Mirada a los TOP 9 de riesgos en cloud de CSA y su relación con el negocio

CSA lanza las principales amenazas para la computación en la nube: Deep Dive

Debemos entender la labor de CSA sobre las tecnologías CLOUD y su papel influyente en la generación de buenas prácticas para el uso de las mismas. En el Paper titulado “Top Threats to Cloud Computing: Deep Dive” se identifica los principales riesgos de seguridad en la nube, cómo encajan en un mayor análisis de seguridad.

Cobertura de “maxima amenaza” por estudio de caso

A continuación se resumen los 9 principales, tecnologías de caso de estudios y la relación entre las brechas de seguridad vistas.

Amenazas principales: incumplimientos de datos, identidad insuficiente, administración de credenciales y de acceso, secuestro de cuentas, denegación de servicio, vulnerabilidades de tecnología compartida.

Financiero: La investigación forense y los gastos posteriores al incidente fueron de aproximadamente $1 millón. Una demanda colectiva otorgó un total de $1.25 millones a las víctimas.
Operativo: La empresa emitió dos notificaciones a los usuarios para restablecer las contraseñas: primero en 2012 y nuevamente en 2016.
Cumplimiento: LinkedIn no protegió adecuadamente los datos del usuario, violando reglas locales, nacionales y de la UE/GDPR.
Reputacional: LinkedIn fue demandada por la pérdida de datos.

MongoDB

Amenazas principales: fallas en los datos, identidad insuficiente, interfaces y API inseguras, información privilegiada maliciosa, pérdida de datos.

Financiero: Cientos de millones de dólares en gastos de auditoría, recuperación de incidentes, reembolso legal y multas.
Operacional: Tiempo y esfuerzo necesarios para restaurar archivos a partir de datos de respaldo.
Cumplimiento: Violación de regulaciones estatales y federales en los EE.UU. y legislación mexicana sobre datos de votantes.

Dirty Cow

Amenazas principales: identidad insuficiente, administración de acceso y credenciales, vulnerabilidades del sistema.

Financiero: Impacto variable dependiendo del tipo de sistema afectado.
Operativo: Pérdida de control de datos y sistemas crea garantías reducidas sobre la integridad de los datos.

Zynga

Amenazas principales: violaciones de datos, identidad insuficiente, administración de credenciales y acceso, información privilegiada maliciosa.

Financiero: Disminución de ingresos a largo plazo y caída en el valor de las acciones.
Operativo: Zynga se vio obligado a asignar tiempo y recursos para investigación.

Net Traveler

Amenazas principales: incumplimientos de datos, amenazas persistentes avanzadas, pérdida de datos.

Financiero: Reducción en ventas de ofertas competitivas y multas GDPR.
Operativo: Datos no disponibles pueden interrumpir las operaciones.

Yahoo!

Amenazas principales: incumplimientos de datos, pérdida de datos, insuficiente diligencia debida.

Financiero: El precio de venta final a Verizon se redujo en aproximadamente $350 millones por motivos relacionados con la violación.
Operativo: Toda la industria informática sintió impactos operacionales debido al volumen de contraseñas potencialmente reutilizadas.

Zepto

Amenazas principales: incumplimientos de datos, pérdida de datos, abuso y uso nefasto de servicios en la nube.

Financiero: Pérdidas significativas desde pérdidas diarias de negocios hasta costos operativos de restauración.
Operativo: Tiempo y esfuerzo necesarios para la restauración de la copia de seguridad.

DynDNS

Amenazas principales: identidad insuficiente, administración de credenciales y acceso, denegación de servicio.

Financiero: Tiempo de inactividad resultó en pérdidas comerciales para clientes incluyendo Twitter y Snapchat.
Operativo: Dominios clave de los clientes no estaban disponibles.

Cloudbleed

Amenazas principales: Incumplimiento de datos, Vulnerabilidades de tecnología compartida.

Financiero: Interrupciones mínimas en el servicio de Cloudflare.
Operativo: Tiempo y esfuerzo necesarios para restablecer contraseñas; credenciales pueden haber estado expuestas.

El documento continúa esbozando los dominios recomendados de la Matriz de Controles de Nube (CCM), ordenados según la frecuencia con la que los controles dentro de los dominios son relevantes como control de mitigación.

¿Qué te pareció? ¿Conoces lo que hace el Cloud Security Alliance? ¿Aún crees que la Ciberseguridad es un gasto innecesario?