Cómo supervisar el riesgo de cloud computing

Recomendados:  Arquitecturas de Seguridad, ¿qué ventajas ofrecen? Webinar Brechas de seguridad, ¿hay opciones? Webinar Ciberseguridad orientada al futuro Leer

ISMS Forum (International Information Security Community) y el grupo español de la Cloud Security Alliance (CSA) han reunido en el estudio Cloud Audit & Forensics los pautas a seguir para supervisar los riesgos tecnológicos en las organizaciones que utilizan servicios cloud, basándose en procesos de Auditoría y Monitorización Continua (CA&CM). 

El estudio, que ha sido coordinado por Pablo Castaño Delgado, analista de Ciberseguridad (GRC) del Banco Santander y miembro del Comité Técnico Operativo del Capítulo Español de la Cloud Security Alliance, parte del hecho de que el modelo de relación de las organizaciones con la tecnología ha ido evolucionando con el paso de los años, partiendo de una visión inicial en la que la tecnología era un bien más en el que invertir, pero sin mucho peso dentro de la organización hasta llegar a una visión en la que la tecnología ya no solo es un recurso que aporte valor a negocio, sino que incluso ayuda a desarrollarlo, mediante la definición de nuevos modelos de negocio basados en TI.

Además, con la adopción de servicios cloud, la gestión de la tecnología se produce fuera de la empresa, lo que puede suponer un problema a la hora de supervisar los riesgos en este ámbito que pueden afectar a la empresa.

El estudio, disponible en este enlace, propone un enfoque basado en tres pilares.

Dotación de recursos
El primero es el desarrollo de recursos suficientes y apropiados para que la organización pueda ejercer su responsabilidad en lo que respecta a la supervisión del riesgo tecnológico, independientemente de sobre qué activo tecnológico se materialice. Según el documento, hay que asignar y definir los roles que asocien los principales perfiles a cargo de la función de auditoría interna de TI con las principales actividades que resultará necesario ejecutar para ofrecer aseguramiento tanto sobre los servicios cloud contratados, como sobre el resto de la tecnología. Junto con dichas responsabilidades, también se identifican todas las herramientas y elementos clave de supervisión necesarios para ofrecer aseguramiento.

Estrategia
Las empresas deben tener una estrategia de supervisión que resulte eficiente tanto a la hora de supervisar recursos tecnológicos desplegados usando un modelo de computación en la nube como para supervisar otras tipologías de ecosistemas tecnológicos. La propuesta aquí es partir de los procesos tradicionales de auditoría y monitorización continua (CA&CM), que se descompone en procesos de aseguramiento continuo de controles (CDA), monitorización continua de controles (CCM), y monitorización y evaluación continua de riesgos (CRMA). “Cada uno de ellos descrito con un enfoque doble de supervisión de recursos internos y de supervisión de recursos cloud, siendo extensible el enfoque cloud a cualquier recurso externalizado en la medida en la que se adapten los elementos clave de supervisión a las características de dicho recurso”, señala el documento.

Consolidación de reportes
El tercer pilar es la integración de los procesos de aseguramiento sobre todos los recursos para ofrecer una visión unificada que permita una priorización y tratamiento consistente de los riesgos tecnológicos en la organización.