque de gestión de claves. ¿Quién tiene las claves y cómo se hace la gestión de claves? Si la gestión de claves no es segura y debidamente gestionada, el cifrado no tiene sentido. Algunos proveedores cifrarán sus discos y pondrán claves para el descifrado en el mismo servidor debido a que no entienden los riesgos. Proteger datos del gobierno es más difícil que proteger datos comerciales, por lo que es imperativo que el personal del proveedor entienda esto. Si usted está utilizando una IaaS, puede controlar el cifrado y la gestión de claves en cualquier grado que desee. Si, en cambio, está utilizando una PaaS o un SaaS, está más a merced de los proveedores de nube por lo que deseará ser prescriptivo en sus requisitos.

También tenga en mente que aunque un proveedor puede tener un consultor de Certificación y Acreditación (C&A) y decir que está en conformidad con el Federal Information Security Management Act (FISMA), eso no significa que sus datos secretos están protegidos apropiadamente. Como un representante del gobierno, usted necesita ser más diligente para obtener la evidencia que necesita para satisfacer a sus patrocinadores ejecutivos.


Auditando y realizando registros cronológicos

Todos, incluyendo a los proveedores, saben que auditar y realizar registros cronológicos es importante. Sin embargo, no todos lo hacen de la forma correcta: El sistema de registros nunca debe ser el mismo sistema que el sistema en el que se están realizando los registros cronológicos; la mayoría de los sistemas operativos incluyen los registros, pero estos no deben ser considerados como suficientes. El syslog remoto y el registro en tiempo real de envíos deben ser utilizados en todas las circunstancias, no sólo en algunas. Los eventos de aplicación, los registros de bases de datos y el seguimiento de actividades de seguridad deben estar almacenados en un registro centralizado completamente auditable con dispositivos sin repudio tales como hashing y mecanismos de entrega garantizada de mensajes. Si un proveedor tiene acceso a sus propios registros y puede modificarlos, no es creíble. El proveedor debe, por supuesto, tener acceso a sus registros, pero cualquier modificación de registros debe ser imposible y su sistema de gestión de registros debe poder detectar los intentos de manipulación o de ataques de piratas informáticos. Al realizar un análisis forense después de un evento, los registros son las fuentes primarias de evidencia y deben ser confiables y altamente disponibles.


Negación del servicio y riesgos de desfiguración

Los sistemas gubernamentales son especialmente vulnerables a la negación del servicio y los ataques de desfiguración en los que la meta es sólo el avergonzar una agencia, su misión o su personal. La inundación de paquetes, también conocida como la saturación de ancho de banda de red, es el riesgo más común y usted debería preguntarle a su proveedor cómo maneja eso específicamente, ya que muchos proveedores de nube (especialmente de SaaS) simplemente asume que esto es manejado por alguien más. También debe preguntar cómo identifica botnets y se defiende contra tráfico de red malicioso que pueda aparecer en entornos de IaaS, PaaS o SaaS. Deberían estar realizando una inspección profunda de paquetes para ataques de red con firmas conocidas y automáticamente vigiladas contra la inundación de grandes paquetes de datos que puedan bloquear servidores web o de aplicaciones.


Riesgos de suplantación de identidad, espionaje y detección de paquetes

Si los requisitos de IaaS, PaaS o SaaS de su gobierno incluyen saber sobre fuentes de datos mediante direcciones IP o DNS, entonces querrá asegurarse de que su proveedor puede vigilar contra la suplantación de identidad de DNS y la inundación de ARP. Los proveedores también deben estar contractualmente obligados a mostrar cómo previenen la manipulación de paquetes, la enumeración de sus servicios privados por otros usuarios y la manipulación con sus datos de configuración o claves de cifrado.


Conclusión

Ha aprendido que los gobiernos son grandes usuarios de todos los tipos de sistemas de TI. En un esfuerzo por ser más ágiles, cumplir con sus metas de misión más rápidamente, reducir los riesgos de desarrollo y reducir los presupuestos y costos en general asociados con la ejecución de sistemas de TI, la mayoría de las organizaciones gubernamentales están buscando implementar una solución de nube. La nube tiene enormes beneficios empresariales y algunos de seguridad y con el tiempo será mejor entendida y utilizada con más efectividad. En este momento, el personal del gobierno debe ser cuidadoso, ya que la nube es nueva. Nadie, ni siquiera los proveedores de nube, están conscientes de todos los riesgos de seguridad. Pero esto no debería detenerlo de comenzar a experimentar con proveedores que muestren que son serios sobre la seguridad y que conocen bien sus modelos de amenazas.

Recursos

Aprender

Obtener los productos y tecnologías

Comentar

Comentarios

developerWorks: Ingrese

Los campos obligatorios están marcados con un asterisco (*).


¿Necesita un IBM ID?
¿Olvidó su IBM ID?


¿Olvidó su Password?
Cambie su Password

Al hacer clic en Enviar, usted está de acuerdo con los términos y condiciones de developerWorks.

 


La primera vez que inicie sesión en developerWorks, se creará un perfil para usted. La información en su propio perfil (nombre, país/región y nombre de la empresa) se muestra al público y acompañará a cualquier contenido que publique, a menos que opte por la opción de ocultar el nombre de su empresa. Puede actualizar su cuenta de IBM en cualquier momento.

Toda la información enviada es segura.

Elija su nombre para mostrar



La primera vez que inicia sesión en developerWorks se crea un perfil para usted, teniendo que elegir un nombre para mostrar en el mismo. Este nombre acompañará el contenido que usted publique en developerWorks.

Por favor elija un nombre de 3 - 31 caracteres. Su nombre de usuario debe ser único en la comunidad developerWorks y debe ser distinto a su dirección de email por motivos de privacidad.

Los campos obligatorios están marcados con un asterisco (*).

(Por favor elija un nombre de 3 - 31 caracteres.)

Al hacer clic en Enviar, usted está de acuerdo con los términos y condiciones de developerWorks.

 


Toda la información enviada es segura.


static.content.url=http://www.ibm.com/developerworks/js/artrating/
SITE_ID=90
Zone=Industries, Cloud computing
ArticleID=645442
ArticleTitle=Computación en nube por agencias gubernamentales
publish-date=04082011