Las soluciones de software como servicio (SaaS) ofrecen una flexibilidad sin precedentes a cualquier empresa. Puede acceder a ellas en la nube cuando quiera y desde cualquier lugar. Le permiten minimizar sus gastos de hardware y escalar verticalmente o horizontalmente cuando sea necesario. Con el tiempo, se pueden integrar fácilmente en un único flujo de trabajo. Sin embargo, a pesar de la creciente adopción de productos de software basados en la nube, persisten las preocupaciones sobre la seguridad del SaaS. En un estudio realizado en 2021, hasta el 98 % de las empresas encuestadas habían experimentado al menos un incidente de seguridad en los 18 meses anteriores.
Entonces, ¿significa esto que todas esas afirmaciones sobre la seguridad de los productos SaaS son pura publicidad? Bueno, no es tan evidente. Este artículo le brindará una comprensión básica de la naturaleza de los riesgos de seguridad de SaaS y cómo prevenirlos.
Los principales desafíos de seguridad del SaaS en la nube
Los entornos SaaS actuales incluyen, en promedio, 42 aplicaciones de terceros. Por un lado, tener la mayoría de los datos y procesos fuera de las instalaciones es sumamente liberador para una empresa. Por otro lado, controlar tantas aplicaciones supone un verdadero desafío. De ahí surgen dos preocupaciones clave sobre la seguridad de los datos SaaS: la falta de visibilidad y la gestión insuficiente del acceso.
La falta de visibilidad
Según una encuesta , seis de cada diez empresarios consideran la falta de visibilidad de sus entornos SaaS como uno de sus principales retos de ciberseguridad. Y no se debe solo a la cantidad de aplicaciones que deben supervisar de cerca. Cada una de estas aplicaciones incluye un conjunto específico de características de seguridad, configuraciones de acceso y políticas de privacidad, que cambian constantemente a medida que los proveedores actualizan sus productos. Además, no olvidemos la variedad de dispositivos desde los que se puede acceder a cada aplicación SaaS. Como resultado, los equipos de seguridad desconocen los riesgos reales para los datos de la empresa.
Gestión de acceso insuficiente
Con las empresas completamente desbordadas por la cantidad de aplicaciones de terceros en sus entornos de nube, solo el 12 % de las empresas con entre 50 y 99 aplicaciones en su stack SaaS realiza comprobaciones semanales de errores de configuración. Si a esto le sumamos la dependencia generalizada de los proveedores de aplicaciones SaaS en términos de seguridad, queda claro por qué considera como otra importante amenaza para la seguridad: muchos equipos de seguridad no tienen una visión completa de quién accede a los datos de la empresa, de qué manera ni a qué tipo de datos se accede.
Juntos, estos dos problemas de control tienen el potencial de causar fugas masivas de datos , lo que aumenta la vulnerabilidad de sus sistemas ante diversas ciberamenazas , como el secuestro de cuentas, ataques de ransomware, campañas de phishing y amenazas internas. Analicemos algunos casos y las lecciones que podemos aprender de ellos.
Incidentes de seguridad de SaaS y sus consecuencias
Seamos realistas: para muchos, todos esos hallazgos estadísticos son solo un conjunto de símbolos, y las advertencias de los expertos en ciberseguridad pueden parecer ajenas a nuestra propia situación. Aun así, nos guste o no, las filtraciones de datos y los ciberataques son reales. A continuación, destacamos tres incidentes de ciberseguridad que se centran en (o al menos involucran) aplicaciones SaaS que conoces y quizás uses.
Fuga global de datos de Jira
En agosto de 2019, un investigador de seguridad descubrió que miles de empresas, incluida la NASA, filtraron sin saberlo algunos de sus datos en línea debido a una sola configuración incorrecta en Jira .
Resulta que al crear paneles y filtros en Jira , la plataforma permite elegir entre varias opciones de permisos para ver estos detalles. Y ahí es donde empiezan los problemas. Algunos administradores asumen que "todos los usuarios" o "todos" significa "abierto a cualquier persona de la empresa", pero en realidad significa que son visibles públicamente e indexados en buscadores. Peor aún, estas opciones son las predeterminadas.
Los investigadores de amenazas de Varonis revelaron que hasta 3774 paneles, 244 proyectos y 75 629 problemas son de acceso público, y la mayoría de estos recursos se filtraron accidentalmente a la web. Los nombres de proyectos, avatares, propietarios, estados y correos electrónicos de usuarios son los datos más comunes que se han filtrado de esta manera. Con esta información, los atacantes pueden crear campañas de phishing, lanzar ataques de rociado de contraseñas o robo de credenciales, o atacar sistemas aún más sensibles.
Ataque a la cadena de suministro SolarWinds
A finales de 2020, el proveedor de seguridad FireEye informó de un ciberataque masivo contra SolarWinds , un destacado proveedor estadounidense de software de gestión de infraestructura de TI. Según su director ejecutivo, Sudhakar Ramakrishna , los ciberdelincuentes irrumpieron en la cuenta de Office 365 de la empresa, obtuvieron acceso a SolarWinds y las utilizaron para inyectar código malicioso en la actualización de software Orion del proveedor, que posteriormente se distribuyó a unos 18 000 clientes. Curiosamente, ni los investigadores de SolarWinds ni de Microsoft detectaron vulnerabilidades en el código de Office 365 que pudieran ser explotadas por los hackers. Ambos apuntan al robo de credenciales, más que a una vulnerabilidad.
El incidente tuvo lugar en 2019 y, según investigadores de amenazas , ha afectado a más de 100 empresas privadas estadounidenses y a las redes de nueve agencias federales. Entre ellas se encuentran Microsoft, Cisco y Deloitte, así como el Pentágono, el Departamento de Seguridad Nacional y otras entidades. Según un informe , las empresas afectadas perdieron, en promedio, el 11 % de sus ingresos anuales.
Miles de grabaciones de reuniones de Zoom disponibles en línea
Cuando llegó la pandemia, Zoom experimentó un aumento de popularidad sin precedentes, de 90 millones de usuarios diarios en diciembre de 2019 a 200 millones en marzo de 2020. Además del aumento del precio de las acciones de la empresa, esto ha provocado una ola de preocupaciones sobre la privacidad de los datos .
Por ejemplo, en abril de 2020, investigadores descubrieron miles de grabaciones de reuniones privadas de Zoom en la web abierta, por lo que cualquiera podía verlas e incluso descargarlas. ¿Fue esto resultado de una filtración masiva de datos? En absoluto. El truco está en que Zoom permite a los usuarios guardar las grabaciones de sus reuniones en la ubicación que prefieran sin contraseña. Esto se agrava aún más porque se puede guardar la grabación con su título predeterminado, que coincide con el tema de la reunión virtual. Como resultado, si se guarda el vídeo, por ejemplo, en buckets S3 de Amazon Web Services (AWS), cualquiera puede encontrarlo mediante una simple búsqueda en el almacenamiento en la nube.
Mejores prácticas de seguridad de SaaS
Según el Informe de la Encuesta de Seguridad de SaaS de 2021 , el 89 % de las empresas encuestadas señalaron que las configuraciones incorrectas de SaaS eran una de las tres principales amenazas de ciberseguridad. Los investigadores determinaron que esta es la principal fuente de los problemas de ciberseguridad presentados en el informe.
En otras palabras, no es que las aplicaciones SaaS tengan fallos de seguridad inherentes, sino que la forma en que las usamos es la principal causa de los problemas de seguridad del software como servicio. Un artículo sobre seguridad en la nube afirma que, para 2025, hasta el 99 % de los incidentes de ciberseguridad serán simplemente culpa del cliente. Entonces, ¿cómo puede garantizar la seguridad de sus aplicaciones SaaS? Estas son nuestras recomendaciones.
Evalúe todos sus riesgos
En entornos que priorizan la nube, la mayoría de las aplicaciones (si no todas) están integradas en un único ecosistema. Dicho esto, conviene auditar periódicamente cada aplicación en términos de cumplimiento normativo, restricciones de acceso disponibles, nivel de protección contra ataques informáticos, etc. Esto le permitirá definir y evaluar todos los riesgos que cada aplicación representa para su entorno de nube.
Automatiza todo lo que puedas
Es innegable que supervisar continuamente una gran cantidad de aplicaciones de terceros es una tarea abrumadora; esa es una de las razones por las que muchas organizaciones no controlan todas sus aplicaciones ni detectan problemas a tiempo. Para garantizar que nada se les escape, le recomendamos encarecidamente que examine con más detalle las herramientas de automatización, como las soluciones de Gestión de la Postura de Seguridad SaaS (SSPM). Pueden hacer el trabajo por usted.
Evite configuraciones erróneas
Muchos investigadores coinciden en que las configuraciones incorrectas, en particular la gestión deficiente del acceso y su variedad clave, suponen un grave riesgo de ciberseguridad para SaaS. Para mitigarlo, asegúrese de aprovechar al máximo la configuración de seguridad de cada aplicación. ¿Dispone de autenticación multifactor? Actívela. ¿Su aplicación permite varios niveles de permisos de acceso para los usuarios? Analice quién usará la herramienta y configure los permisos según corresponda.
Adopte la política de acceso con privilegios mínimos
Minimiza al máximo el número de usuarios que pueden acceder a tus datos corporativos. Sigue la regla general: si una restricción de acceso no afecta negativamente a tu flujo de trabajo, aplícala. Esto ayudará a evitar incidentes similares al que experimentaron los usuarios Jira .
Implementar estándares
Las personas tienden a ser descuidadas con los datos corporativos. DoControl descubrió que el 20 % de todos los activos SaaS corporativos se comparten internamente mediante un enlace y el 18 % externamente, lo que expone los datos a usuarios no autorizados. Desarrollar estándares de uso de aplicaciones para guiar a su personal ayudará a minimizar este tipo de filtraciones de datos.
Eduque a su personal
La falta de atención a los activos corporativos también podría deberse a que algunos empleados no están capacitados para gestionar los datos de forma responsable o desconocen la necesidad de hacerlo. Un programa formal de concienciación sobre seguridad con sesiones de formación periódicas solucionará este problema. También reducirá el riesgo de ataques mediante técnicas de ingeniería social.
Evite el exceso de aprovisionamiento
Los entornos SaaS modernos están saturados. Las investigaciones demuestran que más de la mitad de las aplicaciones de una pila SaaS promedio no se han utilizado en más de seis meses. Tener tantas aplicaciones que podrían contener datos confidenciales es un riesgo excesivo. Por lo tanto, elimine el exceso de aplicaciones en cuanto las detecte.
Escanee cuidadosamente cada aplicación antes de incorporarla a su pila
Cuantas más aplicaciones tenga, mayores serán los riesgos de ciberseguridad a los que expondrá sus datos. Por ello, sea minucioso con cada aplicación que planee usar para su negocio. Las siguientes preguntas le ayudarán a descartar proveedores poco fiables:
- ¿El diseño del sistema de control de acceso permite prevenir problemas de seguridad de la red?
- ¿Las configuraciones de acceso contienen varios niveles de restricciones de acceso de usuario?
- ¿Necesita cumplir con regulaciones como GDPR o la HIPPA (o cualquier otra regulación relevante para su caso)?
- ¿Está usted preparado para realizar comprobaciones externas de ciberseguridad?
- ¿Tiene alguna certificación de ciberseguridad, como ISO?
- ¿Pueden sus clientes controlar dónde se almacenan sus datos?
- ¿Dónde almacenas los datos de la aplicación? ¿En un proveedor de nube reconocido, como AWS, o en un centro de datos privado?
- ¿Se cifran los datos en transición y en reposo?
- ¿Cuánto tiempo conservas los datos en tu aplicación antes de eliminarlos?
- ¿Cómo evitar que se pierdan los datos del usuario en un desastre natural?
Esta es la lista básica de verificación de seguridad de SaaS, y es posible que se requieran otras consideraciones para su negocio en particular. Pero aquí viene el siguiente desafío. Por ejemplo, se ha dado cuenta de que su plataforma actual de atención al cliente presenta numerosas vulnerabilidades de seguridad y desea cambiar a una opción más segura. Entonces, la pregunta es: ¿existe una forma segura de migrar sus datos fácilmente de una plataforma a otra? Encuentre la respuesta a continuación.
Cómo Help Desk Migration evita los riesgos de ciberseguridad
Si busca migrar los datos de su soporte técnico de forma segura, no necesita buscar en internet un proveedor de migración de datos confiable. Simplemente deje que nuestra , Help Desk Migration , se encargue de ello de forma segura. Estos son algunos de los estándares de seguridad SaaS que seguimos para proteger sus datos.
Medidas técnicas
En Help Desk Migration, creemos firmemente que la seguridad de una aplicación, en términos de su diseño, es responsabilidad exclusiva del proveedor. La migración de datos del servicio de asistencia con nuestro servicio es segura gracias a las siguientes medidas:
- Protección de acceso para empleados. Todos los dispositivos que nuestros empleados utilizan para acceder a nuestro servicio están cifrados (para que nadie pueda leerlos). Ninguno puede iniciar sesión en nuestras aplicaciones web sin autenticación de dos factores. Además, los administradores de la Help Desk Migration , así como los empleados remotos, utilizan un WARP de Cloudflare. Además, solo los ingenieros técnicos autorizados pueden acceder al código fuente, implementar la migración personalizada y resolver problemas técnicos a petición del equipo de soporte.
- Política de retención de datos. Eliminamos todos los datos de migración diez días después de la migración de demostración y cinco días después de la migración completa (podemos acortar o prolongar el periodo de retención si lo solicita). No almacenamos las contraseñas de los clientes.
- Protección del entorno de producción. Nos esforzamos al máximo para garantizar que nuestro equipo de desarrollo pueda trabajar en nuestro servicio en un entorno protegido. Esto incluye diversas medidas, como el intercambio de claves públicas y privadas en lugar de contraseñas para acceder a los servidores, la autenticación de dos factores para el panel de administración, una configuración estricta del firewall, etc.
- Infraestructura. Toda nuestra infraestructura se encuentra en Alemania y está alojada en AWS. Instalamos y gestionamos todos los silos de datos dentro de esta infraestructura, excepto las copias de seguridad almacenadas en AWS S3. Además, prestamos especial atención a la seguridad física de nuestros servidores y servicios.
- Protección de datos en tránsito y en reposo. Nuestra red privada está altamente protegida con firewalls, medidas anti-DDoS y evaluaciones periódicas del estado de la red. El cifrado SSL protege los datos que fluyen por internet. También utilizamos cifrado de disco para proteger los datos estáticos, de modo que solo los usuarios autorizados puedan acceder a ellos.
Medidas organizativas
Aunque nuestro servicio es seguro por diseño, implementamos diversas medidas organizativas para eliminar incluso la más mínima posibilidad de fuga de información. Estas incluyen:
- Confidencialidad. Antes de su incorporación, todos nuestros empleados firman una cláusula especial en su contrato de trabajo, que les obliga a no revelar ninguna información confidencial relacionada con el Help Desk Migration .
- Continuidad del negocio.
- Nos comprometemos a prestar nuestros servicios durante al menos seis meses.
- Auditorías de seguridad. Analizamos periódicamente nuestros sistemas para detectar vulnerabilidades y realizamos actualizaciones cuando es necesario.
- Recuperación ante desastres. Tomamos todas las medidas necesarias para garantizar que sus datos permanezcan intactos tras un desastre natural.
- Segregación de funciones (SoD). Para minimizar los riesgos, nos adherimos a las políticas de SoD. Esto significa que, en lugar de otorgarle a un solo empleado el control total de un proceso, distribuimos esta función entre varios miembros del equipo.
Características de seguridad
Y, por supuesto, ninguna solución SaaS fiable está completa sin diversas configuraciones de seguridad que permitan a los usuarios disfrutar de una protección completa. En lo que respecta a Help Desk Migration, estas incluyen:
- Autenticación de dos factores. Nuestro proceso de inicio de sesión no se limita a la tradicional combinación de contraseña y correo electrónico. Recomendamos activar la autenticación de dos factores para mayor seguridad.
- Monitoreo de acceso. En el Asistente de Migración, nuestra herramienta que le permite personalizar su estructura de datos, se almacena toda la actividad del usuario. Puede ver la dirección IP, los datos del dispositivo y la hora de inicio de sesión.
También recomendamos a nuestros usuarios que cambien sus contraseñas y restrinjan los permisos de acceso que nos otorgaron para transferir sus datos cinco días después de la migración. Si cree haber detectado una vulnerabilidad, estaremos encantados de hablarlo.
Cumplimiento
Nos enorgullecemos de nuestra amplia cartera de cumplimientos, que mantenemos actualizada y ampliamos con frecuencia. Actualmente, cumplimos con HIPAA, GDPRUE, ISO/IEC 27001:2013 y PCI DSS.
Este es un breve resumen de cómo garantizamos la migración segura de datos. Si desea obtener más información sobre las medidas que tomamos para proteger sus datos, puede consultar nuestra de Política de Seguridad , familiarizarse con nuestro Acuerdo de Nivel de Servicio o solicitarnos que completemos un cuestionario de seguridad.
