En este nuevo modelo los usuarios pueden acceder a un mayor catálogo de servicios bajo un modelo de pago únicamente por el consumo efectuado, reduciendo el riesgo y adaptándose a la carga de trabajo necesaria en cada momento.
Las principales características que definen un sistema de cloud computing son la capacidad de auto-provisión de servicios bajo demanda por parte del cliente, el uso intensivo de la red para proporcionar los servicios reduciendo los requisitos en el cliente, la abstracción de la infraestructura y plataforma que sustentan los servicios proporcionando la sensación de una capacidad de crecimiento ilimitado, la agilidad y flexibilidad para la provisión de nuevos recursos y la monitorización continua de la plataforma por parte del proveedor.
Los proveedores pueden ofrecer un mayor número de servicios a sus clientes a base de crear infraestructuras agrupadas que son compartidas entre diferentes empresas u organizaciones y que permiten una asignación dinámica a aquellos clientes que lo demanden. Dado que los entornos o servicios de cloud computing se comparten generalmente entre diversas empresas y además el personal de los proveedores de estos servicios dispone de privilegios de acceso a estos entornos, se hace imprescindible diseñar una estrategia que nos asegure la confidencialidad de nuestra información personal o empresarial que reside en la nube.
Esta confidencialidad puede lograrse mediante una separación efectiva entre quien aloja la información y quien dispone de derechos de acceso o uso de la información, combinando el cifrado de la información, la negociación de contratos legales y control de acceso.
El cifrado de la información conjuntamente con una gestión de claves proporciona un mecanismo de vital importancia para proteger los datos alojados en sistemas de cloud computing. El cifrado proporciona la protección de los datos mientras que la gestión de claves permite el acceso a dichos datos. Es conveniente establecer una separación de proveedoresentre el almacenamiento cifrado de la gestión de claves, lo que nos permite proteger nuestra información sensible y al mismo tiempo protegernos ante posibles vulnerabilidades de la plataforma del proveedor de almacenamiento. Si bien el cifrado en sí mismo no previene la pérdida de datos, numerosas legislaciones y normativas sobre gestión de datos personales no consideran pérdida o fuga de información, la pérdida de datos cifrados si no se obtiene acceso a las claves correspondientes y en algunos casos es un requisito de obligado cumplimiento.
El cifrado de la información sensible debe realizarse cuando esta se encuentre almacenada en ficheros o bases de datos de producción, cuando esta se encuentre en tránsito viajando por la red así como cuando se encuentre almacenada en los diferentes soportes de copias de seguridad.El cifrado nos aporta además cierta independencia del proveedor de almacenamiento y le descarga de la responsabilidad de asegurar un acceso adecuado a la información.
La negociación de contratos permite delimitar las responsabilidades del proveedor de cloud computing y habilitar los mecanismos y herramientas necesarios para realizar una correcta gestión de la seguridad de la información en correspondencia a las políticas activas en nuestra organización.
La gestión de identidades y el control de acceso en entornos empresariales es uno de los mayores desafíos a los que se enfrentan hoy en día los responsables de Tecnologías de Información. Aunque es posible obtener algunos de los beneficios del cloud computing sin implementar una gestión de identidades y control de acceso, en el largo plazo este requisito se volverá imprescindible para conseguir un entorno efectivo gestionado bajo demanda.
Entre las funciones necesarias se encuentran la provisión de identidades, la autenticación fuerte, la federación de identidades y la autorización y gestión de perfiles de usuario. La agilidad a la hora de provisionar a nuevos usuarios en un entorno de cloud computing será crítica para obtener sus beneficios. La autenticación de los usuarios será probablemente uno de los mayores desafíos a afrontar debiendo solventar aspectos como la gestión de credenciales, la autenticación fuerte o multifactor, la delegación de credenciales y la gestión de confianza entre entornos propietarios y entornos cloud. Junto a los desafíos de autenticación aparecerá la necesidad de federación de identidades o la capacidad de los entorno cloud de confiar en la gestión de identidades ya implantadas en las empresas separando los roles de autenticación y autorización del acceso a los recursos.
Esta separación de funciones de seguridad, entre quien verifica la identidad y el que concede el acceso a los recursos proporciona flexibilidad a la empresa y permite salvaguardar la privacidad de los empleados al no necesitar comunicar al proveedor de servicios de cloudcomputing datos personales de los usuarios ni sus contraseñas o credenciales.
Un usuario empresarial podríaautenticarse con su DNI electrónico una única vez para acceder a los sistemas internos y a las aplicaciones y servicios alojados en los entornos cloud, permitiendo su provisión dinámica, la federación de su identidad a lo largo de los sistemas basado en protocolos estándares como SAML o OpenID y el acceso a las claves que le permitan el acceso a la información corporativa, cumpliendo las legislaciones y normativas en materia de seguridad y de protección de datos personales.
Es posible extender esta autenticación puede a otro tipo de credenciales como dispositivos de One Time Password o el reconocimiento biométrico de huella dactilar, facial, voz o de patrón de tecleo. Esto permite un mayor rango de opciones a los usuarios que accederán a su información a través de diferentes dispositivos.
Asociación @asLAN.
