ISO 27017, ISO 27018 e ISO 27036: Guías de buenas prácticas en Cloud Computing

Se espera que el estándar ISO/IEC 27017 sea una guía o código de buenas prácticas para la aplicación de controles de seguridad de información en sistemas o servicios basados en computación en nube.

Esta norma proporcionará orientación sobre los elementos de seguridad de la información y aspectos de la computación en nube. Será acompañado por la norma ISO/IEC 27018, que cubre los aspectos de privacidad de la computación en nube, e ISO/IEC 27036 la guía de seguridad para para el Outsourcing.

Esta norma está aún en proceso de desarrollo, por lo que no sabemos todavía si responderá a muchas de las preguntas que hoy en día nos hacen nuestros clientes cuando se plantean si volcar sus servicios en la nube.

De todas formas, aquí va una relación de 10 de ellas – relacionadas con la seguridad - que deberían ser consideradas por una empresa para ayudarle a determinar si una implementación de nube es adecuada o no:



1. ¿Cómo podría cambiar mis niveles de riesgo un despliegue en la nube?

2. ¿Qué tengo que hacer para asegurarme de que el servicio cloud que pretendo contratar no contraviene mi política de seguridad?

3. Si contrato estos servicios en la nube ¿Podría comprometer mi compromiso de cumplimiento con la legislación vigente en mi país?

4. El proveedor de servicios cloud que estoy barajando ¿Está certificado en algunas de las normas o mejores prácticas de seguridad? (ISO 27001, ISO 20000, WS Trust…)

5. ¿Qué sucede si se produce una violación? ¿Cómo es el proceso de gestión de incidentes del proveedor?

6. ¿Quién es la entidad responsable de la seguridad de mis datos? ¿El proveedor de manera directa? O ¿Existen intermediarios o terceras partes?

7. ¿Cómo puedo asegurar que sólo muevo a la nube los datos necesarios de indispensables y no información adicional que pueda comprometerme?

8. ¿Cómo me aseguro sólo mis empleados autorizados, mis socios y los clientes que yo especifique pueden acceder a mis datos y aplicaciones y nadie más?

9. ¿Cómo están mis datos y aplicaciones alojadas? ¿Qué medidas de seguridad usa mi proveedor?

10. ¿Cuáles son los factores que me dicen que puedo confiar en este proveedor?

Según parece, esta nueva norma no será certificable aunque podrá ser utilizada, como la ISO 27002, como fuente de contramedidas de seguridad a aplicar a servicios en la nube.

O lo que es lo mismo. Por el momento, los proveedores de servicios cloud que pretendan dotar de confianza y de una gestión eficiente en seguridad a sus servicios en la nube, deberán de considerar la norma ISO 27001 como el esquema de certificación recomendado.

Fuente: Segu-Info

Comentarios

Publicar un comentario

Entradas populares de este blog

Presuntos narcotraficantes liberados por un ransomware

Imagen
Los fiscales estadounidenses se vieron obligados a dejar caer 11 casos de narcotráfico contra seis presuntos delincuentes, después de que se perdieron archivos de casos cruciales en una infección de ransomware en un departamento de policía de Florida. Es al menos séptimo incidente conocido de este tipo: investigaciones policiales se ven afectadas por una infección de ransomware que elimina la evidencia de las fuerzas del orden. La evidencia en los 11 casos no se pudo recuperar después de un ataque de ransomware que golpeó al departamento de policía de Stuart en abril de 2019. Si bien la policía de Stuart recuperó algunos datos de las copias de seguridad, algunos archivos no se pudieron recuperar. Los archivos perdidos incluyeron evidencia en fotos y videos , dijo el sargento detective Mike Gerwan del Departamento de Policía de Stuart a WPTV en una entrevista la semana pasada. Gerwan dijo que los casos retirados incluyen cargos por posesión de metanfetamina, posesión de
Leer más

Metasploit y Windows 10: Creando un payload indetectable (Evadiendo software antivirus)

Imagen
Anteriormente escribimos un artículo donde mostramos la manera de acceder a un sistema operativo Windows 10 usando metasploit de manera local o remotamente, puedes leer el artículo aquí:  Accediendo remotamente a Windows 10 con Metasploit . Hoy les vamos a mostrar cómo ofuscar el código malicioso para que sea indetectable a los antivirus. Los entusiastas de seguridad siempre buscan exploits de día cero que pueden eludir con éxito las características de seguridad de sistemas cómo Windows 10. Se han llevado a cabo numerosas investigaciones para crear malware indetectable y proyectos completos de GitHub dedicados a automatizar la creación de payloads indetectables como WinPayloads , Veil v3 y TheFatRat . Todo lo que se explicará en esta guía se hace con fines explícitamente educativos y bajo un laboratorio propiedad de Security Hack Labs , los usos que se le puedan dar a este tutorial depende del usuario y es absolutamente responsabilidad del él los daños que
Leer más

Diferencias entre mapa de calor, mapa de riesgos y matriz de riesgos

Imagen
4.5 / 5 ( 6 votos ) El mapa de riesgos, el mapa de calor y la matriz de riesgos son herramientas útiles en Risk Management. Si bien, en ocasiones los profesionales en Risk Management confunden estos conceptos y lo tratan como si fueran una única herramienta. En este artículo vamos a aclarar las principales diferencias y similitudes entre mapa de calor y matriz de riesgos, así como con mapa de riesgos. ¿Qué son los mapas de riesgos? Un mapa de riesgos es una tabla de 2×2, normalmente una tabla cruzada, que se organiza en columnas. En la primera se colocan los posibles eventos que pueden aportar incertidumbre al objetivo de la empresa u organización. Y, en las siguientes columnas, se colocarán las probabilidades, consecuencias o variables que puedan explicar dichos eventos. Por lo tanto, esta tabla viene a considerarse un mapa de riesgos.
Leer más