CAPITULO 2: MARCO TEORICO
2.1. Antecedentes
QUE ES CLARO CLOUD
Claro Cloud es una plataforma de almacenamiento y gestión de archivos en la
nube ofrecida por la empresa de telecomunicaciones Claro. Permite a los
usuarios almacenar, compartir y sincronizar archivos entre diferentes
dispositivos a través de internet. La plataforma también ofrece funciones de
colaboración en tiempo real, como la edición de documentos compartidos. Al
utilizar Claro Cloud, los usuarios pueden acceder a sus archivos desde
cualquier lugar con una conexión a Internet y sin necesidad de almacenar los
archivos disponibles en sus dispositivos.
Claro Cloud cuenta con un portafolio de herramientas informáticas tales como
softwares, cuentas de correo, seguridad, espacios de almacenamiento,
respaldo de información, servidores virtuales, entre otros. Claro Cloud como
herramienta tecnológica le permite al usuario hacer un uso más eficiente de sus
recursos aumentando su productividad.
Claro Cloud Empresarial Santo Domingo, República Dominicana.
Cuando una empresa crece, se va enfrentando a nuevos retos y desafíos, entre
ellos, un ciberataque. Esto ha dado lugar a que la ciberseguridad sea un tema
fundamental, en especial porque los ataques son cada vez más sofisticados,
precisos y dañinos. Según [Link], santo domingo, República
Dominicana. Cuando una empresa crece, se va enfrentando a nuevos retos y
desafíos, entre ellos, un ciberataque. Esto ha dado lugar a que la
ciberseguridad sea un tema fundamental, en especial porque los ataques son
cada vez más sofisticados, precisos y dañinos.
Un software malicioso puede ocasionar retrasos operativos de vulnerabilidad
de seguridad o una violación a los datos personales, como ha ocurrido con el
ransomware, que tuvo un crecimiento de más del 60% el año pasado. El 40%
de los directivos y responsables de IT entrevistados en la Encuesta Mundial.
Sobre el Estado de la Seguridad de la Información 2018- 2020, dice no tener
una estrategia general de seguridad de la información. Además, el 48% no
cuenta con un programa de capacitación en concientización sobre seguridad
para sus empleados, y el 54% asegura que no tiene un proceso.
La Información internacional es el primer propósito propuesto por la Carta de
las Naciones Unidas. Habiendo dicho eso, La seguridad nacional involucra
muchos aspectos, incluyendo la seguridad de la información, hoy en día, está
contenida principalmente en el ciberespacio. Por su parte, la Organización de
los Estados Americanos (OEA) considera la seguridad como uno de los pilares
fundamentales de sus operaciones. Con este fin, estableció Secretaría de
Seguridad Multidimensional (SSM) del cual el comité es parte.
La coalición Interamericana Contra el Terrorismo (CICTE). Esta institución
busca combatir prevención del terrorismo, a través de la cooperación entre los
Estados Miembros, y uno de sus proyectos están dedicados a la
ciberseguridad. Cabe mencionar que la amenaza La ciberseguridad fue
identificada por la organización como una de las más importantes amenazas
terroristas emergentes.
La OEA insiste en que la tarea de proteger los activos cibernéticos se debe
encauzar de forma masiva y contemplando a todos los actores, mediante un
enfoque integral e internacional. Un solo Estado u organización no puede hacer
frente a estas amenazas transnacionales. El esfuerzo debe ser conjunto y
multilateral, mediante la cooperación entre Estados, y dentro de éstos, la
cooperación entre sectores públicos y privados (OEA, 2004).
Así se manifestó en la web principal de la OEA dedicada a la seguridad
cibernética, más específicamente del CICTE: La Secretaría del CICTE emplea
un enfoque integral en la construcción de capacidades de seguridad cibernética
entre los Estados Miembros, reconociendo que la responsabilidad nacional y
regional para la seguridad cibernética cae sobre una amplia gama de entidades
tanto del sector público como el privado, los cuales trabajan en aspectos
políticos y técnicos para asegurar el ciberespacio (OEA, 2018).
En el informe de octubre del 2019 que fie lanzado por la oficina Nacional de
estadísticas (ONE)1 titulado Encuesta Demanda de Recursos Humanos en la
Tecnología de la Información y Comunicación y Cooperación Empresarial
Universitaria en la República Dominicana, se contempla la Estrategia Nacional
de Desarrollo de la República Dominicana para el 2030. Esta propone, siete
políticas transversales que deberán ser incorporadas en todos los planes,
programas y proyectos que tienen como propósito, “promover el uso de las
tecnologías de la información y comunicación como instrumento para mejorar la
gestión pública y fomentar una cultura de transparencia y acceso a la
información, mediante la eficientizarían de los procesos de provisión de
servicios públicos y la facilitación del acceso a los mismos”.
Las siete políticas transversales se encuentran en el segundo eje estratégico
de la Estrategia nacional de Desarrollo de la República Dominicana para el
2030. Estas siete políticas son:
o Educación de calidad para todos y todas.
o Salud y seguridad social integral.
o Igualdad de derechos y oportunidades.
o Cohesión territorial.
o Vivienda digna en entornos saludables.
o Cultura e identidad nacional en un mundo global.
o Deporte y recreación física para el desarrollo humano.
La historia del problema
El problema de ciberseguridad en la nube es relativamente nuevo, ya que la
computación en la nube como modelo de entrega de servicios de tecnología de
la información solo se popularizó a finales de la década de 2000. Sin embargo,
la historia del problema se puede dividir en varias etapas clave.
Durante la primera etapa, la nube fue vista como una forma relativamente
segura de almacenar y procesar datos. Sin embargo, a través del tiempo la
nube se volvió más popular, se descubrieron varias vulnerabilidades de
seguridad. Los ataques cibernéticos empezaron a dirigirse a la nube, y los
proveedores de servicios en la nube tuvieron que enfrentar una serie de
desafíos de seguridad.
Luego, en la segunda etapa, se desarrollaron herramientas y tecnologías para
abordar los desafíos de seguridad en la nube. Se crearon nuevas soluciones de
seguridades específicas para la nube, y los proveedores de servicios en la
nube
comenzaron a implementar políticas de seguridad más estrictas. Sin embargo,
la falta de estándares de seguridad uniformes continuó siendo un problema.
Actualmente, la ciberseguridad en la nube se caracteriza por una mayor
conciencia de seguridad y una mayor preocupación por la privacidad de los
datos. Los proveedores de servicios en la nube han mejorado la seguridad en
la nube mediante la implementación de técnicas avanzadas de seguridad como
el cifrado de datos y la autenticación multifactorial. Además, se han
desarrollado nuevas regulaciones y marcos de seguridad para abordar los
desafíos de seguridad en la nube.
En general, la historia del problema de ciberseguridad en la nube ha estado
marcada por una evolución constante de las amenazas de seguridad y las
soluciones de seguridad. A medida que la nube continúa siendo una parte cada
vez más importante de la infraestructura de tecnología de la información, es
probable que la seguridad en la nube siga siendo un tema importante en los
próximos años.
2.2. Marco teórico y estado del arte
El desarrollo de esta investigación aborda los métodos y funcionamientos que
utiliza el sistema de ciberseguridad en la nube de la empresa Claro Cloud para
mitigar los ciberataques en las empresas, para esto se recopilo información de
las bases de datos desarrolladas para contener este tipo de incidentes.
Durante los últimos años, hemos experimentado como la computación en la
nube ha impulsado la transformación digital como ninguna otra disrupción
tecnológica lo había hecho antes.
En este sentido, uno de los más grandes desafíos para las empresas de todos
los rubros y tamaños, en especial para Claro Cloud, es terminar con los mitos
en relación a los servicios en la nube y la seguridad con que operan los
sistemas desarrollados en infraestructuras cloud.
Actualmente, el fenómeno de la seguridad en la nube está generando grandes
desafíos en materias de seguridad. Es por esto, que tanto el cloud computing
como la ciberseguridad, se han convertido en los puntos que encabezan las
listas de prioridades de las empresas con un alto componente tecnológico.
Prácticas recomendadas para mejorar la seguridad en la nube, según Webdox.
A pesar de que la responsabilidad de la ciberseguridad en la nube es una tarea
compartida, es crucial que los clientes y/o empresas establezcan por cuenta
propia una serie de medidas de seguridad para proteger sus aplicaciones y los
datos almacenados en la nube, con el objetivo de mitigar riesgos de seguridad.
Entre las principales prácticas recomendadas en ciberseguridad, destacan:
Resguardar los datos de la consola de gestión cloud: Claro Cloud
cuenta con una consola en la nube, sistema que otorga una completa
interfaz web para la organización, que permite gestionar y consultar toda
la información de los servicios cloud, como aplicaciones web,
administración de cuentas, gestión de bases de datos, sistemas
virtuales, redes o almacenes de datos.
Proteger la infraestructura virtual: Este es otro de los objetivos de
interés de los ciber atacantes: servidores virtuales, contenedores,
almacenes de datos y otros recursos similares pueden ser vulnerados si
no se protegen adecuadamente.
Protección de claves SSH de API: Un servidor SSH puede autenticar
a
los clientes a través de distintos sistemas. La forma más común es la
autenticación por medio de contraseñas, que es fácil de usar, pero no es
la más segura. Por lo mismo, otra buena práctica de resguardo para la
ciberseguridad, es proteger las claves SSH de API, eliminando las
claves SSH incrustadas de las aplicaciones y asegurándose de que solo
las aplicaciones autorizadas tengan acceso a ellas, evitando que queden
instaladas en repositorios públicos.
Protección en el desarrollo y administración de DevOps: Los
procesos de desarrollo y operaciones de aplicaciones son
probablemente uno de los aspectos más importantes a considerar en
términos de ciberseguridad. Los ciberdelincuentes generalmente
intentan explotar las consolas y herramientas de administración de
DevOps con el objetivo de lanzar ataques o robar datos.
Proteger el código de los procesos de desarrollo y operaciones: es
habitual que los desarrolladores inserten las credenciales de seguridad
en el código fuente almacenado en el almacenamiento compartido o en
los repositorios de código públicos en la nube. Esto puede generar
vulnerabilidades en el proceso de DevOps cuando las credenciales de
aplicaciones son mal administradas, robando por ejemplo información de
propiedad exclusiva y generando problemas más graves para el cliente.
En este sentido, la recomendación es que la organización elimine los
secretos del código fuente, implantando sistemas y prácticas para
supervisar y controlar el acceso de forma automática de acuerdo a cada
política del negocio.
Proteger los accesos de administración para los proveedores en la
nube: como mencionamos anteriormente, todos los proveedores de
servicios en la nube (SaaS) cuentan con una consola de gestión
integrada para administrar usuarios y servicios. Sin embargo, estas
cuentas de administración son otro blanco para los ciber atacantes. Para
evitar riesgos, los clientes deben controlar y supervisar periódicamente y
de forma estricta los privilegios de acceso a la consola de administración
SaaS para garantizar la seguridad de los datos.
Según el informe de Gartner recientemente, para el próximo año, se proyecta
que al menos el 95% de los fallos de seguridad en la nube serán culpa del
cliente. Son muchísimas las compañías que aún no han comprendido el SRM y
el alto nivel de riesgo en seguridad que esto representa.
En una encuesta realizada por Oracle y KPMG en el 2020, sobre el grado de
comprensión de las organizaciones que usan los servicios en la nube, la gran
mayoría manifestó estar familiarizada con el término de Modelo de
Responsabilidad Compartida de Seguridad. No obstante, solo el 8% afirmó que
entendía realmente el SRM para cada tipo de servicio en la nube. La falta de
claridad al respecto hace que muchas empresas pasen por alto varias de las
responsabilidades que tienen dentro de la nube.
Una solución efectiva para este problema es partir de una formación en las
organizaciones orientadas a un cambio cultural en el que todas las partes
implicadas discutan sobre el tema de ciberseguridad. Entender qué es la nube
y qué requisitos de protección están bajo la responsabilidad de la compañía
resulta decisivo antes de realizar la migración del negocio. Evite que los
delincuentes sean quienes descubran las tareas que no se cumplieron.
Un conocido caso de incumplimiento de responsabilidades en la nube fue la
violación de datos del banco Capital One en 2019. En dicha ocasión, una
errónea configuración de un firewall en el proceso de integración de las
soluciones de la nube, permitió el robo de información de tarjetas de crédito de
más de 100 millones de clientes. La conclusión fue que el holding financiero, y
no los proveedores de servicio de la nube, fue el responsable por la pérdida
monetaria y el tiempo invertido en arreglar ese error, ya que la adecuada
integración a la nube estaba entre sus obligaciones, según el SRM.
Si su empresa se encuentra entre aquellas que desean evitar este tipo de
inconvenientes con la seguridad en los servicios de las nubes, respondiendo
debidamente a sus obligaciones, Fluid Attacks recomienda entender las
responsabilidades de su empresa al contratar este tipo de servicios, gestionar
esta responsabilidad y además, recurrir a las pruebas de seguridad para el
pronto hallazgo de vulnerabilidades. Son diversas las técnicas de evaluación
automáticas y manuales que se pueden implementar, ya sea que usted aloje
sus activos en AWS, GCP, Azure, o cualquier otra nube.
La continua penetración en sus infraestructuras permitirá analizar la
arquitectura y la integridad de sus controles de seguridad, para luego
determinar qué ha de ser corregido y remodelado, y a partir de allí poder
garantizar la seguridad de sus activos.
Fluid Attacks, compañía dedicada al hacking ético en los sistemas informáticos
empresariales, analiza algunos efectos de migrar la información hacia la nube
para las empresas, en un año protagonizado por la pandemia y el trabajo
remoto.
2.3. Marco normativo
A continuación, se desarrollarán los términos legales y artículos establecidos
en la ley sin el uso de las tecnologías de la información y comunicación, que
nos acercan y abren las puertas a un mundo globalizado, incluyente y del
conocimiento. Sabiendo también que abren puertas a riesgos y amenazas,
cada día más comunes y avanzadas que representan una alta vulnerabilidad
para nuestra soberanía y sociedad y que la única forma de enfrentarlos es a
través de esfuerzos mancomunados a nivel nacional, regional y mundial para
prevenir y responder eficazmente los ataques cibernéticos.
En tal virtud, el 19 de junio 2018, la promulgación del Decreto No. 230-18, el
cual crea la Estrategia Nacional de Ciberseguridad ha permitido establecer las
directrices a ser adoptadas, para que nuestro país se encuentre en condiciones
de prevenir, detectar y gestionar incidentes generados en los sistemas de
información del Estado y en las infraestructuras críticas nacionales; este
importante paso ha colocado a la República Dominicana dentro de los diez (10)
países de la región de Latinoamérica y el Caribe en contar con este tipo de
documento político. Desde ya hemos realizado importantes avances
promoviendo una cultura de Ciberseguridad a través de la realización de
eventos y talleres en coordinación con el sector público y privado.
Esta estrategia persigue que, a través del trabajo en conjunto de todos de los
sectores de la sociedad, la República Dominicana cuente con un ciberespacio
más seguro para los ciudadanos, empresas y administración pública. La
Presidencia de la República preside el Consejo Nacional de Seguridad
Cibernética, integrado por el Ministerio de la Defensa (MIDE), el Ministerio del
Interior (MIP), la Procuraduría General de la República (PGR) y
Telecomunicaciones de República Dominicana Instituto de Investigaciones
(INDOTEL). , Departamento de Investigaciones (DNI), Policía Nacional (PN),
Oficina de Tecnologías de la Información y las Comunicaciones (OGTIC),
Banco Central de la República Dominicana, Departamento de Estado.
El Consejo cuenta con el apoyo de organizaciones internacionales como la
Organización de los Estados Americanos (OEA), el Banco Interamericano de
Desarrollo (BID) y la Unión Europea. Según el último Índice de Ciberseguridad
Global 1 de la Unión Internacional de Telecomunicaciones (UIT), República
Dominicana ocupa el puesto 66 en el ranking mundial de 182 países, en
comparación con el 92 en la versión anterior. A nivel regional, países ocuparon
el puesto 6 de 35 países, pasando del décimo lugar frente a en la medición de
2018. Muestra una mejora continua en el fortalecimiento de los pilares que
conforman la Estrategia Nacional de Seguridad Cibernética.
Países con mejoras continuas sobre la estrategia nacional de seguridad
cibernética.
Tabla No. 1 Fuente: Centro Nacional de Ciberseguridad República Dominicana CNC 2021
2.4. Fundamentos tecnológicos
Conjunto de soluciones almacenadas en centro de datos, que le permite utilizar
archivos, aplicaciones e infraestructura de cómputos desde cualquier lugar y
dispositivo con acceso a Internet. Esta plataforma tecnológica le permite hacer
un uso más eficiente de sus recursos, dado que solo paga lo que adquiere y
usa lo que necesitas, ayudando a su empresa a ahorrar y ser más productiva.
Claro Cloud, soluciones flexibles y escalables que le permiten crecer acorde a
los requerimientos de su empresa. A partir de esto se trabaja no sólo para
prevenir, sino también para dar confianza a los clientes y al mercado, pudiendo
así reducir el riesgo de exposición del usuario y de los sistemas.
Es por ello por lo que los expertos en ciberseguridad se encuentran muy
demandados en el mercado laboral, y cada día este número aumenta. Las
empresas necesitan de estos profesionales ya que saben que la prevención es
la clave para proteger la información y así evitar situaciones de vulnerabilidad
con secuelas inmensas para dichas empresas. El de Cybersecurity
Fundamentals responde a esta demanda y está dirigido a las personas que
quieran iniciarse en esta especialidad obteniendo la certificación internacional y
nacional.
Mientras las prácticas de seguridad de la información tradicionales, se
concentran en que “el mundo no dañe el sistema”, procurando una serie de
acciones y actividades que incrementen la resistencia del sistema a los
ataques, las nuevas estrategias de ciberseguridad, deben sintonizar las
anteriores para evitar que el sistema “pueda dañar el mundo”, esto es, entender
la misión que tiene el sistema en el mundo y sus impactos, para así desarrollar
un enfoque agregado de protección que evite dañar la realidad exterior y
asegurar la resistencia del sistema frente a ataques del exterior.
Siguiendo las reflexiones de Clark y Knake (2010), el ciberespacio es una
realidad emergente que se compone de cuatro elementos fundamentales:
contexto físico, fundamentos lógicos, contenidos y actores.
Cada uno de ellos interactuando entre sí, le dan vida a un ente de construcción
colectiva que vincula el mundo real con la realidad digital del flujo de
información, donde se construyen y reinventan las relaciones entre los
diferentes actores. Por su parte en el pasado, eran unos pocos los que tenían
el control de los contenidos que se subían a la infraestructura; hoy el proceso
de apertura y democratización que ha tenido el ciberespacio, permite que
cualquier persona que tenga acceso a este mundo digital, tenga la capacidad
de crear sus propios contenidos y propagarlos de la forma que mejor le
parezca.
En este escenario, el ciberespacio según Choucri (2012), es una plataforma de
interacción humana, soportada en una realidad tecnológica que ofrece las
siguientes características: es atemporal e instantáneo; ubicuo; está en todas
partes; es permeable; traspasa todas las fronteras; es fluido; está en revolución
y cambio permanente; es participativo y universal; de contribución popular; con
múltiples identidades; procura el anonimato; es autorregulado y finalmente,
busca la neutralidad tecnológica.
En consecuencia, el ciberespacio establece un reto conceptual y práctico tanto
para la sociedad, como para las diferentes disciplinas científicas, pues sus
múltiples aproximaciones y variables, motivan diversas reflexiones que crean
visiones y tendencias aprobadas por algunos y controvertidas por otros (Clark;
Berson y Lin 2014, Choucri, 2012). Así, una política de ciberseguridad es un
instrumento que desarrollan las naciones para comunicar y manifestar aquellos
aspectos que un Estado desea proteger en el ciberespacio.
Es una declaración que materializa la postura de un gobierno para vincular de
manera decidida al ciudadano, sus derechos y deberes ahora en un escenario
de la realidad extendida de la sociedad, donde la información instantánea, la
movilidad y las redes sociales son la norma de su operación.
Para una buena Ciberseguridad en la nube se pueden incluir:
Autenticación y autorización: Se deben emplear técnicas para
verificar la identidad de usuarios y sistemas y autorizar el acceso
a datos y funcionalidades de acuerdo con las políticas de
seguridad establecidas.
Cifrado y encriptación: Es necesario encriptar los datos que se
transmiten y almacenan en la nube para protegerlos de accesos
no autorizados. El cifrado debe ser suficientemente fuerte para
evitar que terceros puedan descifrar los datos.
Gestión de identidad y acceso: Es importante disponer de una
gestión centralizada de la identidad y accesos a los recursos, la
cual permita controlar el acceso a los datos y aplicaciones en
función de roles y permisos.
Monitorización y análisis de logs: Se deben emplear técnicas
de monitorización y análisis de los logs para identificar posibles
amenazas y comportamientos anómalos.
Mecanismos de detección de intrusiones: Es necesario contar
con herramientas de detección que permitan identificar
intrusiones y prevenir posibles ataques que comprometan la
seguridad de los datos.
Plan de contingencia: Se debe disponer de un plan de
contingencia que permita asegurar la disponibilidad de los datos y
la continuidad del servicio en caso de un incidente de seguridad.
Estos son algunos de los fundamentos tecnológicos que se deben tener en
cuenta para garantizar una buena Ciberseguridad en la nube. La
ciberseguridad en la nube es un tema clave en la actualidad debido al aumento
del uso de la nube para almacenar y procesar datos. Los fundamentos
tecnológicos para la ciberseguridad en la nube comprenden todas las técnicas
y herramientas utilizadas para proteger los sistemas y datos que se encuentran
en la nube, prevenir el acceso no autorizado, identificar y corregir
vulnerabilidades, y garantizar la confidencialidad, integridad y disponibilidad de
los datos y sistemas.
Entre los fundamentos tecnológicos para la ciberseguridad en la nube se
incluyen la autenticación y autorización de usuarios y sistemas, el cifrado y la
encriptación de datos, la gestión de identidad y acceso, la monitorización y
análisis de los logs de actividad para detectar comportamientos anómalos y la
implementación de mecanismos de detección de intrusiones. También es
importante contar con un plan de contingencia que permita recuperar los datos
y sistemas en caso de un incidente de seguridad
Fuente: Google Académico
