¿Cómo saber si las aplicaciones de mi proveedor cloud son seguras?

Ya hemos hablado en otras ocasiones de cómo vender un servicio de cloud computing. Y siempre hay una norma que se repite: la seguridad. Para cualquier empresa, asegurar sus datos es vital, no solo se trata de que los servidores estén protegidos, si no que las aplicaciones también deben estar preparadas «a prueba de bombas». En el blog de IBM nos ofrecen unos sencillos consejos para asegurar estos servicios.

1. Qué significa seguro.

Defínelo. Si sabes lo que quiere es más fácil conseguirlo, se trata de saber cuales son nuestros objetivos y de la misma forma deben establecerse en temas de seguridad. Es importante revisar los requisitos de seguridad que pedimos para cualquier aplicación o servicio que se está utilizando en la empresa y que como éstas pueden exportarse hacia la nube.

Cuando se trata de definir requisitos de seguridad en servicios cloud, no hay que olvidar los sistemas físicos y las restricciones personales. Nuestros data centers o los de nuestros proveedores tienen que estar protegidos, tanto para posibles robos como por caídas de energía. Otro punto a considerar es la ubicación geográfica, cada país tiene sus propias restricciones en privacidad de datos y su acceso, por ello es muy importante conocerlas y saber que acceso tenemos  nosotros mismos a nuestros propios datos.

2. Auditorías

Algunas empresas se sienten cómodas por sus propios proveedores les ofrecen cualquier tipo de informes de verificación como son los PCI DSS (Roc Payment Card Industry Data Security Standard Report on Compliance), certificaciónes ISO/IEC 27001 o informes SSAE 16 SOC2 (was SAS 70 Type II). Aunque son informes útiles, no cuentan todas las situaciones de riesgo en las que se puede encontrar tanto un proveedor como las aplicaciones cloud.

Otra posibilidad podría ser incluir un «derecho de auditorías» una cláusula de contrato con el proveedor que le permite, al ser nuestro cliente, llevar a cabo tareas de auditorías, éstas dependerán de lo que se estipule en el contrato.

3. Considerar el CSA STAR (Cloud Security Alliance Security Trust & Assurance Registry)

Este servicio, el «Cloud Security Alliance Security Trust & Assurance Registry», que en español quiere decir, alianza de seguridad y confianza en el cloud y el registro de garantía, es un registro accesible al público en el que se documentan los controles de seguridad proporcionados por distintos proveedores cloud. De esta forma ayuda a los usuarios a evaluar la seguridad de los proveedores cloud, ya sea si lo están utilizando o si están pensando contratar una solución.