Una afición de muchos consultores de seguridad es encontrar puntos débiles fácilmente explotables en los principales proveedores de almacenamiento en la nube y de servicios. Estos profesionales lo hacen con una misión positiva, pero le garantizamos que los delincuentes también están haciendo lo mismo y estarán encantados de robar sus datos desprotegidos.

Por Chris Knight

Kevin Beaumont es un consultor de seguridad de alto perfil y, cuando tuitea sobre debilidades en sistemas en la nube (como la reciente filtración de Capital One desde AWS de Amazon), puede estar seguro de que muchos hackers toman nota. Y, cuando los buckets de datos de Amazon S3 son un tema de debate destacado en eventos de hackers como DefCon, queda claro que los riesgos de utilizarlos de forma insegura son elevados.

Los problemas son dobles. A pesar de la naturaleza automatizada del uso de servicios en la nube, sigue habiendo personas implicadas, y basta con un empleado actual o ex empleado descontento con las credenciales de inicio de sesión adecuadas para sustraer sus datos; o puede haber alguien que trabaje en un tercero con acceso y que decida que puede ganar algo de dinero.

El segundo problema es el uso clásico de contraseñas/credenciales débiles y no revisar los registros del sistema para ver quién accede a esos servicios y a sus datos. Muchas empresas dependen de sus datos, pero no tienen tiempo o concienciación en seguridad para comprobar que los datos están protegidos, que los permisos de acceso se gestionan y que las contraseñas se cambian con regularidad, especialmente cuando alguien deja la empresa.

Existe el riesgo de que muchas empresas ni siquiera sepan qué es una instantánea de EBS (elastic block storage). Si no se configuran correctamente, cualquiera puede explorarlas y encontrar datos, claves de aplicaciones y otra información útil, poniendo en riesgo a toda la empresa.

Protección de su nube y otros servicios

Este paraíso para hackers es el resultado de que las empresas carezcan de la información o la experiencia básica en seguridad a medida que crecen. La concienciación en seguridad de TI debe estar en el centro de cada decisión empresarial y de cada proceso de TI, desde redes seguras hasta permisos de acceso sólidos. Y si su empresa carece de ese conocimiento, debe contar con un socio de seguridad; y hoy es el mínimo imprescindible para empezar ese camino, ya que mañana podría ser demasiado tarde.

Sin proteger la empresa, su información de clientes podría ser robada, lo que conllevaría procesos judiciales y multas. Sus bases de datos podrían ser secuestradas por ransomware o borradas, paralizando la empresa, o vendidas a competidores. Incluso perder el acceso a los servicios puede dañar la reputación y los ingresos de una empresa.

A medida que crece el número de incidentes de seguridad relacionados con TI, su empresa puede no parecer un objetivo. Sin embargo, cuanto más dependa de la nube y de servicios de terceros —y cuantas más personas tengan acceso—, mayor será el riesgo. Amazon y otros proveedores de nube cuentan con su propia seguridad, pero corresponde a las personas gestionar correctamente todas las funciones y configuraciones, algo que crea puntos débiles, especialmente cuando toda la atención está puesta en hacer crecer el negocio.

Contar con un experto puede reforzar su seguridad e identificar puntos débiles en toda la infraestructura de TI de la empresa, lo que convierte los servicios de KokoBo.net en un elemento esencial que podría salvar a cualquier empresa de una crisis o evitar que tenga que cerrar.