¿Qué es el cumplimiento de la nube?
El cumplimiento de la nube es el conjunto de procedimientos, controles y medidas organizativas que debe implementar para garantizar que sus activos basados en la nube cumplan con los requisitos de las regulaciones de protección de datos. normasy marcos que son relevantes para su organización.
Los requisitos normativos suelen ser los mismos, tanto si hospeda los datos en las instalaciones como en la nube. Sin embargo, estos dos entornos son completamente diferentes entre sí y, por lo tanto, los pasos que debe seguir para cumplir con dichos requisitos también son completamente diferentes. Esto se debe a la naturaleza dinámica y más compleja de la nube, que requiere un enfoque nuevo y diferente para la gobernanza de datos.
Además de esto,'Es importante tener en cuenta que el cumplimiento de la nube es una disciplina claramente diferente de la ciberseguridad. El cumplimiento es un ejercicio de marcar casillas, mientras que la ciberseguridad es la implementación de políticas organizativas y Controles técnicos que son específicos de su propia organización, los datos que almacena y procesa, y las tecnologías que utiliza.
Además, el cumplimiento suele tener un alcance mucho más amplio. Por ejemplo, la ciberseguridad es solo un componente de la Reglamento General de Protección de Datos (RGPD), que incluye una serie de otras disposiciones, como los derechos de los interesados y las limitaciones sobre lo que hace con sus datos y cuánto tiempo puede almacenarlos.
En vista de la amplia gama de diferentes leyes y normas de protección de datos que se aplican en la actualidad'A partir de los datos de las organizaciones y los nuevos desafíos de protección de datos que presenta el cambio a la nube, la importancia del cumplimiento de la nube se ha vuelto mayor que nunca.
¿Quién es responsable del cumplimiento de la nube?
Cuando hospeda sus cargas de trabajo en su centro de datos local, es responsable de prácticamente todos los aspectos de seguridad y cumplimiento. Pero en la nube,'Es una historia completamente diferente, ya que renuncia parte de esta responsabilidad al proveedor de la nube.
En otras palabras, el cumplimiento de la nube es una responsabilidad compartida. Pero, ¿quién es exactamente responsable de qué?
Para ayudar a los clientes a comprender la demarcación entre las responsabilidades, cada uno de los principales proveedores de servicios en la nube (CSP) proporciona un conjunto de directrices, conocidas como Modelo de Responsabilidad Compartida. Estos son, en general, muy similares, donde:
CSP'Las responsabilidades de S incluyen la seguridad de sus centros de datos, infraestructura de TI, hipervisores y sistemas operativos host, junto con la tarea de garantizar la disponibilidad y confiabilidad de los servicios que brinda a los clientes.
Cliente'Las responsabilidades de S incluyenla configuración de los servicios en la nube que utiliza, junto con la seguridad y el cumplimiento de los sistemas operativos invitados y las aplicaciones que aloja en el proveedor's de la plataforma.
Gobernanza de la nube
Gobernanza de la nube y el cumplimiento de la nube son aspectos integrales de la gestión eficaz de los recursos de la nube. La gobernanza de la nube abarca el establecimiento de políticas, procedimientos y controles para alinear el uso de los servicios en la nube con una organización', garantizando el cumplimiento normativo y adhiriéndose a las mejores prácticas. Implica el desarrollo y la implementación de directrices para la utilización de los recursos en la nube, haciendo hincapié en el seguimiento y la auditoría para garantizar el cumplimiento continuo de los estándares establecidos.
Por otro lado, el cumplimiento de la nube se centra específicamente en cumplir con los requisitos legales, reglamentarios y específicos de la industria dentro del entorno de la nube. Implica abordar áreas como la seguridad de los datos, la privacidad, las obligaciones regulatorias y el cumplimiento de los acuerdos de nivel de servicio (SLA) con los proveedores de servicios en la nube.
La relación entre la gobernanza de la nube y el cumplimiento radica en su alineación, ya que los marcos de gobernanza a menudo incluyen políticas que abordan directamente las necesidades de cumplimiento, y los mecanismos de gobernanza aplican estas políticas para garantizar el cumplimiento de estándares y regulaciones externas. Tanto los esfuerzos de gobernanza como los de cumplimiento contribuyen a una gestión eficaz de los riesgos en el entorno de la nube, haciendo hincapié en la identificación y mitigación de posibles problemas.
Normativa
A continuación, cubrimos las regulaciones y marcos de cumplimiento de la nube más importantes, que incluyen:
Reglamento General de Protección de Datos (RGPD)
Una ley de privacidad de datos diseñada para proteger los datos personales de los ciudadanos del Espacio Económico Europeo (EEE). El RGPD cubre a cualquier persona que resida dentro de los límites territoriales de la UE, junto con Noruega, Islandia y Liechtenstein, en el momento de la recopilación de datos.
Aunque el RGPD es legislación europea, sigue siendo global en su ámbito territorial. Esto se debe a que se aplica a cualquier organización que atiende a los residentes del EEE o procesa sus datos como parte rutinaria de su operación comercial.
Los requisitos de ciberseguridad del RGPD están definidos de forma muy vaga, limitándose a indicar que se deben dar a los datos personales niveles adecuados de protección en consonancia con el riesgo para esos datos y el coste de la implementación. Esto pone de relieve la importancia de la responsabilidad y la rendición de cuentas para la seguridad de sus implementaciones basadas en la nube, a través de políticas, medidas y procedimientos claros de gobernanza de datos que ayudan a demostrar el cumplimiento.
Y don'No hay que olvidar que el RGPD abarca mucho más que la ciberseguridad. Por ejemplo, usted'Es necesario tener en cuenta:
Minimización de datos: Solo debe recopilar datos personales que'Es realmente necesario para cumplir con su propósito.
Limitación de almacenamiento: No debe almacenarlo por más tiempo del necesario.
Residencia de datos: Solo debe procesarlos y almacenarlos dentro del EEE, a menos que el interesado haya dado su consentimiento o que la transferencia de datos a un tercer país cumpla con requisitos muy específicos del RGPD.
Derecho de acceso: Debe cumplir con las solicitudes de los interesados de obtener una copia de los datos personales que tiene sobre ellos.
Derecho de supresión: En determinadas circunstancias, también debe eliminar los datos personales de cualquier persona que lo solicite.
Desde que abandonó la UE, el Reino Unido ha adoptado su propia implementación del RGPD, que es prácticamente la misma que la de su homólogo de la UE.
Ley de Resiliencia Operativa Digital (DORA)
La Ley de Resiliencia Operativa Digital (DORA) tiene como objetivo proteger a Europa'del sector financiero frente a las perturbaciones y los ataques cibernéticos mediante la creación de un marco uniforme de gestión de riesgos de las TIC. Se estima que el acto afectan a más de 22.000 entidades financieras y proveedores de TIC, incluidos bancos, aseguradoras y servicios en la nube.
Los principales objetivos de DORA son:
crear un marco global de gestión de riesgos en materia de TIC;
Llevar a cabo evaluaciones de riesgos periódicas
garantizar que todos los incidentes graves relacionados con las TIC se informen con prontitud a las autoridades;
DORA: Everything You Need to Know
In this whitepaper, discover the ins and outs of this new set of regulations that applies to over 22,000 organizations in the European Union (EU).
Download Whitepaper
Ley Federal de Gestión de Seguridad de la Información (FISMA)
FISMA es EE.UU. marco legislativo que las agencias federales, junto con las empresas privadas que prestan servicios al sector público, deben adoptar para proteger la información gubernamental bajo su cuidado. Está construido sobre la base de FIPS 199, FIPS 200y NIST SP 800-53, donde utilizaría:
FIPS 199 para categorizar su información y sistemas de información en función del impacto potencial (bajo, moderado o alto) en caso de pérdida de confidencialidad, integridad o disponibilidad.
FIPS 200 para determinar los objetivos de seguridad de su organización en función de su evaluación FIPS 199.
Los resultados de las evaluaciones FIPS 199 y FIPS 200 para seleccionar los controles de seguridad de línea base NIST SP 800-53 adecuados que se aplican a su organización.
Aunque solo se aplica a las agencias federales y sus contratistas, el cumplimiento de FISMA es beneficioso para cualquier otra organización, ya que puede abrir nuevas puertas a los negocios con organismos gubernamentales.
Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA)
Conocido como el Regla de seguridad de HIPAA, este conjunto de estándares nacionales de cumplimiento está destinado a proteger la información confidencial de atención médica de los pacientes en los Estados Unidos. La norma forma parte de los objetivos más amplios de la HIPAA, como agilizar la administración de la atención médica y garantizar una cobertura de seguro médico ininterrumpida para los empleados que pierden o cambian de trabajo.
La HIPAA cubre a cualquier organización que maneje directamente información de salud personal, como proveedores de atención médica, compañías de seguros de salud y servicios de facturación asociados.
Ley Sarbanes-Oxley (SOX)
SOX es una ley federal destinada a proteger a los accionistas, empleados y miembros del público de prácticas contables y financieras negligentes o fraudulentas.
La ley se centra principalmente en la regulación de la información financiera, los procedimientos de auditoría interna y otras prácticas comerciales de las empresas públicas. Sin embargo, también incluye requisitos de cumplimiento en relación con la tecnología de la información. Por ejemplo, debe supervisar los registros y mantener una pista de auditoría completa de la actividad de los usuarios que involucra datos confidenciales. Además, incluye una gama limitada de seguridad de datos, disponibilidad y otros controles de acceso.
Normas y marcos
Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS)
Un estándar contractual, que se aplica a cualquier organización que acepte o procese pagos con tarjeta. PCI DSS está diseñado para ayudar a garantizar la seguridad de los datos confidenciales de los titulares de tarjetas. Es administrado por el Consejo de Estándares PCI, un organismo de las principales partes interesadas de la industria de pagos.
El marco comprende una serie de requisitos técnicos y operativos, incluidas disposiciones para Cortafuegos, encriptacióny control de acceso.
Para ayudar a los comerciantes y proveedores de servicios a comprender estos requisitos en el contexto de la nube, el Consejo de Estándares PCI ha publicado un informe en línea guiar sobre el impacto de la computación en la nube en el cumplimiento de PCI DSS. Esto incluye un ejemplo de matriz de responsabilidad compartida, que sirve como punto de partida para comprender la forma en que las obligaciones de cumplimiento pueden compartirse entre el cliente y el proveedor de servicios en la nube.
Instituto Nacional de Estándares y Tecnología (NIST SP 800-53)
Esta biblioteca de controles técnicos y operativos tiene como objetivo proteger la integridad, confidencialidad y seguridad de los sistemas de información. Es obligatorio para EE. UU. organismos gubernamentales y contratistas con acceso a los sistemas federales, que sirven como un componente central de la FISMA. Además, sustenta toda la cascada de diferentes marcos que respaldan el cumplimiento de FISMA.
En términos sencillos, NIST SP 800-53 se divide en diferentes categorías de controles de referencia, que se seleccionan en función del riesgo para los datos.
Programa Federal de Gestión de Riesgos y Autorizaciones (FedRAMP)
Esta versión simplificada de FISMA está adaptada específicamente al uso gubernamental de los proveedores de servicios en la nube (CSP).
Se guía por el modelo de responsabilidad compartida de la nube, mediante el cual separa los requisitos en dos conjuntos de controles: uno para el CSP y otro para la agencia federal o contratista que utiliza sus servicios. Esto simplifica el cumplimiento de FISMA y ayuda a evitar la duplicación innecesaria de los objetivos de seguridad.
Para garantizar el cumplimiento total, la agencia federal o el contratista deben usar un CSP con autorización de FedRAMP y cumplir con sus propias obligaciones de FedRAMP.
Controles del sistema y de la organización 2 (SOC 2)
SOC 2, un marco de cumplimiento voluntario, ayuda a las organizaciones de servicios a garantizar a los clientes que cuentan con las medidas adecuadas para proteger los datos confidenciales bajo su control. La certificación SOC 2 es una necesidad para muchos servicios subcontratados en los Estados Unidos, donde los clientes a menudo la requieren como parte de los acuerdos contractuales.
Debe pasar una auditoría anual independiente de su postura de seguridad para mantener el cumplimiento de SOC 2. La evaluación se basa en cinco grandes categorías de controles:seguridad, disponibilidad, Integridad del procesamiento, confidencialidady privacidad.
Centro de Controles de Seguridad Crítica de Internet (CIS Controls)
Un conjunto voluntario de controles de seguridad esenciales que las organizaciones deben implementar como prioridad. Controles CIS están diseñados como punto de partida para los sistemas de endurecimiento. Esto se debe a que se centran en las medidas que tienen el impacto más efectivo e inmediato. Son especialmente útiles para los departamentos de TI con recursos y experiencia en seguridad limitados.
Resumen de las principales regulaciones y estándares de protección de datos
| Regulation or Framework | Applies to | Scope | Territorial Scope | Compliance Responsibility |
|---|---|---|---|---|
| GDPR | Any organization that processes data about EEA citizens | Data security and availability, handling of personal data, and rights of data subjects | Anywhere in the world | Mandatory |
| FISMA | Federal agencies and their contractors, along with any CSPs they use | Security and privacy of data on federal systems | United States | Mandatory |
| HIPAA Privacy Rule | Healthcare providers, health insurance companies, and associated billing services | Security and privacy of healthcare information | United States | Mandatory except where state law takes precedence |
| SOX | Publicly traded companies | Largely financial and business practices, but also covers IT controls | United States | Mandatory for public companies although some requirements also apply to private companies and non-profit organizations |
| PCI DSS | Any organization that accepts or processes card payments | Data security | Anywhere in the world | Contractual |
| NIST SP 800-53 | Federal agencies and their contractors, along with any CSPs they use | Security and privacy of federal data | United States | Mandatory |
| FedRAMP | Federal agencies and their contractors, along with any CSPs they use | Security and privacy of federal data processed or stored in the cloud | United States | Mandatory |
| SOC 2 | Mainly SaaS vendors, companies that provide analytics and business intelligence services, financial institutions, and other organizations that store sensitive customer information | Data security, availability, processing integrity, confidentiality, and privacy | Globally recognized but mainly adopted in United States | Voluntary |
| CIS Controls | Organizations of any size and in any industry sector | Data security | Globally recognized | Voluntary |
Cumplimiento de la nube por parte de CSP
Programas de cumplimiento
Al comienzo de su iniciativa de cumplimiento de la nube,'Tendrá que asegurarse de que su CSP sea capaz de cumplir con su parte del trato de responsabilidad compartida. Dada la gran cantidad de regulaciones y estándares que pueden afectar a su organización, este proceso de investigación puede parecer una tarea formidable.
Sin embargo, cada uno de los tres grandes proveedores: AWS, Microsoft Azurey Plataforma en la nube de Google – Proporciona un portal de cumplimiento en línea para ayudar a los clientes a comprobar que sus plataformas tienen la certificación, la atestación o la alineación adecuadas que requieren.
Además, facilitan la revisión de sus ofertas de cumplimiento agrupándolas en diferentes categorías, como sectores industriales y regiones territoriales.
Herramientas de cumplimiento
Cada proveedor también ofrece una serie de otros servicios internos para respaldar y ayudar a demostrar el cumplimiento. Entre ellas se encuentran:
Artefacto de AWS: Un portal de autoservicio que proporciona acceso bajo demanda al proveedor'Documentación y acuerdos de cumplimiento. Esto proporciona una forma rápida y eficiente para que los clientes evalúen la conformidad de los servicios de AWS que utilizan y obtengan pruebas de los controles adecuados de los proveedores que pueden necesitar proporcionar a los auditores o reguladores.
Administrador de auditoría de AWS: Una solución que audita continuamente los controles que'se ha implementado en sus entornos de AWS invitados para cumplir con una amplia variedad de regulaciones y estándares diferentes.
Azure Blueprints: Un servicio de plantillas de recursos para crear y administrar entornos que cumplan con estándares y requisitos predefinidos. Los planos técnicos son, básicamente, conjuntos empaquetados de artefactos para implementar entornos totalmente gobernados en la plataforma Azure.
Azure Policy: Un servicio centralizado de administración de políticas a través del cual puede crear y mantener conjuntos de reglas que garanticen que los servicios estén configurados con las propiedades predeterminadas de permitir y denegar recursos. También puede alertarle cada vez que los recursos se desvíen de las reglas de directiva y corregir automáticamente las infracciones de cumplimiento.
Cargas de trabajo aseguradas por Google: Una herramienta que respalda el cumplimiento mediante la aplicación automática de controles a las cargas de trabajo para que cumplan con los requisitos de los marcos normativos especificados. Por ejemplo, solo le permitirá alojar datos en regiones de nube dentro de los límites del territorio permitidos por el programa de cumplimiento que'De esta manera, la mayoría de las personas que También configura los servicios de cifrado apropiados según lo exige la ley y aplica controles de acceso de acuerdo con los requisitos de soberanía de datos.
Regiones en la nube
Además del RGPD, muchas otras regulaciones de protección de datos en todo el mundo incluyen requisitos de residencia de datos que rigen dónde puede almacenar y procesar información personal sobre los interesados.
De modo que usted'Deberá asegurarse de que su CSP ofrezca una presencia de centro de datos en los países permitidos por la ley. Si elige alojar sus cargas de trabajo en una de las tres grandes plataformas de proveedores de nube, esto debería ser relativamente sencillo, ya que ahora tienen un total combinado de más de 130 regiones de centros de datos en todo el mundo.
Prácticas recomendadas esenciales de cumplimiento de la nube
Dejar'S Revise algunas prácticas recomendadas esenciales para garantizar la seguridad, el cumplimiento y la administración eficiente de su entorno en la nube. Las prácticas se clasifican en tres áreas principales:
1. Seguridad de los datos
Garantizar la confidencialidad, integridad y disponibilidad de los datos almacenados en la nube.
Clasificación y gobernanza de datos:
Implemente esquemas de clasificación de datos para categorizar los datos en función de la confidencialidad y los requisitos normativos.
Desarrolle y aplique políticas de gobernanza de datos que dicten cómo se manejan, almacenan y acceden a los datos.
Cifrado y gestión de claves:
Cifre los datos en reposo y en tránsito utilizando estándares de cifrado sólidos (por ejemplo, AES-256) para proteger la información confidencial.
Administre las claves de cifrado de forma segura, asegurándose de que solo el personal autorizado tenga acceso, y utilice prácticas sólidas de administración de claves.
Control de acceso y gestión de identidades:
Aplique políticas de acceso con privilegios mínimos, garantizando que los usuarios solo tengan el acceso mínimo necesario para desempeñar sus funciones.
Utilice la autenticación multifactor (MFA) para agregar una capa adicional de seguridad para acceder a los servicios en la nube.
2. Gestión de la configuración
El proceso de mantener sistemas, servidores y software en un estado deseado y coherente.
Uso seguro de la API:
Asegúrese de que las API que interactúan con los servicios en la nube estén diseñadas de forma segura, con autenticación y cifrado sólidos para los datos en tránsito.
Revise y actualice periódicamente las políticas de acceso a la API para reflejar los cambios en los roles de usuario o los servicios.
Gestión de parches:
Implemente un proceso eficaz de gestión de parches para garantizar que todos los componentes de software e infraestructura estén actualizados con los últimos parches de seguridad.
Configuración y segmentación de la red:
Configure los ajustes de la red en la nube para aplicar las políticas de seguridad, incluidos los firewalls, los sistemas de detección de intrusos y otras defensas perimetrales.
Utilice la segmentación de red para aislar datos y sistemas confidenciales, lo que reduce el impacto potencial de una infracción.
3. Estrategia & Monitorización
Prácticas y procedimientos generales para administrar y supervisar la seguridad y el cumplimiento de la nube en la nube.
Cumplimiento y concienciación regulatoria:
Manténgase informado sobre las regulaciones relevantes y los requisitos de cumplimiento específicos de su industria y regiones de operación, como GDPR, HIPAA o PCI-DSS.
Comprenda el modelo de responsabilidad compartida en la computación en la nube, delineando claramente las responsabilidades de seguridad entre su organización y el proveedor de servicios en la nube (CSP).
Evaluaciones y auditorías de seguridad:
Realice evaluaciones de seguridad periódicas, incluidos análisis de vulnerabilidades y pruebas de penetración, para identificar y mitigar posibles brechas de seguridad.
Realizar auditorías de cumplimiento para garantizar el cumplimiento continuo de las políticas internas y las regulaciones externas. Mantenga pistas de auditoría y registros para la rendición de cuentas y el análisis forense.
Capacitación y concientización de los empleados:
Proporcione capacitación periódica sobre las mejores prácticas de seguridad, los requisitos de cumplimiento y las amenazas emergentes a todos los empleados.
Fomentar una cultura de concienciación sobre la seguridad, haciendo hincapié en la importancia del papel de cada individuo en el mantenimiento del cumplimiento y la protección de datos.
Respuesta a incidentes:
Desarrollar y mantener un plan de respuesta a incidentes documentado que describa los procedimientos para detectar, contener, erradicar y recuperarse de incidentes de seguridad.
Pruebe periódicamente el plan de respuesta a incidentes para garantizar su eficacia.
Especificaciones del proveedor de nube:
Si bien muchas de las mejores prácticas son comunes en todos los proveedores de nube (AWS, Azure, GCP), algunos pueden tener ligeras variaciones en la implementación o utilizar características de seguridad únicas.
Familiarícese con su proveedor de nube específico's documentación de seguridad y mejores prácticas.
Qué buscar en una solución de cumplimiento en la nube
El cumplimiento de la normativa en la nube no es un reto fácil dada la complejidad de los entornos basados en la nube y la gran cantidad de normativas y estándares diferentes que pueden determinar potencialmente su propio conjunto individual de controles.
La buena noticia es que muchos de los requisitos son básicamente los mismos, con una fuerte superposición entre diferentes marcos. Sin embargo, hacer un seguimiento tanto de las responsabilidades superpuestas como de las que son exclusivas de marcos específicos es una tarea manual formidable y que requiere mucho tiempo.
Entonces, ¿cómo superar este desafío? ¿Cómo puede evitar duplicar sus esfuerzos de cumplimiento? ¿Cómo se asigna la composición técnica de la nube a la postura de cumplimiento? ¿Y cómo optimiza sus esfuerzos de cumplimiento en una implementación multinube compleja?
Ese's donde las herramientas de cumplimiento de terceros pueden ayudar.
Ellos're diseñado para monitorear y comparar continuamente sus implementaciones en la nube con una amplia gama de marcos de cumplimiento. Por ejemplo, deberían poder comprobar si cuenta con los controles de seguridad de red adecuados para proteger los datos de los titulares de tarjetas de pago, de acuerdo con el Requisito 1 de PCI DSS. También deben evaluar la postura de seguridad de las implementaciones complejas basadas en la nube, como las cargas de trabajo en contenedores, según sea necesario para ayudar a cumplir con los requisitos más recientes de los marcos técnicos, como los controles CIS. Sin embargo, estos son solo dos de los cientos de comprobaciones integradas que forman parte de una plataforma de cumplimiento continuo altamente desarrollada.
Sin embargo, la evaluación comparativa no es'Es la única característica que debe buscar en una solución de cumplimiento en la nube.
Además, debe ofrecer una forma de crear marcos personalizados para que pueda cumplir con sus propios requisitos internos o los de otras organizaciones en la cadena de suministro de software.
También debe integrarse con plataformas de mensajería y tickets para dirigir automáticamente los problemas a los equipos adecuados. Y debe proporcionar capacidades de corrección automatizadas para que pueda corregir de manera rápida y eficiente las configuraciones incorrectas comunes y persistentes.
Por último, debe proporcionar una gama completa de informes de evaluación, desde información detallada y detallada hasta resúmenes ejecutivos de alto nivel. De esa manera, todos los miembros de su organización tendrán la información que necesitan para realizar un seguimiento de su postura de cumplimiento.
See how Wiz eliminates the manual effort and complexity of achieving compliance in dynamic and multi-cloud environments.
