Imagina que un dia entres al teu servei d'emmagatzematge al núvol,
per veure fotos dels
teus viatges, moments en família i records únics que has anat guardant
amb cura per
no perdre'ls.
Però aquest cop alguna cosa va malament, veus un missatge d'error
que t'impedeix accedir-hi,
i notes que el teu compte està totalment bloquejat.
Desconcertat, contactes amb el servei d'atenció al client i et diuen que,
recentment, alguns
comptes han estat objecte d'un atac de ciberseguretat en què s'han robat
o fins
i tot s'han esborrat dades d'usuaris.
Aquest atac posa en manifest una de les moltes amenaces importants que
ens podem trobar
al núvol.
Quan emmagatzemem dades personals en aquestes plataformes, depenem de la
seguretat dels
seus sistemes per mantenir-les segures.
Però en cas d'un atac, els cibercriminals poden accedir,
bloquejar o fins i tot eliminar
informació valuosa.
D'aquesta manera, i per evitar aquestes situacions adverses, anem a
endinsar-nos
el món del núvol.
Més exactament, en aquesta sessió explorarem què és i com gestiona
adequadament la seguretat
al núvol.
Per entendre la seguretat del núvol, primer hem de definir què és
exactament això
del núvol.
El núvol es pot definir com a un conjunt de servidors i recursos
d'emmagatzematge
a internet, que permet accedir a aplicacions i a dades de forma
remota, sovint des de múltiples dispositius i des de
qualsevol lloc del món.
De fet, podem distingir entre tres principals entorns del núvol.
Núvol públic, és a dir, aquell que és accessible per diverses
organitzacions,
com el seu nom indica, és públic.
Normalment, és gestionat per grans proveïdors com Google o Amazon.
El núvol privat, que en canvi és operat per una sola organització, en
un entorn dedicat
amb controls d'accés restringits.
I finalment, el núvol híbrid, que combina elements del núvol públic i
del núvol
privat, sovint per aconseguir una major flexibilitat.
A més, també podem distingir entre diferents models de servei al núvol.
Aquests models són importants perquè defineixen fins on arriba la
responsabilitat entre
el proveïdor i l'usuari.
En la infraestructura com a servei, o IAAS, el proveïdor proporciona
infraestructures
bàsiques, com xarxes d'emmagatzematge i servidors.
Un exemple de proveïdor de IAAS és Amazon Web Services S2, o també
conegut com Amazon
Elastic Compute Cloud.
Pel que fa a la plataforma com a servei, o PAAS, el proveïdor ofereix
eines de desenvolupament
en entorns virtuals, cosa que permet als usuaris desenvolupar, executar,
desplegar
i gestionar aplicacions i programari en línia.
Normalment, aquesta plataforma és àmpliament utilitzada pels
desenvolupadors de software.
Un exemple de proveïdor de PAAS és Microsoft Azure.
Finalment, el software com a servei, o SAAS, proporciona aplicacions
completes
als usuaris finals.
Avui en dia, aquest és el model de servei al núvol més adoptat per a les
organitzacions.
Un exemple de proveïdor seria Google Workspace, o àmpliament conegut com
Google Drive.
Tot i els avantatges que té el núvol, aquest també pot presentar riscos de
seguretat
que hem de tenir en compte.
Els més destacats són els següents.
Fuites de dades, és a dir, accés no autoritzat a dades sensibles emmagatzemades
al núvol. Pèrdua de dades, els errors humans o dels proveïdors de servei
poden portar a la pèrdua de dades crítiques.
Els segrest de comptes, és a dir, els atacants,
poden accedir als comptes amb credencials robades, accedint així a
dades sensibles.
Un altre risc seria la gestió d'identitats i accessos inadequada.
Un sistema de gestió d'identitats i accessos mal configurada
pot donar accés no autoritzat a dades sensibles.
També el xifratge inadequat.
Les dades, tant en trànsit com guardades en local als servidors,
han d'estar xifrades per evitar qualsevol tipus d'exposició de dades.
Les vulnerabilitats de l'infraestructura compartida també són
un gran risc,
ja que en entorns compartits del núvol una vulnerabilitat
en una part de l'infraestructura pot afectar a tota la resta.
Els riscos de compliment normatiu i legal també són importants,
perquè no complir amb les regulacions pot implicar sancions i problemes
legals.
Finalment, la manca de visibilitat i control també és un gran risc,
perquè una visibilitat limitada al teu entorn al núvol
pot dificultar el monitoratge i la seguretat dels recursos.
Un cop definits els riscos, en aquest mòdul ens centrarem en com podem
mitigar
aquests riscos i en especial aquells que són més específics del núvol.
Per fer-ho podem aplicar diverses mesures de seguretat,
com ara gestió d'identitats i accessos, xifratge de dades,
registre de logs i monitoratge i compliment normatiu.
Pel que fa a la gestió d'identitats i accessos és important
controlar i limitar l'accés amb eines d'autenticació multifactor
i permisos adequats, per així ajudar a prevenir l'accés no autoritzat.
Un sistema ben dissenyat de gestió d'identitats i accessos
és essencial sobretot per garantir que només les persones
autoritzades puguin accedir als recursos del núvol.
Per exemple, eines com Amazon Web Services, Identity
and Access Management o Microsoft Entra ID
permeten gestionar permisos granulars, implementant polítiques
d'accés
basades en el principi de privilegis mínims.
En el curs explorarem amb més detall aquestes eines i com configurar-les
correctament per establir una correcta gestió d'identitats i
accessos.
Respecte al xifratge de dades, hem de tenir en compte
que tant les dades en trànsit com les guardades en local als servidors
han d'anar correctament xifrades per protegir la informació
davant d'accés no autoritzats. També hem de mantenir un registre
de logs i monitorar correctament les activitats del sistema
per poder així detectar i reaccionar a temps davant
d'incidents de seguretat. Proveïdors de núvol com Amazon Web Services,
Azure o Google Cloud solen oferir
serveis integrats de registre i monitoratge com Amazon Web Services
Cloud Trail, Azure Monitor o Google Cloud Logging.
Tot i això, la responsabilitat varia segons el model de servei.
En entorns IAAS, la gestió de logs recau majoritàriament
en l'usuari, mentre que en entorns SAAS el proveïdor
pot tenir un control més directe del registre i monitoratge.
Finalment, és fonamental complir les regulacions del sector
i seguir bones pràctiques per evitar possibles sancions.
Per exemple, la norma ISO 27017 és un codi de bones pràctiques
que especifica els controls de seguretat per als usuaris i
proveïdors
de serveis al núvol, o per exemple la norma ISO 27018
per a la protecció de la informació d'identificació personal al núvol.
És a dir, els proveïdors de serveis certificats amb aquesta norma
poden dir als seus clients que les seves dades estan
garantides i que no seran usades per a cap propòsit
pel qual no es doni expressament el seu consentiment.
D'aquesta manera, si teníem en compte aquests quatre grans controls de
seguretat,
podrem evitar la major part de riscos de seguretat al núvol.
A part d'això, la intel·ligència artificial, o IA,
també té un paper clau en la seguretat al núvol,
ajudant a predir i detectar amenaces de manera més precisa i eficient.
Avui en dia, necessitem mesures avançades, com la intel·ligència
artificial,
per poder combatre tant el gran volum i complexitat de les dades
com les noves i sofisticades amenaces de ciberseguretat
que ens podem trobar actualment.
Per exemple, amb algoritmes d'aprenentatge automàtic,
és possible identificar patrons inusuals de comportament als
sistemes,
detectant així possibles intents d'intrusió abans que es materialitzin.
L'automatització permet que la IA ajudi
en la resposta davant de les amenaces en temps real,
reforçant així la seguretat global dels sistemes.
En conclusió, la seguretat del núvol requereix un enfocament proactiu,
aplicant bones pràctiques com la gestió rigorosa de comptes,
l'ús de xifratge i també l'ús d'un monitoratge continu
per poder detectar amenaces en temps real.
Tot i això, sempre tenint en compte el compliment normatiu als entorns
del núvol.
A més a més, la introducció de la IA ofereix noves eines
per predir i mitigar els riscos,
però és essencial entendre que la seguretat del núvol
és una responsabilitat compartida entre el proveïdor i l'usuari.
Amb aquests controls i pràctiques, podem evitar incidents crítics de
seguretat,
protegint dades i recursos essencials en entorns del núvol.
Ara, amb els materials adjunts i el qüestionari,
podreu comprovar si heu adquirit els conceptes bàsics d'aquesta lliçó.