Seguridad Web en la nube

La virtualización de servicios de cómputo ofrece al gerente una nueva perspectiva para organizar y explotar los recursos de procesamiento de datos (PD) como herramientas para mejorar la competitividad de su empresa. El reto es como convertir esta posibilidad tecnológica en un concepto de PD que permita captar y mantener clientes, agilizar su respuesta ante los cambios en su entorno, reducir costos operativos y obtener el máximo provecho de la productividad de su gente. El análisis de oportunidades pasa por comprender el impacto en la empresa y su desempeño.

¿Qué genera, crea o posibilita esta tecnología?

El modelo de McLuhan es un marco por demás adecuado para desentrañar el significado práctico de esta tecnología para cualquier gerente; sin embargo debe acotarse que la respuesta depende del negocio, de su cultura decisional, de su posición en su mercado, de cómo se compara con sus competidores y de cuánto se apoya en las TI.

La virtualización de los espacios de negocios, apunta hacia la reducción de costos por inversiones de capital y costos operativos, derivados directamente de poder agenciar recursos de terceros y aprovechar la consecuente capacidad ociosa en el recurso propio. La reducción de necesidades de espacios físicos para hacer negocios, la disminución del esfuerzo humano para contactar clientes potenciales y el ofrecimiento de una forma de comunicación ágil y prácticamente ubicua a clientes potenciales y la comunicación permanente con los clientes actuales permite mejores y menos costosas posibilidades de captura y mantenimiento de la clientela

La virtualización de procesos básicos de TI, tiene impacto directo en la productividad de las personas y en la capacidad de reacción de la organización ante cambios en su entorno. La accesibilidad permanente a la información y la posibilidad de compartir el momento permite decisiones mejor informadas y oportunas a los cuerpos gerenciales. La potenciación del trabajo en grupo y la facilidad que brindan los espacios virtuales de trabajo permiten agilidad en el desempeño del cuerpo laboral, así como la reducción de tiempos de respuesta ante requerimientos de los clientes. La colaboración es palanca principal en la sinergia de los grupos de trabajo con el consecuente impacto en la productividad. Finalmente, en esta breve relación, está el mejor aprovechamiento de los recursos de TI propios de la empresa, al especializarlos en aspectos que no se desee o no convenga manejarlos a través de la nube.

¿Qué obsolesce?

El tema que más preocupa es la obsolescencia de los sistemas de seguridad, al menos de la concepción que la empresa tiene de la salvaguarda de la información antes de la implantación de estas tecnologías.

En primer lugar, y por más que los proveedores pontifiquen sobre la seguridad del espacio virtual, el gerente debe considerar dos aspectos; el primero es que está entregando su información a un tercero y como consecuencia de ello pierde o cede control sobre la salvaguarda de confidencialidad de la misma; lleva inmediatamente a preguntarse sobre cuán segura puede estar la información vital para el desempeño y supervivencia del negocio de intrusiones indeseables. Las medidas tradicionales como las claves de acceso deben ser reevaluadas, deben incorporarse tanto de parte de los usuarios como de los proveedores del servicio mecanismos de segregación por características de usuario y permisología asociada, que actualmente o no existen o son precarios. Debe ofrecerse las facilidades de encriptación de la data alojada en los recursos compartidos y deben incorporarse mecanismos de auditoría de tráfico, de accesos y de uso de la data para detectar y prevenir acciones no autorizadas o fraudulentas.

En segundo lugar debe considerarse un mecanismo de evaluación de riesgos que incorpore por una parte, el uso de estos recursos para tareas de salvamento y recuperación (lo obvio) y por otro lado las consecuencias principalmente legales derivadas del uso no autorizado de la información almacenada en el recurso virtual. Este último asunto es crítico, puesto que la empresa dueña de la información es responsable de su custodia, uso y acceso, y la legislación actual no comprende aún este tipo de circunstancias tecnológicas. Los acuerdos de niveles y condiciones de servicio son aspectos que deben ser bien evaluados por la empresa antes de entregar información crítica bajo esta modalidad de servicio virtual.

Finalmente (esta lista no es exhaustiva) debe evaluarse, desde el punto de vista de la seguridad (al igual que se haya hecho con el operativo) cuál información residirá en la nube, y cuál debe mantenerse bajo control de los medios propios de TI, cuáles procesos habrán de virtualizarse, y de ser procedente cuales irán a la nube privada o híbrida, si es el caso, y cuáles a la nube pública. Los criterios para esta discriminación serán siempre, criticidad de la información, vulnerabilidad ante las amenazas previsibles, impacto de la mitigación y remediación, facilidades de acceso deseables, requeridas y brindadas a los clientes, amén de cualesquiera otras que se deriven de la naturaleza del negocio y de los servicios que se usen.