Diferentes expertos analizan la importancia de la seguridad en la nube en la actualidad

El pasado 22 de septiembre, Eurocloud España y la UNED organizaron una jornada de Cloud for Security en el Auditorio de la UNED, Facultad de Económicas y Empresariales, en la Ciudad Universitaria de Madrid. En esta jornada, dirigida a los directivos de Seguridad de las empresas asociadas a AECRA, AGERS y ASIS, diversos expertos analizaron la relevancia de la seguridad en diferentes conceptos emergentes como el Cloud o el Big Data y debatieron sobre la seguridad gestionada y la seguridad de la información, entre otros aspectos.

El Auditorio de la UNED, en la Ciudad Universitaria de Madrid, fue el punto de encuentro de diversos directivos de Seguridad de las empresas asociadas a AECRA, AGERS y ASIS, los cuales se reunieron el pasado 22 de septiembre con motivo de la jornada de Cloud for Security, un encuentro organizado por Eurocloud España y la UNED.

El secretario general de Eurocloud, Ignacio Carrasco, el catedrático y responsable del Centro de Seguridad Privada de la UNED, Santiago Garrido Buj, y el profesor de la Facultad de Ciencias Económicas y Empresariales de la UNED, Alberto Augusto Álvarez fueron los encargados de dar la bienvenida a esta jornada. “Queremos hacer llegar al mundo de la seguridad las nuevas tecnologías en este entorno tan cambiante. Cuántas veces los nuevos avances se traducen en las nuevas ideas”, señaló Garrido Buj. Por su parte, Alberto Augusto Álvarez quiso destacar la importancia de celebrar esta jornada en la UNED puesto que, al ser el cloud una herramienta a través de la cual cualquier persona puede acceder desde cualquier sitio a sus archivos, “las nuevas tecnologías son muy relevantes para hacerlas llegar a la gente que se encuentra lejos”. Además “la seguridad, sin duda, cada vez tiene más relevancia económica, con lo que no es raro hacer un evento de cloud en la Facultad de Económicas ya que es algo que afecta a la economía directamente”, afirmó, en esta línea, el secretario general de Eurocloud.

El secretario general de Eurocloud, Ignacio Carrasco; el profesor de la Facultad de Ciencias Económicas y Empresariales de la UNED, Alberto Augusto Álvarez; y el catedrático y responsable del Centro de Seguridad Privada de la UNED, Santiago Garrido Buj.

Precisamente los conceptos de Cloud y Big Data fueron el tema de la primera mesa de la jornada, compuesta por Pedro Prestel, antiguo presidente de Eurocloud, y Jorge Salgueiro, de AECRA. Prestel inició su discurso indicando que el cloud es una evolución natural de lo que ha acontecido estos años con las nuevas tecnologías y destacando que “la nube no es un concepto etéreo: es un punto físico que está vinculado a un Data Center en algún sitio del mundo. Al final, Internet es un medio de transmisión de información y el cloud ha sido una palanca de otro tipo de tecnologías: Big Data e IoT”.

En concreto, el Big Data permite analizar a tiempo real toda la información, nos lleva a un mundo predecible. “Internet y el Cloud Computing han revolucionado la manera de entender el mundo y los negocios, han revolucionado el mudo económico: Paypal, Crowdfunding… Yo me pregunto, ¿dentro de 10 años existirán los bancos? Ahora se puede pagar sin pasar por el banco y esto está modificando la manera de hacer negocios, de relacionarnos, de todo”, señaló Prestel haciendo hincapié en la total seguridad de la nube ya que “los servicios que se dan a los usuarios en la nube son aislados, personalizados. Hay mucha seguridad en la nube, todo depende del uso que hagamos”.

En este sentido, Prestel hizo alusión al Plan B de contingencias. “Siempre hay que tener una copia de seguridad. Es fundamental que siempre tengamos un plan de contingencia y eso en España todavía es un camino por recorrer. Ponemos la información en terceros pero es imprescindible tener una copia por si mañana esa información desaparece: hay que tener un camino de ida pero también de vuelta”.

Jorge Salgueiro, de AECRA, y Pedro Prestel, antiguo presidente de Eurocloud.

Para finalizar su discurso, el antiguo presidente de Eurocloud enumeró como fortalezas del cloud las penalizaciones si se cae Internet, el despliegue de plataformas, la integración del tema de la seguridad, el coste o la fácil localización de la información, entre otros aspectos, y señaló el desconocimiento de lo que se está haciendo como una de las debilidades de la nube ya que “hay que saber lo que hay detrás para saber de dónde procede un problema y poder prevenirlo”.

Sobre la seguridad gestionada se encargaron de hablar Juan Miguel Velasco, de Aiuken, y Julio San José, de Ernst & Young. Velasco comenzó resaltando que el cloud y la seguridad no son conceptos antagónicos, esto es, no quiere decir que en el cloud no haya seguridad. De hecho, en el 2020 Velasco aseguró que “no habrá nadie que se plantee una política de seguridad sin el cloud. Es imprescindible entender el cloud como una herramienta de seguridad, de protección. Existe una evolución de los servicios en cloud para proteger la información”.

Por su parte, Julio San José incidió en el hecho planteado por Velasco asegurando que “el cloud te protege en esos puntos en los que tú no puedes protegerte, con lo que lo podemos utilizar como una herramienta de protección y también de eficiencia”. Respecto a esta última cuestión, San José explicó que el cloud puede aportar un tema de eficiencia en las personas puesto que el personal puede viajar sin el peso de las herramientas (portátil), por ejemplo.

Juan Miguel Velasco, de Aiuken; Julio San José, de Ernst & Young; e Ignacio Carrasco, secretario general de Eurocloud.

El Security Operation Center (SOC) fue otro de los temas que trató Velasco. Explicó que el SOC es un centro o grupo de personas que se dedican a operaciones de seguridad y donde se tratan toneladas de Bites, es decir, se trata de un grupo de gente que monitoriza a tiempo real las alertas. Respecto a este tema, Julio San José mostró su postura a favor de la integración de las CRA (Central Receptora de Alarmas) en el SOC.

“La seguridad gestionada”-afirmó Velasco-, “es una disciplina de profesionales que se ha vuelto eficiente para quien se quiera dedicar a lo que sea. No deja de ser un elemento que se puede poner en manos de profesionales que te pueden ayudar. Se trata de un concepto tremendamente eficaz”. Finalmente, Julio San José subrayó la misma idea indicando que “si aplicas una correcta gestión del riesgo, necesitas seguridad gestionada” con lo que es necesario “ponerse en manos de profesionales”.

Enrique Llopis, Drooms-Eurocloud, y Josep Bardallo, SVT-Eurocloud, fueron los encargados de tratar el tema de la seguridad de la información. “Cuando hablamos del concepto de seguridad de la información, llegamos a un nivel de aceptación del riesgo que puedes asumir con tu empresa”, afirmó Bardallo incidiendo en que hay que ofrecer la seguridad como un servicio. En esta línea, señaló que los principales problemas de seguridad son concretamente dos: Google y las personas ya que “si pones en Google ‘hackear’, Google te explica cómo hacerlo”. Por ello, Bardallo concluyó haciendo hincapié en la necesidad de concienciar a las personas de las empresas de la importancia de la seguridad y de que ésta es un servicio, por lo que “una pyme que no ponga protección es como una puerta abierta”.

Jorge Salgueiro, de AECRA; Josep Bardallo, SVT-Eurocloud; y Enrique Llopis, Drooms-Eurocloud.

Llopis se mostró de acuerdo con Bardallo respecto a que el principal problema de la seguridad somos las personas. Para poner fin a este problema, Llopis recalcó que, poco a poco, hay que irse concienciando de la importancia de la seguridad en los ordenadores. “Creo que las pymes están muy desprotegidas. Rompo una lanza por la seguridad en cloud. Nosotros llevamos más de 20 años”, concluyó.

Las tendencias en el uso del cloud fue otro de los temas a tratar en esta jornada. Alfonso Castaño, de Norbain-Asis International, Francisco Javier González, de Eurocloud, y Ramsés Gallego, de DELL- Eurocloud, fuero los expertos que compartieron opiniones sobre este tema. Castaño fue el primero en hablar de vídeo en la nube, hecho que calificó como una “realidad” puesto que ahora todos estamos utilizando vídeo en la nube aunque “hay que hacer ciertos matices” y señalar sus limitaciones:

1. Conectividad inherente al empleo de un VMS en cloud.
2. Necesidad de una nueva capa de gestión para verificar accesos y descargas autorizadas.
3. Documentar esos procesos para desarrollarse dentro de un entorno de gestión de riesgos convencional.

Las implicaciones que esto conlleva, tal y como indicó Castaño, son el cumplimiento de la legislación vigente; garantizar la ausencia de manipulación en las imágenes; garantizar la cadena de custodia de la prueba; y poder exportar tramas de vídeo con capacidad de imágenes fotograma a fotograma. “De nada nos sirven muchos megapíxeles si la imagen no es clara. Lo mismo sucede en el vídeo cuando exportamos una imagen”, añadió.

Respecto a la gestión de riego, Castaño señaló los siguientes puntos:

• Capacidad de computación. Hay que velar por el acceso a la información de los clientes y de terceros dentro de protocolos consensuados.
• Fiabilidad del cloud. Hay que definir un acuerdo base que recoja los posibles cortes del servicio y las alternativas a los mismos que el proveedor prevea.
• Beneficios económicos. Los conceptos de recuperación de datos y resiliencia computacional, serán costes extra que deberán ser tenidos en cuenta como imprescindibles si se quiere garantizar de un elevado nivel de seguridad.
• Cumplimiento de la legislación. Es necesario definir unas prácticas y una política de descarga de vídeo con fines probatorios que permita cumplir con la ley en todo momento.
• Los datos y su aplicación en seguridad. Debe existir una política que siga una estrategia y defina los programas de seguridad. Asimismo, debe existir un programa de gestión capaz de crear nexos muy sólidos entre el proveedor externo y el cliente e implementar una gestión de riesgos que los lleve a niveles asumibles a lo largo de la vida de la compañía o hasta el siguiente cambio tecnológico.

“Los dos primeros apartados son del proveedor del cloud y los dos últimos de parte nuestra”, sentenció.

Alfonso Castaño, de Norbain-Asis International; Ramsés Gallego, de DELL- Eurocloud; Jorge Salgueiro, de AECRA; y Francisco Javier González, de Eurocloud,

Ramsés Gallego hizo alusión a la importancia de la nube indicando que el BYOD, combinado con la nube, es una unión de fuerzas. “Ahora vivimos en la nube. La nube es lo primero y la movilidad también: ahora ya no hay segundo”, dijo Gallego.

La última mesa redonda corrió a cargo de Juan Muñoz Escribano, de Asis International; Ignacio Carrasco, de Eurocloud; y Juan Valiente, de Coteco, expertos que trataron el tema de la formación y las especificaciones.

En primer lugar, Ignacio Carrasco habló de ECSA (Eurocloud Start Audit). Se trata de un esquema de certificación y auditoría –alineado con organizaciones como ENISA y la Europe Cloud Strategy- desarrollado por Eurocloud Europe con el objetivo de facilitar la adaptación de servicios cloud. “ECSA acredita dos cosas: a personas y organizaciones” por períodos de dos años, indicó Carrasco.

Por su parte, Juan Muñoz Escribano aseguró que la seguridad se ha convertido en un elemento estratégico de cualquier organización. “Nos gustaría que la gente de seguridad física desarrollase conceptos de seguridad lógica y viceversa. Lo que está claro”, reivindicó, “es que no hay seguridad física sin seguridad lógica”.

Ignacio Carrasco, de Eurocloud; Juan Muñoz Escribano, de Asis International; y Juan Valiente, de Coteco.

Juan Valiente aseguró que “el riego real está ahí” y, precisamente, si sabemos que el riesgo es cierto “tenemos que hacer algo”. Para acabar con este riesgo, Valiente afirmó que hay que invertir en seguridad tecnológica y establecer procesos para mitigar los resultados de la comisión de un delito, es decir, “hay que analizar y evaluar los riesgos a los que estamos expuestos”.

En este sentido, Valiente hizo alusión a la brecha de seguridad de una empresa, que supone millones de datos robados y conlleva una serie de consecuencias:

• Gastos a los afectados.
• Sanciones administrativas impuestas por el regulador.
• Responsabilidad civil frente a los afectados y los bancos.
• Responsabilidad civil derivada a responsables directivos de la compañía.
• Daño reputacional.
• Pérdida de beneficios de la compañía.

“Esto puede ser objeto de valoración frente a un contrato de seguros”, añadió Valiente y aseguró que “nos alarmó la Reforma del Código Penal de agosto de 2010 porque entró la persona jurídica como responsable penal. La Reforma del Código Penal de julio de 2015 viene a limitar los supuestos de responsabilidad de la persona jurídica”.

En definitiva, en palabras de Valiente, hay que tener un buen plan de contingencias, transferir los riesgos a las compañías de seguros e incentivar la formación y la concienciación