confianza en la nube - · pdf filersa envision recopila, analiza y notifica incidentes de...
TRANSCRIPT
1 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Confianza en la nube
2 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Agenda
• Nueva organización de TI en capas: transformación y retos
• Seguridad más efectiva
• La fórmula de la confianza = visibilidad + control
• Estudios de casos
• Mejores prácticas con servicios de consultoría
3 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
4 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Transformación del acceso
del usuario final
Transformación de
las aplicaciones
La nueva organización de TI en capas presenta nuevos retos
Nueva plataforma de aplicaciones
Nuevo sistema informático
del usuario final
Transformación de
la infraestructura
Privada
Infraestructura
de nube híbrida Pública
5 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
La virtualización cambia la dinámica de la seguridad
Basada en perímetro
Centrada en la información
Agregada Incorporada
Estática/ reactiva
Adaptable y basada en riesgos
6 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Retos de seguridad
Las inquietudes sobre seguridad y cumplimiento de normas obstaculizan la implementación de la
virtualización y de la nube
Se pierde la oportunidad de lograr mayor eficiencia y agilidad en el negocio
Los CISO deben administrar la seguridad
y el cumplimiento de normas en la TI virtual,
física y de nube
7 © Copyright 2011 EMC Corporation. Todos los derechos reservados. 7
“Nos preguntamos, ¿hemos identificado todos los riesgos?
Estamos yendo a ciegas”. (CISO del ranking Global 1,000)
8 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
¿Que necesita para contruir la Nube de Confianza?
9 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Actualmente, el SO y la plataforma de aplicaciones se encargan de aplicar la mayor parte de la seguridad. Este proceso es:
• Inefectivo
• Inconsistente
• Complejo
APLIC.
SO
APLIC.
SO
APLIC.
SO
APLIC.
SO
Infraestructura física
Oportunidad para lograr seguridad más efectiva en ambientes virtualizados
10 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Capa de aplic. virt. y VM
APLIC.
SO
APLIC.
SO
APLIC.
SO
APLIC.
SO
Infraestructura física
La incorporación de la aplicación de la seguridad de la información en la capa de infraestructura garantiza:
• Consistencia
• Administración de seguridad simplificada
• La posibilidad de que los clientes superen los niveles de seguridad posibles en las infraestructuras físicas actuales
Infraestructura virtual y de nube
Oportunidad para lograr seguridad más efectiva en ambientes virtualizados
11 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Replanteamiento de la plataforma de seguridad
Capa de administración del control
Aprovisionamiento | Monitoreo
Capa de control
Detección | Aplicación
Información
contextual enriquecida
La seguridad se
está transformando
en un elemento
incorporado y
automatizado
Capa de visibilidad y de buen manejo y control
GRC | Inteligencia | Contexto Equipo de riesgo y cumplimiento
de normas
Equipo de seguridad
Operaciones de TI
12 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Soluciones de RSA para visibilidad + control en ambientes virtualizados
13 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Activación del ciclo de buen manejo, control y visibilidad
Descubrimiento de la infraestructura de VMware
Definición de políticas de seguridad
Corrección de controles que no cumplen con las normas
RSA Archer eGRC
Administración de incidentes de seguridad que afectan el cumplimiento de normas
Evaluación de configuración manual y automatizada
Más de 100 controles específicos de VMware incorporados a la librería de Archer y mapeados a reglamentaciones/estándares
El componente de solución evalúa la configuración de VMware y actualiza Archer automáticamente
RSA enVision recopila, analiza y notifica incidentes de seguridad de productos RSA, VMware y del ecosistema para brindar información a los tableros de Archer
RSA Securbook
14 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
RSA Archer: plataforma de eGRC para ambientes VMware
Director ejecutivo
Admin. de infraestructura virtual
Fuentes de autoridad
PCI, HIPAA, SOX, CSA, guía de
consolidación de VMware, etc. “10.10.04 Administrator and Operator Logs”
Estándar de control
Controles de seguridad generalizados “CS-179 Activity Logs – system start/stop/config
changes etc.”
Procedimiento de control
Control específico para tecnología “CP-108324 Persistent logging on ESXi Server”
15 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Descubrimiento de dispositivos + medición de configuración
RSA Solution for Cloud Security and Compliance v1.0
Controles específicos de VMware
RSA Archer eGRC
RSA enVision
Agente de medición
automatizado
Alertas
Corrección guiada
16 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Cumplimiento de normas: física + virtual
17 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Visibilidad de la nube híbrida
Alineación con CSA Consensus Assessments Initiative Questionnaire mediante la automatización de 195 preguntas que los clientes pueden enviar para evaluar a los proveedores de servicio de nube
Arquitectura de nube
Administración de riesgo empresarial y buen manejo y control
Descubrimiento legal y electrónico
Cumplimiento de normas y auditoría
Administración del ciclo de vida de la información
Capacidad de transporte e interoperabilidad
Seguridad, cont. del negocio y recup. de desastres
Operaciones de centro de datos
Respuesta ante incidentes, notificación y corrección
Seguridad de las aplicaciones
Cifrado y administración de claves
Administración de las identidades y del acceso
Virtualización
Los 13 dominios de atención para el cómputo
en la nube según Cloud Security Alliance
Evaluación del cumplimiento
de normas de Archer por parte
del proveedor de servicios
18 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Caso de uso: reducción del riesgo de robo de máquinas virtuales
RIESGO
A menudo, la protección de la infraestructura virtual se reduce a una lista de verificación de mejores prácticas. La consolidación del ambiente VMware es compleja y difícil de verificar. ¿Qué puedo hacer para limitar el riesgo de robo de máquinas virtuales de mi centro de datos?
Es necesario tomar medidas preventivas que limiten el acceso a los archivos de máquinas virtuales, por ejemplo:
• Desactivar el navegador del área de almacenamiento de datos • Limitar el acceso del usuario de almacenamiento • Limitar el uso de la consola de servicio • Utilizar el concepto de función con menor privilegio para el acceso a los datos y al sistema
19 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Caso de uso: reducción del riesgo de robo de máquinas virtuales
SOLUCIÓN
Resultados: Se implementan y verifican mejores prácticas de cumplimiento de normas y seguridad alineadas directamente con las reglamentaciones y las políticas de la empresa
• Archer cuenta con procedimientos de control incorporados para verificar el acceso a los archivos de máquinas virtuales y otras mejores prácticas
• Desde una consola centralizada, las operaciones de TI y de seguridad pueden detectar fácilmente si los controles aplican las políticas
• La solución identifica los dispositivos VMware, evalúa el estado de la configuración e informa al administrador responsable
• El monitoreo de enVision garantiza que los eventos de seguridad no afecten el panorama de cumplimiento de normas
20 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Caso de uso: evaluación de los proveedores de servicio de nube
Resultados: el establecimiento de parámetros para proveedores en función de estándares de CSA
RIESGO: elección del proveedor de servicios equivocado
21 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Visibilidad y monitoreo: RSA enVision Optimizado para ambientes VMware complejos
• Administración consolidada de logs de eventos de seguridad
• Monitoreo en tiempo real
• Alertas correlacionadas
• Administración de incidentes
• Creación de informes e historial
22 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
RSA enVision: • Recopilación de logs de la plataforma de VMware
RSA enVision
VMware vShield VMware vCenter VMware ESX/ESXi
VMware View Manager VMware vCloud Director
• Más de 380 mensajes únicos • 19 categorías de eventos normalizadas
Posibilidad de extraer logs de varias instancias de vCenter
• VMware Collector for RSA enVision aprovecha las API de VMware mediante una conexión única y segura para recuperar logs de vCenter y ESX/ESXi
23 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Amplia visibilidad de centros de datos virtuales
Visibilidad integral de los eventos de seguridad
Administración de incidentes de seguridad,
creación de informes sobre cumplimiento de normas
RSA enVision
Validado para su uso con Vblock
vSphere
Almacenamiento
UCS
Redes
Máquinas virtuales
Aplicaciones
UIM
24 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Tablero de enVision: monitoreo de eventos del centro de datos virtual
25 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Un modo usual de aplicar parches consiste en probarlos en un ambiente de prueba.
En el mundo virtual, es posible clonar el sistema, los datos y todo
Aplicación de parche al sistema de producción: antes
Escenario
Clonar ambiente virtual 1
Este proceso resulta difícil y requiere mucho tiempo en un ambiente de
producción, pero es muy sencillo en un ambiente virtual.
Centro de datos de producción Ambiente de prueba
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
26 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Un modo usual de aplicar parches consiste en probarlos en un ambiente de prueba.
En el mundo virtual, es posible clonar el sistema, los datos y todo
Aplicación de parche al sistema de producción: antes
Escenario
Probar parche 2
Aplicar parche al ambiente de producción 3
Centro de datos de producción Ambiente de prueba
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
PARCHE PARCHE
27 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Un modo usual de aplicar parches consiste en probarlos en un ambiente de prueba.
En el mundo virtual, es posible clonar el sistema, los datos y todo
Aplicación de parche al sistema de producción: antes
Escenario
Clonar ambiente virtual 1
Este proceso resulta difícil y requiere mucho tiempo en un ambiente de
producción, pero es muy sencillo en un ambiente virtual.
Probar parche 2 Aplicar parche al ambiente de producción 3
¿Es un
procedimiento
autorizado?
¿El ambiente de prueba está
suficientemente protegido
y controlado?
¿Quién accedió a los datos
del ambiente de prueba?
¿Se destruyó la
máquina virtual
después de ser
utilizada?
Centro de datos de producción Ambiente de prueba
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
PARCHE PARCHE
28 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Escenario Aplicación de parche al sistema de producción: después
Centro de datos de producción Ambiente de prueba
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
Clonar ambiente virtual 1
Máquina virtual clonada RSA enVision crea logs sobre la actividad
administrativa de vCenter.
Por ejemplo: máquina virtual en proceso
de clonación.
Máquina virtual clonada
Parche aplicado RSA enVision
Si esto no cumple con las
políticas, se puede notificar
al analista de seguridad.
29 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Escenario Aplicación de parche al sistema de producción: después
Centro de datos de producción Ambiente de prueba
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
PARCHE
Probar parche 2
Máquina virtual clonada RSA enVision crea logs sobre la actividad
administrativa de vCenter.
Por ejemplo: máquina virtual en proceso
de clonación.
Parche aplicado El monitoreo del ambiente de prueba
garantiza la protección de los datos.
Máquina virtual clonada
Parche aplicado RSA enVision
30 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Escenario Aplicación de parche al sistema de producción: después
Centro de datos de producción Ambiente de prueba
Máq. virtual de servidor de aplicaciones
de RH
Máq. virtual de servidor de base de datos de RH
BD de RH
Nombre, número de seguridad social,
fecha de nacimiento, etc
PARCHE
Aplicar parche al ambiente de producción 3
Máquina virtual clonada RSA enVision crea logs sobre la actividad
administrativa de vCenter.
Por ejemplo: máquina virtual en proceso
de clonación.
Parche aplicado El monitoreo del ambiente de prueba
garantiza la protección de los datos.
Máquina virtual clonada
Parche aplicado RSA enVision
Si esto no cumple con las
políticas, se puede notificar
al analista de seguridad. Eliminación de máquina
virtual confirmada
31 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Clientes
VMware
Infrastructure
VMware
View Manager
Visibilidad + control para VMware View
Tablero de
cumplimiento
de normas
de RSA Archer
RSA SecurID
para autenticación
remota
Administración de logs de RSA enVision para:
•VMware vCenter y ESX(i)
•VMware View
•RSA SecurID
•RSA DLP
•Active Directory
RSA DLP para
la protección de datos
en uso Validado para su uso con Vblock
32 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Empezando y continuando su viaje a la Nube
33 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Práctica de seguridad de RSA de EMC Consulting
Estrategia Implementación Diseño Funcionamiento Dominio
Métrica Políticas Cumplimiento
de normas Implementación Planificación Plan de trabajo
Respuesta a incidentes
SOC Centro
de servicio Alcance
Estrategia de seguridad Seguridad de equipos de escritorio virtuales
Desarrollo de políticas Seguridad de la nube privada Áreas de especialidad
Componentes
de la solución
Evaluación de seguridad
Para ambientes virtualizados
Seguridad
Para ambientes VDI
Administración segura de la virtualización
Mejores prácticas y medidas de seguridad
Virtualización de
nivel internacional
Mejores
prácticas
Metodologías
comprobadas
Experiencia en
seguridad de la información
34 INFORMACIÓN CONFIDENCIAL DE EMC: SOLO PARA USO INTERNO
EMC Consulting: servicios de asesoría de nube Alinee las cargas de trabajo al modelo de TI adecuado para cumplir con los requerimientos económicos, de funcionalidad y de confianza
El aspecto económico favorece la nube pública para
estas cargas de trabajo
El aspecto económico favorece
la nube privada
Evaluación económica Evaluación funcional
Existe una oferta de nube pública
adecuada para estas cargas de trabajo
No existe una oferta de nube pública
adecuada
Dadas las inquietudes sobre confiabilidad, se sugiere la nube
pública para estas cargas de trabajo
La confianza determina el uso
obligatorio de la nube privada
Evaluación de confianza
El aspecto económico
determina el uso de la arquitectura
existente
CRM
Cadena de abastecimiento
ERP
Desarrollo de aplicaciones
Análisis
. . .
Correo electrónico
Portal de colaboración
35 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Beneficios de la evaluación de confiabilidad de la nube
RIESGO
Una empresa internacional de farmacéutica y equipos médicos con más de 250 empresas en funcionamiento deseaba acelerar la virtualización y la implementación de la nube.
Necesitaba un partner que le brindara ayuda para evaluar y comprender las opciones de nube, enfrentar las inquietudes acerca de la protección de información confidencial y desarrollar un plan para una adopción eficiente de la nube que cumpliera con las normas.
• El cliente determinó la adecuación y compatibilidad de las cargas de trabajo clave del negocio con la nube.
• Se desarrolló un plan de trabajo para la transferencia de las cargas de trabajo aprobadas a la nube.
• Se comprendieron perfectamente los costos y beneficios financieros de la nube.
• Se definieron las prácticas de seguridad de la nube.
• La transferencia a la nube de las cargas de trabajo seleccionadas está en curso.
SOLUCIÓN
36 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Gracias
rsa.com/rsavirtualization
37 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
38 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
39 © Copyright 2011 EMC Corporation. Todos los derechos reservados.
Puntos de prueba
Con el lanzamiento de RSA
Solution for Cloud Security
and Compliance, RSA se convirtió
en el primer proveedor
en enfrentar los procesos
de GRC en un ambiente
de servidores virtuales”.
Paula Musich Informe de asesoría de mercado “Virtualization Security:
The Smoke Begins to Clear”, Current Analysis,
13 de septiembre de 2010
“ RSA ha dado un paso importante.
Cuando transfiero cargas de trabajo a
la nube, obviamente, mis auditores
quieren saber qué está sucediendo.
Me gustaría que más proveedores
sigan el camino de RSA”
“
Jon Otlisk Analista principal senior de ESG
RSA Security Extends Compliance to Virtualization