Migramos los datos a la nube: ¿qué nos queda por hacer en materia de seguridad?

En el modelo de responsabilidad compartida la línea es clarísima: la seguridad de la nube es del proveedor, la seguridad en la nube es suya. Revisen los grupos de seguridad inmediatamente; jamás abran los puertos 22 (SSH) y 3389 (RDP) a todas las IP (0.0.0.0/0). Den acceso solo a la IP fija de la oficina y bloqueen la entrada al panel de control si no es mediante VPN.

A nosotros, dos meses después de migrar, le hackearon el correo corporativo a un empleado por phishing. Como no tenía activado el doble factor, el atacante se coló en el panel de control de la nube y borró el backup de la base de datos. El proveedor dijo con razón que "se accedió con usuario y clave válidos" y tuvimos que pagar 80.000 TL de rescate.

Que la junta directiva quiera recortar el presupuesto de seguridad huele a desastre inminente. Es como alquilar un piso en una residencia de lujo con puerta blindada y dejar la puerta abierta de par en par. Si dejas la puerta abierta y entra un ladrón, no le vas a echar la culpa a la seguridad del edificio.

Mañana a primera hora tienen que hacer dos cosas: 1) Entrar a la consola de administración y exigir 2FA mediante aplicación en lugar de SMS para todos los usuarios. 2) Borrar todas las cuentas de prueba que no se usen y las claves API de antiguos consultores.

Los proveedores cloud protegen la integridad de los datos ante fallos de hardware, pero si alguien desde dentro borra adrede o por error la tabla de clientes, no lo detectan como ciberataque sino como un comando legítimo. Por eso es imprescindible una política de backups inmutables y guardados en una cuenta distinta, incluso dentro de la nube.

miren bien los buckets de almacenamiento q ahi es dnd mas la caga la gente y dejan cosas publicas para probar y dsp toda la data de clientes termina indexada en google.

Si gestionan ventas al por mayor y distribuidores, su condición de responsable del tratamiento de datos bajo la normativa legal (KVKK) se mantiene intacta. Guardar los datos en la nube no exime de responsabilidad jurídica. Tienen la obligación de conservar los registros de acceso de forma inalterable y con sellado de tiempo durante al menos dos años.

Tiene razón.

Rara vez se encuentra un texto que lo explique tan claro.

Quisiera hacer una pregunta. Intentar hacerlo solo es la vía más cara.

Espero que le sea útil.

buen trabajo. al tomar decisiones escrbie también el peor escenario no solo el mejor.

yo seguiría por ese camino.

Hay un punto que me genera dudas. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Comprobado por experiencia.

Me pasó lo mismo.

Lo que se dice aquí es exactamente lo que nos pasó. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Si tenéis dudas escribid, os responderé en la medida de lo posible.

Correcto. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Este enfoque tiene un coste, y no se habla de ello. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Estoy de acuerdo. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

La mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada... Corrijanme si me equivoco.

Buen trabajo. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.