La dispersión del dato en el entorno multicloud

¿Cómo proteger los datos corporativos en un entorno híbrido y multicloud? ¿Podemos garantizar nuestra información ante posibles ataques de ransomware o brechas de datos? Estas son algunas cuestiones relevantes que inquietan a los profesionales de Sistemas y de Seguridad, y que se pusieron de manifiesto durante el encuentro organizado por Computing, con la colaboración de Commvault, y que contó con la asistencia de expertos tecnológicos de grandes organizaciones.

Maite Ramos, flamante directora general de Commvault para España y Portugal, pone el acento en el backup como la medida básica de la protección y como talón de Aquiles de muchas compañías: “Los ataques de ransomware actuales ya no solo atacan a producción, sino también al backup. Nosotros unificamos ambos mundos y conseguimos una detección temprana. También somos especialistas en recovery de los datos y nos encargamos de hacer su limpieza en un sandbox, posteriormente los marcamos para su recuperación”. La directiva destaca el “recovery limpio” como una de las grandes bazas de su compañía, un aspecto del que no se habla en los foros tecnológicos.

Ramón Ortiz, responsable de Seguridad de Mediaset, apunta que la complicación actual proviene de que el dato está expandido. “Los tiempos, cuando el dato estaba en un centro de datos o en la casa de tu proveedor, han desaparecido. Ahora el dato está muy disperso, ya sea en la nube pública, la híbrida o en on premise”. Esta dispersión obliga a “la necesidad de realizar inventarios de tus activos de información de la forma más conveniente. Situar dónde los tienes alojados y hacer un ejercicio de catalogación de la criticidad de toda esa información. Para proteger estos activos también hay dispersión de tecnologías y de cómo homologar las políticas y controles de seguridad que tienes que implantar”. La complejidad, en el caso de Mediaset, estriba en la coexistencia de nubes de Amazon Web Services, Microsoft y otros entornos virtualizados.

Adaptarse a la innovación tecnológica

Para María del Carmen Aguilar, Management & Compliance Cibersecurity & IT & Innovation de Ferrovial, el problema no reside en la dispersión de los datos, sino en la evolución de las tecnologías y en la necesidad de adaptarse cuanto antes. “No podemos hacer las cosas de la misma manera que hace diez años. Hay que aprovechar nuevas herramientas y servicios para estar al día”. La cuestión es que “nuestro sistema no puede cambiar a la misma velocidad, tenemos on premise, pero los entornos cloud son otra cosa. Al aplicar todo el sistema necesitas herramientas y servicios para poder hacer las tareas de diversa forma”. En este punto, Aguilar cree aconsejable recurrir en ayuda a terceros: “Para extraer lo máximo necesitas ir acompañado, ninguna organización puede hacer ese camino en solitario, porque los conocimientos requeridos evolucionan de tal manera que precisas apoyo si quieres llegar a buen puerto”.         

Alejandro Las Heras, director de Seguridad y Transformación Digital del Grupo Eulen, pone acento en el concepto de información. La parte física no se puede soslayar, “más vale que tengas un backup a buen recaudo y puedas dormir, y pensar en otra cosa”. Las Heras aúna el rol de CISO, CDO y CTO y su preocupación se centra en cómo se gobiernan los datos, y “siempre lo he visto en la separación de la parte física de la lógica, cómo se gobiernan los datos y el compliance”. También llama la atención sobre la complicación que supone migrar a la nube; cuando en on premise se tienen controlados los tiempos de recuperación, en cloud varían: “¿Utilizo los sistemas nativos de la nube de los hiperescalares o monto un sistema como pueda ser el de Commvault que me permite poner una capa de gobierno? Dentro de Eulen, en la parte física, tenemos un servicio de arquitectura de gobierno del dato. Cómo gobernar los datos no deja de ser un tema de negocio y cada empresa tiene su estrategia y particularidades. Mi visión es que exista una participación directa del negocio y que sea la que lidere la política corporativa”.

Tres niveles de datos

Desde el punto de vista de Josue Urgel, jefe de Área de Soporte al Puesto y Usuarios de la Dirección de Transformación Digital y Tecnología de Correos, el aspecto clave reside en el tipo de dato que proteger. “El backup se tiene que establecer en tres niveles, no se pueden poner todos los datos con la misma valoración, hay bases de datos o de los propios contratos que suscribe la compañía”. Hay un nivel que se refiere a los datos legales y otro nivel que toca directamente con el negocio, y son los de mayor valor; luego están otros datos que no son tan importantes. Urgel cree que esa clasificación de datos no es difícil, cuando se trata de datos legales.

Para Ramón Ortiz, responsable de Ciberseguridad de Mediaset, “este análisis y el ejercicio de protección no es barato. Si no tienes inventariada la información desestructurada, mal vamos”. Ortiz también es partidario de realizar pruebas de restauración de información dentro de los planes de contingencia: “Puedes disponer de un sistema muy consistente de backup y que este te permita recoger todo, pero estoy convencido de que el éxito es probarlo en marcha”.

Falta de personal

Esta práctica que debería estar más extendida dentro de las grandes empresas españolas no siempre tiene posibilidad de llevarse a cabo. En el caso de la Universidad Rey Juan Carlos, como desliza Alberto Sánchez, vicerrector de Transformación y Educación Digital, la escasez de personal es un freno para poder realizar estas pruebas. “Tengo dicho a mi equipo que cuando suceda un incidente todo se centralice en mi persona, en calidad de responsable del departamento, para que no cunda el desconcierto y se lleven los planes de recuperación con orden y concierto”.

La escasez del número se compensa en parte con la alta cualificación del personal de la Universidad Rey Juan Carlos, pero resulta evidente que la parte de administración y servicios de seguridad está falta de manos. “No veo al sector público tan híbrido. El sistema de backup lo tenemos en la nube por razones de contratación de la Administración. Necesitamos predecir la cantidad de datos que tenemos que respaldar para que Intervención nos dé luz verde, y además no podemos pasarnos de un porcentaje”.

En la AAPP es fácil comprar “cosas con pegatinas, pero para comprar recursos en la nube tenemos que predecirlos y a veces hemos topado con un vendor lockin en los cambios de licitaciones”.

Urge un cambio cultural en relación con la nube, tanto en la parte directiva como en la base, ya sean estudiantes o empleados. Como resume Antonio Robles, subdirector de Infraestructuras y Tecnologías de la ETS de Ingeniería Informática de la UNED, “tenemos todas las herramientas, pero el problema radica en utilizarlas y el miedo a su uso. A nivel técnico tienes que hacer una predicción que no resulta sencilla, y a nivel administrativo ni estaba previsto cómo gestionar ese proceso. Una vez que se establezcan y mecanicen los procesos se podrán normalizar los servicios en la nube”.

Hemos puesto énfasis en los planes de respuesta y recuperación

Miguel Ángel Ordóñez, Security & Resiliency Director de Kyndryl

En Kyndryl hemos unido las dos disciplinas (seguridad y resiliencia) porque siempre nos han parecido imprescindibles en la continuidad de negocio de nuestros clientes. Hemos puesto énfasis no solo en la seguridad defensiva, sino en los planes de respuesta y recuperación. Creemos tener unos planes de respuesta y equipos entrenados, lo que es primordial para afrontar cualquier escenario de ataque. Además, mirando a la recuperación, debemos asegurar que nuestras copias de seguridad están realmente limpias y resultan útiles cuando nos vemos obligados a utilizarlas. Hablando de plataformas tecnológicas, la evolución de las soluciones tecnológicas ha sido impresionante en los últimos años. Cada vez las plataformas dan más funcionalidades, no solo de detección y respuesta de amenazas, sino de la aplicación de la inteligencia para adelantarse a las mismas. Soluciones como las de Commvault facilitan la recuperación en entornos híbridos con todas las garantías.

En los entornos multicloud la superficie de ataque es mayor

Nacho Liniers, Account Manager De Commvault

En estos últimos cuatro años hemos estado trabajando e invirtiendo para ayudar a los clientes en la defensa proactiva de las ciberamenazas. El 89% de las grandes compañías han adoptado una estrategia multicloud, conviven con varias nubes con los beneficios evidentes, pero a su vez conlleva una serie de problemas ya que la superficie de ataque es mucho mayor. El dato está cada vez más deslocalizado (tiendas, sedes, fuerza comercial itinerante, fábricas con dispositivos IoT, etc.). Por todo esto, proteger todos estos entornos se convierte en una tarea poco sencilla. Es ahí donde Commvault quiere aportar, desde nuestro Cloud Command podemos gestionar toda la información y nos es indiferente cuál sea la infraestructura que utilice el cliente o cuáles sean los sistemas que tenga desplegados. También sucede que muchas compañías que han sufrido un ciberataque no han sido capaces de recuperar su información. Como respuesta, hemos incorporado nuevas funcionalidades para la alerta temprana de ciberataques, la detección de malware y la recuperación limpia de los activos.