Protección de datos en la nube: 3 buenas prácticas

La “Global DataSphere” o “dataesfera” está creciendo de forma exponencial. IDC predice que para 2026 la cantidad de datos en el mundo se habrá duplicado nuevamente. Aunque la mayoría de las empresas han digitalizado sus operaciones, siguen añadiendo más volumen de trabajo y creando cada vez más datos. Así pues, conforme la cantidad de datos que éstas deben manejar crece exponencialmente, migrar a la nube implementando una estrategia elaborada ofrece ventajas significativas como escalabilidad, flexibilidad y rentabilidad.

Pero ¿puede esto durar para siempre? Gartner prevé que el gasto total de los usuarios finales de todo el mundo en servicios de nube pública alcanzará la cifra récord de $592,000 millones de dólares este año, 21% más que en 2022. Este rápido nivel de crecimiento y migración plantea algunas preocupaciones a nivel empresarial, ya que las rápidas migraciones “lift and shift” denotan que no siguen buenas prácticas para una Protección de Datos Moderna. Según la Cloud Security Alliance (CSA), el 96% de las empresas afirman no disponer de la seguridad necesaria para el cuidado de los datos críticos en la nube –por esta razón, en general, nos queda mucho camino por recorrer–. He aquí tres buenas prácticas para que las empresas protejan sus datos en la nube. 

1. Conozca sus datos

El primer paso para resolver cualquier problema es saber a qué nos enfrentamos. Antes de proteger algo, hay que saber qué, quién y dónde se almacena. ¿Utilizan todos en la organización las mismas cuentas? Para asegurarse de que esto se hace correctamente, los equipos de TI tienen que jugar a ser detectives o emprender un viaje de descubrimiento por toda la empresa. Para encontrar estos hilos conductores, suele ser necesario revisar las finanzas y recopilar facturas de los costos de la nube en toda la organización.

Cuando se juntan los datos que guardan la mayoría de ellas, tanto si se han migrado desde on-premise como si se han almacenado originalmente en la nube, es un conjunto enorme. Los humanos somos acumuladores por naturaleza, y el mundo digital no es una excepción. Aunque el “garaje virtual” de la nube puede almacenar infinitas cajas de datos, localizarlo todo es sólo la mitad de la batalla. Para saber qué datos son críticos y sensibles, estos deben clasificarse. Los motores automatizados de clasificación de datos pueden ayudar a organizarlos, para que no esté intentando protegerlo todo a ciegas hasta la más mínima expresión. Una vez que sepa exactamente qué tiene almacenado en la nube (y dónde), sólo entonces podrá empezar a estudiar cómo proteger esos datos.

Como las organizaciones pueden migrar datos a la nube sin mayor dificultad, es posible que los equipos encargados de hacerlo no hayan dado prioridad a los procesos de seguridad y de red necesarios; si la migración se ha hecho demasiado rápido, es fácil que esto ocurra. Asimismo, como la nube es un entorno completamente diferente, pero que hay que cuidar, suelen pasarse cosas por alto: hay muchos tipos de servicios nuevos que no siempre existen on-premise y muchos de ellos deben protegerse y recuperarse en caso de ataques o interrupciones. Algunos ejemplos son el código en el almacenamiento en la nube, las aplicaciones que aprovechan otros servicios y las APIs proporcionadas en ésta.

2. Conozca sus responsabilidades

Un problema clave es que las empresas a menudo no se dan cuenta exactamente de que son responsables en materia de seguridad y protección de datos en la nube. Existe un gran desconocimiento del modelo de responsabilidad compartida en el que se basa la seguridad en este entorno. Asumen que el proveedor es responsable de ciertas medidas de seguridad cuando, en realidad, también es su trabajo. Aunque depende del proveedor de nube, normalmente estos son responsables de la seguridad de la infraestructura y de las instalaciones físicas que la albergan. La seguridad de las aplicaciones, los datos y el acceso al entorno, sin embargo, es responsabilidad del cliente.

En la práctica, esto significa que las organizaciones deben asegurarse de que tienen respaldo de todos los datos relevantes y sensibles almacenados en la nube en caso de violaciones o interrupciones. La mejor práctica es disponer de varios respaldos en diferentes ubicaciones (por ejemplo, una on-premise y otra en la nube) y tener copias en diferentes ambientes, con al menos una de ellas fuera de las instalaciones, desconectada e inmutable, o mejor aún, las tres cosas.

La otra responsabilidad vital en materia de seguridad que incumbe a la empresa es controlar el acceso y los permisos. Si todos los usuarios de la nube tienen acceso al “Modo Dios”, cualquier brecha va a ser devastadora. Lo mismo ocurre si se usa una sola cuenta para hacer funciones diferentes, como la protección y el suministro. La mejor práctica posible en este caso es asegurarse de que se utilizan varias cuentas, gestionando correctamente los accesos e identidades en todas las cuentas y suscripciones para poder eliminar fácilmente el dominio en caso de una violación de la seguridad. A nivel de usuario, asegúrese de que se sigue el principio del permiso mínimo en todo el entorno de nube, de modo que las personas sólo tengan acceso a los recursos y entornos que requieren.

3. Mantenga la rentabilidad

Ciertamente, poner en práctica los dos principios anteriores será un proyecto importante para la gran mayoría de las empresas. Pero la buena noticia es que la pesada carga inicial no se mantendrá a largo plazo; es decir, no mantendrá la misma escala de costos. Sin embargo, para mantener el entorno de la nube sano y rentable a largo plazo, es importante contar con procesos de higiene de datos en la nube.

Asegúrese de contar con un ciclo de vida de datos adecuado. Sin él, el buen trabajo realizado inicialmente se volverá ineficaz y costoso con el tiempo; la empresa pagará por almacenar y proteger los datos incorrectos de las formas equivocadas. Deben estar en la plataforma de almacenamiento adecuada, y esto irá cambiando durante su ciclo de vida. Por ejemplo, pueden pasar de los recursos de bloques al almacenamiento de objetos o al almacenamiento de archivos. Los costos asociados son variables, así que asegúrese de no almacenar (o respaldar) de forma ineficiente.

Ésta es una pequeña parte para evitar un posible “shock de facturación” por los costos informáticos y de almacenamiento. Más allá de los simples datos, están los costos de API, la salida (transferencia) de datos y otros. Siempre recomiendo a las empresas tener un “modelo económico de nube” establecido para evitar que estos se acumulen, y garantizar que el gasto se ajuste a las expectativas. Para utilizar una analogía de la vida real, si hay una luz encendida o uno se olvida de cancelar una suscripción que ya no utiliza, sus facturas mensuales serán más altas de lo esperado. Si esto ocurre en un entorno de nube empresarial, la cuenta total puede ser exorbitante.

A medida que la cantidad de datos almacenados por las empresas (y por el mundo) siga creciendo durante los próximos 5 años, la nube se convertirá en una pieza vital del rompecabezas de la gestión de datos. Las organizaciones no deben limitarse a almacenar y proteger sus datos, sino que deben buscar formas de utilizarlos y generar valor para su negocio y sus clientes. Esto requiere una refactorización para lograr una mayor agilidad, pero también significa que está preparada para “lo que sea”. La informática de la nube es dinámica y seguirá evolucionando, por lo que las buenas prácticas cambiarán. Si las empresas se centran ahora en los datos, tanto en la nube como en las instalaciones, estarán preparadas para lo que les depare el futuro.