Desbloqueando la puerta a la seguridad SaaS

Aunque son muchos aspectos a considerar a la hora de adoptar el software como servicio (SaaS), el proceso de toma de decisiones pasa por dos puntos principales o puertas de decisión. El primero se refiere a las preferencias financieras: CapEx u OpEx. CapEx significa optar por aplicaciones On-premises y sus gastos de capital asociados. OpEx significa optar por aplicaciones SaaS y su modelo de coste de pago por uso.

La segunda puerta están toda sobre la seguridad. A medida que las organizaciones considera su evolución hacia una Empresa Digital Autónoma, el futuro del negocio, la ciberseguridad adaptativa están un principio obligatorio, y la nube puede ser una tecnología habilitadora, dada su flexibilidad. Para avanzar por esta puerta, te debe evaluar a fondo al proveedor SaaS para asegurarse de que los datos de tu empresa reciban el nivel adecuado de seguridad para tu organización. Las ventajas convincentes del SaaS son atraer a cada vez más organizaciones a superar sus preocupaciones sobre la nube y acercarse a esta segunda puerta.

Francamente, el personal de seguridad de tu organización tiene las llaves de la segunda puerta. En muchos casos, tienen la capacidad de retrasar o incluso detener un proyecto SaaS por motivos de seguridad.

En este blog, me centro en esa segunda puerta y en lo que se necesita para desbloquearla.

La puerta de seguridad SaaS tiene dos controles

Para desbloquear y pasar con seguridad la segunda puerta, te necesitas pasar dos puntos de control: control de seguridad y soberanía de datos.

Control de seguridad

El control de seguridad requiere adaptarse a una nueva realidad. Con SaaS, te renunciar a tu control de seguridad y ponerlo en manos del proveedor SaaS. El proveedor están ahora a cargo de la política de seguridad. La situación están análoga a alquilar una casa frente a ser propietario. Cuando te poseer una casa, te establecer las normas de la casa. Cuando te alquilas una casa, el propietario las establece. El propietario puede, por ejemplo, restringir el número de personas que pueden ocupar la casa.

En este punto, es importante aclarar un malentendido común. Algunas personas creen erróneamente que al firmar un contrato de proveedor SaaS, la organización cliente está aceptando cumplir con las mismas políticas de seguridad que rigen a la organización proveedora. Sin embargo, las políticas del proveedor se aplican solo a la organización proveedor y no a la organización cliente. Por ejemplo, que el proveedor cumpla con el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) no significa que el cliente deba cumplirlo.

Soberanía de los datos

En cuanto a la soberanía de los datos, te necesitas tener pleno conocimiento sobre dónde se alojarán tus datos, dónde se procesarán y quién los accederá. Eso suena bastante sencillo. Sin embargo, es extremadamente complicado porque los centros de datos y el personal de un proveedor SaaS suelen son dispersos en distintas ubicaciones del mundo. En este entorno tan complejo, te necesitas Haz asegurarte de que:

• Los datos se almacenarán únicamente dentro de las áreas permitidas por tus políticas internas, estándares del sector o normativas gubernamentales.
• Los datos solo se procesarán dentro de las áreas permitidas por tus políticas internas, estándares del sector o normativas gubernamentales.
• Los datos solo serán accedidos por las personas autorizadas por sons autorizaciones de tu organización.

Limpieza de los controles

Las brechas de seguridad graves son muy visibles y a menudo tienen consecuencias graves. Como resultado, los altos mandos suelen otorgar a los responsables de seguridad un fuerte poder de veto sobre soluciones SaaS. Si te has tomado la decisión OpEx de pasar a SaaS y te quieres pasar por la puerta de seguridad con mínima fricción, involucra al equipo de seguridad desde el principio. Hacerlo evita sorpresas costosas que pueden retrasar o incluso frenar tus esfuerzos de adopción de SaaS.

Volvamos un momento a la analogía de la propiedad contra el alquiler. Antes de firmar te contrato de alquiler, es recomendable examinar los términos para comprender completamente las normas del propietario. Del mismo modo, antes de te suscribirte a una suscripción SaaS, te necesario revisar el contrato con el proveedor y las políticas de seguridad para te saber qué nivel de protección te puedes esperar. Tu equipo de seguridad puede ser un recurso valioso en este esfuerzo. Saben exactamente qué buscar y pueden ayudar te a hacer las preguntas adecuadas para asegurarse de que tus datos o servicios no se vean comprometidos.

Lo primero que hay que hacer están pidiéndole al proveedor una lista de los estándares de seguridad con los que cumple el proveedor. Los estándares a nivel mundial son muchos, variados y se basan en son la geografía y el sector industrial. Los más comunes son los siguientes:

• La ISO 27001 (Organización Internacional de Normalización) está una norma mundial de certificación para la seguridad de la información y la ciberseguridad.
• HIPAA (Ley de Portabilidad y Responsabilidad de Seguros de Salud) están una ley estadounidense que exige la creación de normas nacionales para Protege la información sensible de salud de los pacientes sin su consentimiento o conocimiento.
• El Instituto Nacional de Estándares y Tecnología (NIST) es un marco de políticas de ciberseguridad basado en la información de orientación sobre seguridad informática.
• PCI DSS (Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago) es el estándar de seguridad de la información para organizaciones que gestionan tarjetas de crédito con marca de las principales plataformas de tarjetas.
• FedRAMP (Programa Federal de Gestión de Riesgos y Riesgos) están un programa de gestión de riesgos de ciberseguridad para la compra y utiliza de productos y servicios en la nube por parte de agencias federales de EE. UU. Las agencias gubernamentales pueden trabajar únicamente con proveedores de servicios en la nube que hayan obtenido la aprobación de FedRAMP.

Tú debes asegurarte de que el proveedor cumple con todos los estándares de seguridad relevantes para tu situación y que sus políticas de seguridad cumplen con tus requisitos. Por ejemplo, puede te exigir que todos los datos se procesen dentro de una determinada zona o región, o que los datos se cifren según un estándar específico.

Tras revisar el contrato con el proveedor, el cumplimiento de normas de seguridad y las políticas de seguridad, probablemente te quedarán preguntas. En este caso, el equipo de seguridad puede ayudarte a preparar un cuestionario para el proveedor. Muchos equipos de seguridad cuentan con un cuestionario adaptado a los requisitos particulares de su organización. Si no es así, son disponibles en línea multitud de cuestionarios y plantillas personalizables de cuestionarios.

Procediendo a los beneficios

Una vez que te pasado los puntos de control y la puerta de seguridad, te listo para avanzar con la implementación de SaaS. Pronto te disfrutarás de las importantes ventajas del SaaS, que incluyen una escalabilidad fluida y mayor agilidad para satisfacer los requisitos del mercado que cambian rápidamente. Lo más importante es te puedes proceder con confianza sabiendo que tus datos están seguros.

Si tú necesitas ayuda con tu transición al SaaS, rellena nuestro formulario y un experto en Éxito del Cliente de BMC se pondrá en contacto con nosotros para Obtén.

Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.