Nos hemos migrado 100% a la nube pero, ¿por dónde empezamos con la evaluación de seguridad en la nube?

Lo primero que deberían hacer es revisar los permisos de almacenamiento. Aunque muchos proveedores vienen cerrados por defecto, a veces durante la migración se da acceso de lectura pública por comodidad. Comprueben también si los puertos de administración de los servidores virtuales (sobre todo SSH o RDP) se han quedado abiertos a internet. Limítenlos únicamente a la IP fija de su oficina.

Tenemos una oficina de intermediación financiera de tamaño similar. El año pasado nos llegó un formulario parecido de un proveedor y contratamos a un experto independiente. Nos cobraron 2.200 GBP por una revisión de configuración de cuatro días. En el informe salieron ocho vulnerabilidades críticas, de las cuales seis eran simple mal uso de permisos de usuario. Si hacen el limpiado básico ustedes mismos antes de la auditoría externa, el coste baja muchísimo.

dile al de it q ponga ya mfa obligatorio con llave u2f o app de authenticator pa todas las cuentas admin. el sms ya no vale pa nada y en los formularios de auditoria es en lo primero q se fijan.

Los informes internos hechos con listas de control descargadas de internet no suelen convencer a la mayoría de los clientes corporativos. Muchas listas preguntan por políticas que solo existen en papel, pero no muestran las brechas reales del sistema. Si su cliente tiene que enviar el formulario de auditoría al área de riesgos para su aprobación, será muy difícil firmar ese contrato sin un informe de evaluación externa firmado.

Esto es lo que debe completar el primer día de la auditoría interna: 1) Exija la verificación en dos pasos en las sesiones de todos los empleados. 2) Cancele las claves API antiguas sin usar y las cuentas de servicio creadas durante la migración. 3) Active el panel de alertas de seguridad integrado que ofrece su proveedor de nube y resuelva los riesgos de alta prioridad en orden. 4) Verifique que las copias de seguridad de los datos estén aisladas en otra región.

¿El proveedor que hizo la migración no le dejó un documento de entrega? En ese documento debería figurar qué recursos virtuales se instalaron, dónde se guardan las claves de cifrado y cómo se protege la base de datos. Si no existe tal documento ¿no debería pedir primero el inventario del sistema al proveedor?

Los formularios de seguridad que envían los clientes corporativos suelen basarse en estándares internacionales de seguridad de la información. En estos formularios se le preguntará si su sistema ha pasado por pruebas de penetración y cuál es su plan de respuesta ante incidentes. Su equipo técnico interno puede solucionar las vulnerabilidades básicas de configuración, pero obtener un informe independiente para los compromisos legales con el cliente le protegerá de responsabilidades futuras.

Lo más rápido que puede hacer mañana por la mañana es abrir el centro de seguridad y cumplimiento integrado en su panel de la nube. Los proveedores suelen ofrecer una puntuación de seguridad gratuita y una lista con las deficiencias. Resolver las alertas rojas y tomar una captura de pantalla es un buen primer paso para demostrarle al cliente que el proceso ya ha comenzado.

Le agradecería que compartiera el resultado. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Eso es todo, disculpa si me he extendido demasiado.

Permíteme resumir lo que se ha dicho hasta ahora. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Hace mucho que oímos eso, pero a nosotros nunca nos pasó así... bueno que todo el mundo haga algo no significa que sea lo correcto.

Si no lo pones por escrito desde el principio luego surgen discusiones. Por supuesto, cambia si tu situación es diferente.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Antes de decidir, mirad qué datos tenéis en la mano.

Yo también tengo curiosidad. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Esta es mi opinión no lo escribo como una verdad absoluta.

Tengo una pregunta, no quiero desviarme del tema, pero... La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Comprobado por experiencia.

Hay una cosa a la que hay que prestar atención. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Aquí hay una trampa, no puedo dejar de mencionarla. Lo importante no es la cifra, sino en qué se basa esa cifra.

Ánimo.

Entrando en detalle: Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

¿Y cómo resolvieron esto? Antes de decidir, mirad qué datos tenéis en la mano.

Yo seguiría por ese camino.