Finalidad del control

Servicios en la nube

La norma ISO/IEC ha publicado el estándar ISO/IEC 27017, que proporciona directrices específicas para implementar controles de seguridad cuando se utilizan servicios en la nube.

En un entorno de computación en la nube, los datos del cliente pueden almacenarse, transmitirse y procesarse a través de los sistemas del proveedor del servicio. Debido a esto, muchas de las operaciones y procesos de negocio de una organización pueden depender directamente del nivel de seguridad que ofrezca el proveedor de nube.

Si la organización no mantiene un control adecuado sobre el uso de estos servicios, podría verse obligada a aplicar medidas adicionales para proteger su información. Por esta razón, el control 5.23 busca que las organizaciones establezcan mecanismos claros para gestionar los servicios en la nube. Esto se consigue mediante la definición de procesos relacionados con la adquisición, el uso, la gestión y la finalización de dichos servicios.

Concepto: Computación en la nube

La computación en la nube se refiere a un modelo en el que los servicios de tecnologías de la información se proporcionan a través de Internet. Este enfoque permite que los usuarios puedan acceder a aplicaciones y datos desde distintos lugares y en cualquier momento.

Para aplicar correctamente el control 5.23 es importante comprender cómo funciona este modelo. Por ello, es útil revisar algunos conceptos fundamentales relacionados con la computación en la nube.

On-premises (no en la nube)

El modelo on-premises representa el enfoque tradicional de infraestructura tecnológica. En este caso, el software que utiliza la organización se instala en servidores o equipos ubicados físicamente dentro de sus propias instalaciones. Además, tanto el hardware como las licencias de software son propiedad de la organización, que también es responsable de su mantenimiento y gestión.

Proveedores de servicios en la nube

Nube privada

Una nube privada implica que la organización utiliza infraestructura proporcionada por un tercero, como redes, servidores o almacenamiento. Aunque estos recursos pertenecen al proveedor, suelen estar ubicados en sus propios centros de datos.

En este modelo, el proveedor se encarga del mantenimiento de la infraestructura y del hardware. También puede ofrecer servicios adicionales como copias de seguridad o recuperación ante desastres. De esta forma, la organización delega parte de la gestión de su entorno tecnológico a un proveedor externo.

Nube pública

La nube pública es una de las formas más comunes de computación en la nube. En este modelo, el proveedor ofrece recursos tecnológicos como capacidad de procesamiento, almacenamiento y aplicaciones a múltiples clientes a través de Internet.

Aunque diferentes usuarios comparten la misma infraestructura, cada cliente dispone de un espacio independiente para sus datos y aplicaciones. Además, las organizaciones que utilizan este modelo no necesitan invertir en hardware propio ni en tareas de mantenimiento. Normalmente, el coste se basa en el uso real del servicio, lo que se conoce como modelo de pago por uso.

Nube híbrida

La nube híbrida combina diferentes tipos de infraestructura. Puede integrar servicios de nube pública y privada o incluso combinar recursos en la nube con sistemas locales dentro de la organización. En muchos casos existe una integración entre ambos entornos para facilitar el intercambio de información y el funcionamiento conjunto de los sistemas.

Multicloud

El término multicloud se utiliza cuando una organización emplea servicios de distintos proveedores de nube pública. Esta estrategia puede permitir distribuir los datos en varias plataformas y disponer de alternativas en caso de fallos o interrupciones en uno de los proveedores.

Concepto: SaaS, IaaS y PaaS

Los servicios en la nube pueden ofrecerse en diferentes niveles. En general, estos servicios son proporcionados por proveedores externos y se accede a ellos a través de Internet. Entre los modelos más conocidos se encuentran SaaS, PaaS e IaaS.

Software como servicio (SaaS)

El modelo de software como servicio es uno de los más extendidos. En este caso, el proveedor ofrece aplicaciones completas que los usuarios pueden utilizar a través de un navegador web o una aplicación, sin necesidad de instalar software localmente en sus dispositivos.

Plataforma como servicio (PaaS)

En el modelo de plataforma como servicio, los clientes pueden desarrollar, desplegar y ejecutar sus propias aplicaciones utilizando las plataformas proporcionadas por el proveedor de nube. Esto permite a las organizaciones centrarse en el desarrollo del software sin tener que gestionar la infraestructura subyacente.

Infraestructura como servicio (IaaS)

La infraestructura como servicio proporciona recursos informáticos básicos como máquinas virtuales, almacenamiento y redes. En este modelo, el cliente tiene control sobre el sistema operativo, las aplicaciones y los datos, mientras que el proveedor se encarga de mantener la infraestructura física.

En la actualidad existen numerosos modelos basados en el concepto “como servicio”, por lo que a veces se utiliza el término XaaS (Everything as a Service) para referirse a la amplia variedad de servicios disponibles bajo este enfoque.

Adquisición de servicios en la nube

El control 5.23 establece que la organización debe contar con un proceso definido para la adquisición de servicios en la nube. Este proceso debe especificar claramente qué acuerdos se establecerán con los proveedores en relación con la seguridad, las responsabilidades y las condiciones para finalizar el servicio.

Además, la organización debería definir y comunicar políticas específicas sobre el uso de servicios en la nube a las partes interesadas relevantes. También es recomendable revisar los acuerdos con los proveedores para evaluar las garantías de seguridad que ofrecen.

Los contratos de servicios en la nube deben contemplar aspectos relacionados con la confidencialidad, la integridad y la disponibilidad de la información, así como otros requisitos de manejo de datos. Asimismo, deben incluir objetivos y niveles de servicio adecuados.

En algunos casos, negociar con los proveedores puede resultar complicado. Si los acuerdos no pueden modificarse, la organización deberá identificar los riesgos que permanecen y aceptarlos de forma consciente.

Uso de servicios en la nube (responsabilidades)

El uso de servicios en la nube implica que la responsabilidad sobre la seguridad de la información suele estar compartida entre el proveedor del servicio y la organización cliente.

Por este motivo, es fundamental definir claramente qué responsabilidades corresponden a cada parte. Ambas partes deben comprender qué tareas deben gestionar y cómo se implementarán las medidas de seguridad.

Si un acuerdo no define adecuadamente estas responsabilidades, pueden surgir riesgos importantes para la seguridad de la información. En tales casos, podría ser recomendable reconsiderar el uso de ese servicio en la nube.

Salida de servicios en la nube

Al contratar un servicio en la nube, la organización debería planificar desde el inicio cómo podría abandonar el servicio en el futuro.

Si no se establecen condiciones claras para finalizar la relación con el proveedor, migrar datos y sistemas a otro proveedor puede resultar complejo, costoso y requerir mucho tiempo.

Ejemplo

Una organización puede incluir en sus acuerdos con el proveedor determinadas condiciones que permitan finalizar el servicio antes de que termine el contrato. Esto podría ocurrir, por ejemplo, en situaciones relacionadas con cambios legales o contractuales, problemas de rendimiento o soporte insuficiente, o cambios en la estrategia de la organización.

También es posible incluir cláusulas que aseguren que el acuerdo se mantendrá vigente hasta completar el proceso de migración, que el periodo de aviso sea suficiente para realizar la transición, que los datos solo se eliminen después de haber sido migrados correctamente y que una entidad independiente verifique que la migración se ha realizado de forma completa.

Gestión de servicios en la nube

El control 5.23 también establece que la organización debe definir un proceso para gestionar los servicios en la nube durante su uso.

Este proceso debe indicar cómo se gestionarán los riesgos de seguridad de la información asociados a estos servicios. En muchos casos, puede integrarse con los procedimientos que la organización utiliza para gestionar servicios proporcionados por terceros.

Además, este control se relaciona con otros controles del estándar. El control 5.21 aborda la gestión de riesgos relacionados con la cadena de suministro de servicios y productos de TIC. Por su parte, el control 5.22 se centra en el seguimiento, la revisión y la evaluación periódica de los proveedores y de la forma en que gestionan la seguridad de la información y la prestación de sus servicios.

Terminación de servicios en la nube

En determinadas situaciones puede ser necesario finalizar la relación con un proveedor de servicios en la nube. Esto puede suceder si el proveedor no ofrece el rendimiento esperado, si los costes aumentan considerablemente o si cambios legales impiden continuar utilizando el servicio.

En general, cuanto mayor sea el número de servicios utilizados por la organización, más complejo puede resultar el proceso de salida. En algunos casos, abandonar un servicio en la nube puede ser extremadamente difícil si no se planifica adecuadamente desde el principio.

Procesos

El control 5.23 indica que la organización debe establecer procesos documentados para la adquisición, el uso, la gestión y la finalización de los servicios en la nube.

La documentación de estos procesos facilita su comunicación dentro de la organización y permite que otras personas puedan comprenderlos y aplicarlos correctamente. Además, estos procesos pueden utilizarse durante auditorías para verificar que el uso de servicios en la nube cumple con los requisitos de la organización y con los estándares establecidos.

Aplicabilidad

Para determinar si este control debe aplicarse, la organización debe evaluar la probabilidad de que el uso de servicios en la nube pueda generar incidentes de seguridad de la información o provocar incumplimientos de obligaciones legales o contractuales.

Auditoría

Aplicación

Durante una auditoría se pueden analizar distintos aspectos relacionados con este control. Por ejemplo, se puede revisar por qué la organización ha decidido aplicarlo y qué servicios en la nube utiliza o planea utilizar. También puede evaluarse qué servicios son relevantes para el sistema de gestión de la organización y si existen requisitos legales o contractuales que deban considerarse al trabajar con proveedores.

Implementación

Asimismo, el auditor puede verificar si la organización ha establecido procesos adecuados para adquirir y utilizar servicios en la nube. También puede analizar si existe un proceso para gestionar dichos servicios, incluyendo actividades como el seguimiento de los proveedores, la gestión de cambios en los servicios y el control de la cadena de suministro de tecnologías de la información.

Control

Durante la evaluación del control 5.23, el auditor puede revisar distintos aspectos relacionados con la gestión de los servicios en la nube dentro de la organización. En primer lugar, puede comprobar si la organización ha definido claramente los roles y responsabilidades asociados a la adquisición, uso, gestión y finalización de los servicios en la nube.

También puede analizar de qué manera la organización garantiza que el proceso de adquisición de servicios en la nube se aplica de forma adecuada y que los acuerdos con los proveedores contemplan los requisitos de seguridad de la información necesarios.

Otro aspecto relevante es verificar si la organización dispone de mecanismos para supervisar, revisar y evaluar de forma continua a los proveedores de servicios en la nube. Esto incluye analizar el rendimiento del proveedor, su cumplimiento con los acuerdos establecidos y su forma de gestionar la seguridad de la información.

Aplicación del control 5.23 en una empresa de desarrollo de software

En una empresa dedicada al desarrollo de software, el uso de servicios en la nube es habitual para alojar aplicaciones, gestionar repositorios de código, realizar pruebas o desplegar sistemas en producción. Por ello, el control 5.23 debe aplicarse estableciendo procedimientos claros para seleccionar, utilizar, gestionar y, en su caso, abandonar los servicios tecnológicos utilizados por la organización.

Estos procesos deben incluir la evaluación de riesgos asociados al uso de servicios externos, la revisión de los acuerdos con proveedores, la definición de responsabilidades en materia de seguridad de la información y la supervisión continua del rendimiento y cumplimiento de los servicios utilizados. Además, la empresa debe asegurar que los datos del proyecto, el código fuente y la información de los clientes se gestionen de acuerdo con sus políticas de seguridad.

Aplicación del control en soluciones SaaS

Cuando una empresa de desarrollo utiliza soluciones SaaS (Software as a Service), el control 5.23 se centra principalmente en la gestión de los proveedores externos y en la protección de la información que se procesa a través de estos servicios.

En este contexto, la organización debe evaluar previamente los servicios SaaS antes de contratarlos, analizando aspectos como las medidas de seguridad implementadas por el proveedor, el cumplimiento normativo, las condiciones contractuales y la localización de los datos. También es necesario revisar los acuerdos de nivel de servicio para asegurar que se cumplen los requisitos de disponibilidad, confidencialidad e integridad de la información.

Durante el uso del servicio, la empresa debe establecer controles sobre la gestión de accesos, la configuración de seguridad de la plataforma y el tratamiento de los datos almacenados en el servicio. Asimismo, es importante supervisar periódicamente el desempeño del proveedor y evaluar posibles cambios que puedan afectar a la seguridad o al funcionamiento del servicio.

Finalmente, el proceso también debe contemplar un plan de salida del servicio SaaS, asegurando que la organización pueda recuperar sus datos y migrarlos a otra solución si fuera necesario.

Aplicación del control en soluciones On-Premise

En el caso de soluciones On-Premise, el software se ejecuta en la infraestructura propia de la organización, lo que implica que la empresa mantiene el control directo sobre los sistemas y los datos.

Aunque este modelo no depende de un proveedor de nube para la prestación del servicio, el control 5.23 sigue siendo relevante en relación con la gestión de la infraestructura tecnológica y de los proveedores que suministran hardware, software o servicios de mantenimiento.

La organización debe definir procedimientos para la instalación, configuración y mantenimiento de los sistemas, asegurando que se aplican las medidas de seguridad adecuadas para proteger la información. Esto incluye la gestión de actualizaciones, el control de accesos a los sistemas, la protección de los servidores y la realización de copias de seguridad.

Además, la empresa debe garantizar la continuidad del servicio mediante planes de recuperación ante incidentes y procedimientos de mantenimiento de la infraestructura. A diferencia del modelo SaaS, en este caso la responsabilidad sobre la seguridad y la disponibilidad del sistema recae principalmente en la propia organización.

Aplicación del control 5.23 en pequeñas empresas

En las pequeñas empresas, la aplicación del control 5.23 suele estar muy vinculada al uso de servicios tecnológicos proporcionados por terceros, ya que normalmente estas organizaciones no disponen de grandes infraestructuras propias ni de equipos especializados en la gestión de sistemas. Por este motivo, muchas pequeñas empresas recurren a soluciones en la nube para gestionar su correo electrónico, almacenar información, utilizar herramientas de colaboración o ejecutar aplicaciones empresariales.

Para aplicar este control de forma adecuada, la empresa debe establecer al menos un procedimiento básico para seleccionar y contratar servicios en la nube. Esto implica evaluar qué proveedor se utilizará, qué tipo de información se almacenará en el servicio y si el proveedor ofrece garantías adecuadas de seguridad y protección de datos. También es recomendable revisar las condiciones contractuales y las políticas de seguridad del proveedor antes de comenzar a utilizar el servicio.

Además, la organización debe definir cómo se gestionará el acceso a estos servicios. En particular, se deben establecer reglas claras para la creación y eliminación de cuentas de usuario, el uso de contraseñas seguras y, cuando sea posible, la utilización de mecanismos adicionales de autenticación como la verificación en dos factores.

Otro aspecto importante es el seguimiento del uso de los servicios en la nube. Incluso en empresas pequeñas, es conveniente revisar periódicamente si los servicios utilizados siguen siendo adecuados para las necesidades de la organización y si continúan cumpliendo con los requisitos de seguridad establecidos.

Por último, aunque las pequeñas empresas suelen depender en gran medida de los proveedores externos, también deberían contemplar la posibilidad de cambiar de proveedor o dejar de utilizar un servicio. Para ello, es recomendable prever cómo se podrán recuperar los datos almacenados y cómo se realizará su migración a otra solución en caso de que sea necesario. De esta forma, la organización puede evitar depender excesivamente de un único proveedor y mantener un mayor control sobre su información.

—