96 Revista del Instituto Español de Estudios Estratégicos Núm. 0 / 2012 El usuario no sabe exactamente dónde está almacenada la información, mientras que en la computación tradicional sí. Trasladar toda la información a la nube significa “confiar la seguridad a terceros”, lo que puede ser motivo de preocupación. Así, se plantean preguntas clave en la estrategia de seguridad en la nube: • ¿dónde estarán desplegados los datos? • ¿con qué protección? • ¿quién es responsable de ellos? Los grandes proveedores tienen respuesta clara para la tercera pregunta: el respon-sable de los datos es el cliente. IBM llama a este tipo de seguridad “Secure by design” (seguridad personalizada). El concepto pretende que el entorno sea el resultado de la interacción entre proveedor y receptor de servicios. La seguridad tiene que partir del cliente. Cuando una empresa quiere llevar sus datos a la nube, debe especificar sus preferencias. Conociéndolas, el proveedor diseña un servicio específico para la empresa. Una de las críticas más negativas a La Nube es la relativa a la seguridad y el control de los datos. Aparentemente, las Organizaciones tienen un control más rígido sobre los datos almacenados en su propia infraestructura que si los traslada a la nube. Por otro lado, es necesario considerar los requerimientos legales. La nube puede ser in-cluso más segura que un centro de datos tradicional, si bien el método de reforzar la seguridad de la información si es radicalmente distinto. La computación en nube tiene características específicas que requieren evaluación de los riesgos en áreas como integridad, recuperación y privacidad de los datos, así como en asuntos legales en áreas como normativa de regulación y Auditoría de los Sistemas de Seguridad de la Información. La evaluación de riesgos y la revisión de la seguridad en la nube deben considerar en primer lugar las opciones de despliegue de la nube (pública, privada e híbrida) y modelos de entrega de servicios (SaaS, PaaS, IaaS). Estrechamente relacionados con los modelos anteriores, están los procesos relacionados con la virtualización y almace-namiento en los centros de datos. Como sucede en el Plan General de Seguridad de la Información, ninguna lista de controles de seguridad podrá cubrir todas las circuns-tancias, pero se deberá adoptar un enfoque basado en riesgos para moverse o migrar a la nube y seleccionar las opciones de seguridad. Los activos de despliegue en la nube se agrupan en dos grandes bloques: los datos y las aplicaciones. 7. OBJETIVOS DE LA SEGURIDAD DE LA INFORMACIÓN EN LA NUBE El desarrollo del software seguro se basa en la aplicación de principios de dise-ño de software seguro que forman los principios fundamentales del aseguramien-
REVISTA IEEE 0
To see the actual publication please follow the link above