Puntos clave
- Modelo de responsabilidad compartida en las aplicaciones cloud: los proveedores cloud protegen la infraestructura, pero cada organización es responsable de gestionar los accesos, las configuraciones y de proteger sus propios datos.
- Los ajustes predeterminados no bastan: tanto esos ajustes como las protecciones nativas necesitan una configuración correcta, supervisión continua y gestión activa para evitar vulnerabilidades.
- Seguridad por capas: una protección eficaz de los datos en el cloud combina gestión de identidades y accesos (IAM), cifrado, configuración segura, supervisión y copia de seguridad y recuperación.
- El papel del IAM en la seguridad de los datos en el cloud: medidas como la autenticación multifactor, el acceso basado en roles y la eliminación de cuentas inactivas reducen notablemente el riesgo de accesos no autorizados.
- El factor humano y la ciberseguridad: incluso un pequeño error de configuración o un usuario sin formación pueden provocar una exposición masiva de datos, así que la supervisión, las auditorías y la formación de los usuarios son imprescindibles.
Las aplicaciones cloud y SaaS se han convertido en un elemento fijo de muchas oficinas modernas. Fíjate en Microsoft 365 y Google Workspace: ambos se usan de forma masiva para almacenar y gestionar datos de empresa. Son aplicaciones indudablemente útiles, pero la cuestión de la seguridad de los datos nunca desaparece.
En general, la mayoría de las aplicaciones SaaS y cloud incluyen funciones de seguridad integradas; sin embargo, esas funciones no eliminan la necesidad de una configuración correcta ni de una protección continua. Por eso las organizaciones siguen teniendo que gestionar los accesos, supervisar el uso y aplicar controles de seguridad para mantener la seguridad de los datos en SaaS.
Este artículo ofrece una visión general de cómo proteger los datos de tus aplicaciones cloud en entornos SaaS mediante prácticas ya probadas.
Cómo proteger los datos de las aplicaciones cloud: buenas prácticas
Proteger tus datos en el cloud no se consigue de un día para otro. Hace falta varias capas de control, de modo que cuando una medida falle, otra la cubra. No existe un proceso definitivo paso a paso para proteger los datos en el cloud, pero sí buenas prácticas generales que puedes poner en marcha.
Estas son algunas de ellas:
Gestión de identidades y accesos
La gestión de identidades y accesos (IAM) ayuda a las organizaciones a controlar quién accede a sus recursos. En las aplicaciones SaaS y cloud, aplicar prácticas de IAM refuerza la seguridad porque permite que determinados usuarios o roles accedan únicamente a los datos que necesitan.
Prácticas clave:
- Exigir autenticación multifactor
- Usar acceso basado en roles en lugar de permisos totales
- Eliminar las cuentas inactivas
Según la estructura de tu organización, quizá necesites o prefieras añadir más medidas de seguridad.
Configuración segura
Revisar los ajustes predeterminados de tu sistema es fundamental para proteger tus configuraciones de seguridad frente a las amenazas. En las aplicaciones SaaS y cloud, esto implica:
- Restringir el uso compartido público de archivos para que los datos no salgan de la organización
- Revisar los permisos predeterminados
- Limitar el acceso externo
Estas acciones ayudan a evitar filtraciones de datos, sobre todo las que vienen de fuera.
Cifrado
El cifrado protege los datos haciéndolos ilegibles para cualquier usuario no autorizado. Así se añade una capa más de seguridad a los datos y a la privacidad de tu organización. El cifrado resulta especialmente importante en la seguridad cloud, porque garantiza que los archivos sigan protegidos mientras se mueven o se almacenan en aplicaciones basadas en el cloud.
Supervisión y auditoría
Hacer seguimiento de la actividad de los usuarios y de los registros de acceso, configurar alertas ante comportamientos anómalos y revisar periódicamente los registros de auditoría son buenas prácticas en cualquier contexto, porque permiten a los equipos de TI detectar y frenar amenazas potenciales con facilidad.
Copia de seguridad y recuperación
La última capa consiste en poder recuperar los datos sin complicaciones en caso de pérdida o filtración. Aquí entran en juego la copia de seguridad de datos y la recuperación. Establecer buenas prácticas de copia de seguridad para tus datos SaaS y cloud es necesario para que tu organización no pierda información crítica.
Prácticas clave:
- Usar copias de seguridad automatizadas para los datos críticos
- Mantener copias independientes fuera de la plataforma
- Probar los procesos de recuperación
Con cada paso trabajando en conjunto, este enfoque por capas de la seguridad de los datos en el cloud ayuda a las organizaciones a reforzar su postura de seguridad y a evitar la pérdida de datos.
Cómo proteger los datos sensibles en las aplicaciones SaaS
Trabajar con datos sensibles exige un enfoque más estricto, ya que así se reduce el riesgo de exposición.
En aplicaciones SaaS y cloud, se recomienda encarecidamente aplicar estas medidas cuando manejas datos sensibles:
- Clasificar los datos según su nivel de sensibilidad
- Restringir el acceso a la información crítica
- Supervisar el acceso a los registros sensibles
- Limitar las integraciones que manejan datos sensibles
- Aplicar controles adicionales a los datos sujetos a normativa
Diferencias entre la seguridad de las aplicaciones cloud y la seguridad de los datos en SaaS
Las aplicaciones basadas en el cloud y las aplicaciones SaaS funcionan bajo un modelo de responsabilidad compartida, lo que significa que:
- Los proveedores protegen la infraestructura
- Los clientes gestionan el acceso, la configuración y la protección de los datos
A diferencia de los entornos tradicionales, que dependían en gran medida del control directo sobre los protocolos de seguridad, la seguridad de las aplicaciones cloud se gestiona con un enfoque más proactivo y por capas.
Para concretar, puedes repasar algunas de las diferencias clave entre la seguridad de los datos en el cloud y en los entornos tradicionales:
| Aspecto o función | Entornos tradicionales | Entornos basados en el cloud |
| Patrones de acceso | Normalmente on-premise, con acceso remoto limitado | Acceso remoto desde múltiples dispositivos y ubicaciones |
| Foco de la seguridad | Perímetro de red y controles físicos | Identidad, gestión de accesos y permisos |
| Integraciones de terceros | Integraciones mínimas o controladas | Fuerte dependencia de aplicaciones y servicios de terceros |
| Complejidad de la configuración | Normalmente más estática y predecible | Dinámica; hay que contar con el riesgo de una exposición a gran escala por errores de configuración menores |
| Enfoque de seguridad | Suele ser más reactivo y basado en el perímetro | Suele ser más proactivo y depende en gran medida de la supervisión y la gestión de la configuración |
Ideas equivocadas habituales sobre la seguridad de las aplicaciones cloud
Los ajustes predeterminados son suficientes
Los ajustes predeterminados son las medidas de seguridad estándar ya preconfiguradas que vienen con un software o una aplicación. Se diseñaron para aportar una capa básica de seguridad, pero no siempre cubren todas las necesidades de una organización. Además, conviene siempre revisar esos ajustes para mitigar cualquier riesgo asociado a ellos.
Los usuarios internos no suponen ningún riesgo
El error humano sigue muy ligado a los riesgos de ciberseguridad. Los usuarios sin formación o poco concienciados pueden exponer a su organización sin querer a riesgos como ataques de phishing, robo de credenciales, fugas accidentales de datos, contraseñas débiles o un tratamiento inadecuado de información sensible. Para minimizar los riesgos que vienen de dentro hacen falta formación y concienciación continuas, además de fomentar el uso de las mejores prácticas de seguridad.
Los proveedores cloud protegen tus datos por completo
Las aplicaciones cloud y SaaS funcionan bajo un modelo de responsabilidad compartida. Esto significa que los proveedores cloud protegen la infraestructura, pero el cliente sigue siendo responsable de cómo usa la aplicación, incluido el modo en que gestiona las configuraciones de seguridad, los accesos y los datos. Los proveedores cloud están obligados a ofrecer una infraestructura segura, pero los usuarios tienen que gestionar sus datos de forma activa para garantizar una seguridad completa.
Las aplicaciones SaaS son seguras por sí mismas
Las aplicaciones SaaS también funcionan bajo un modelo de responsabilidad compartida, así que no es cierto afirmar que sean seguras por sí mismas. La mayoría cuenta con un conjunto de medidas de seguridad bastante sólido, pero el usuario sigue siendo responsable del tratamiento de los datos y de las configuraciones dentro de su organización.
En entornos cloud no hacen falta copias de seguridad
Aunque muchos proveedores de servicios cloud ofrecen almacenamiento para tus datos, eso no significa que esos datos estén protegidos de por sí frente a ciberataques, errores de configuración de la aplicación o un simple fallo humano. Si se pierden datos críticos en un entorno cloud y la organización no tiene forma de recuperarlos, puede verse afectada su actividad e incluso la confianza del público. Contar con un software de copia de seguridad independiente permite a las organizaciones recuperarse sin dificultad de una pérdida de datos y mantener su seguridad.
Protege tu información reforzando la seguridad de los datos en SaaS y cloud
Proteger los datos de las aplicaciones cloud requiere combinar control de accesos, cifrado, supervisión y copia de seguridad. Los proveedores cloud aportan una seguridad de base, pero las organizaciones deben gestionar de forma activa las configuraciones y los riesgos para que los datos sigan protegidos.
Temas relacionados:
- Cómo proteger tus datos en el cloud
- Qué es la gestión de la seguridad de los datos y por qué necesita una gobernanza continua
- Métodos de protección de datos para equipos de TI y MSP
- Cómo asignar las aplicaciones SaaS a cada departamento para ganar visibilidad
- (Guía en vídeo) Cómo asignar las aplicaciones SaaS a cada departamento para ganar visibilidad
