Las soluciones de software como servicio (SaaS) ofrecen una flexibilidad sin precedentes a cualquier empresa. Puede acceder a ellas en la nube cuando quiera y desde cualquier lugar. Le permiten minimizar sus gastos de hardware y escalar verticalmente o horizontalmente cuando sea necesario. Con el tiempo, se pueden integrar fácilmente en un único flujo de trabajo. Sin embargo, a pesar de la creciente adopción de productos de software basados en la nube, persisten las preocupaciones sobre la seguridad del SaaS. En un estudio realizado en 2021, hasta el 98 % de las empresas encuestadas habían experimentado al menos un incidente de seguridad en los 18 meses anteriores.
Entonces, ¿significa esto que todas esas afirmaciones sobre la seguridad de los productos SaaS no son más que publicidad engañosa? Bueno, no es tan sencillo. Este artículo te brindará una comprensión básica de la naturaleza de los riesgos de seguridad de SaaS y cómo puedes prevenirlos.
Los principales desafíos de seguridad del SaaS en la nube
Los entornos SaaS actuales incluyen, en promedio, 42 aplicaciones de terceros. Por un lado, tener la mayor parte de los datos y procesos fuera de las instalaciones de la empresa resulta sumamente ventajoso. Por otro lado, controlar tantas aplicaciones supone un verdadero desafío. Y ahí radican dos preocupaciones clave en materia de seguridad de datos SaaS: la falta de visibilidad y la gestión de accesos insuficiente.
La falta de visibilidad
Según una encuesta, seis de cada diez empresarios consideran la falta de visibilidad de sus entornos SaaS como uno de sus principales desafíos de ciberseguridad. Y no se debe únicamente a la cantidad de aplicaciones que deben supervisar. Cada una de estas aplicaciones cuenta con un conjunto individual de características de seguridad, configuraciones de acceso y políticas de privacidad, que cambian constantemente a medida que los proveedores actualizan sus productos. Por si fuera poco, no olvidemos la variedad de dispositivos desde los que se puede acceder a cada aplicación SaaS. Como resultado, los equipos de seguridad tienen escaso conocimiento de los riesgos reales para los datos de la empresa.
Gestión de acceso insuficiente
Dado que las empresas se ven completamente desbordadas por la cantidad de aplicaciones de terceros en sus entornos de nube, solo el 12 % de las empresas con entre 50 y 99 aplicaciones en su pila SaaS realizan comprobaciones semanales de mala configuración. Si a esto le sumamos la dependencia generalizada de los proveedores de aplicaciones SaaS en materia de seguridad, queda claro por qué la gestión inadecuada del acceso se considera otra importante amenaza para la seguridad por parte de la mayoría de las empresas: muchos equipos de seguridad no tienen una visión completa de quién accede a los datos de la empresa y de qué manera, ni qué tipo de datos se están consultando.
En conjunto, estos dos problemas de control pueden provocar fugas masivas de datos, lo que hace que sus sistemas sean más vulnerables a diversas amenazas cibernéticas, como el secuestro de cuentas, los ataques de ransomware, las campañas de phishing y las amenazas internas. A continuación, analizaremos algunos casos y las lecciones que podemos extraer de ellos.
Incidentes de seguridad de SaaS y sus consecuencias
Seamos realistas: para muchos, todos esos hallazgos estadísticos son solo un conjunto de símbolos, y las advertencias de los expertos en ciberseguridad pueden parecer ajenas a nuestra propia situación. Aun así, nos guste o no, las filtraciones de datos y los ciberataques son reales. A continuación, destacamos tres incidentes de ciberseguridad que se centran en (o al menos involucran) aplicaciones SaaS que conoces y quizás uses.
Fuga global de datos de Jira
En agosto de 2019, un investigador de seguridad descubrió que miles de empresas, incluida la NASA, filtraron sin saberlo algunos de sus datos en línea debido a una sola configuración incorrecta en Jira.
Resulta que al crear paneles y filtros en Jira, la plataforma permite elegir entre varias opciones de permisos para determinar quién puede ver estos detalles. Y ahí es donde empiezan los problemas. Algunos administradores asumen que "todos los usuarios" o "todos" significa "accesible para cualquier persona de la empresa"; sin embargo, en realidad, esto implica que son visibles públicamente y se indexan en los motores de búsqueda. Peor aún, estas son las opciones predeterminadas.
Los investigadores de amenazas de Varonis revelaron que hasta 3774 paneles, 244 proyectos y 75 629 problemas son de acceso público, y la mayoría de estos recursos se filtraron accidentalmente a la web. Los nombres de proyectos, avatares, propietarios, estados y correos electrónicos de usuarios son los datos más comunes que se han filtrado de esta manera. Con esta información, los atacantes pueden crear campañas de phishing, lanzar ataques de rociado de contraseñas o robo de credenciales, o atacar sistemas aún más sensibles.
Ataque a la cadena de suministro SolarWinds
A finales de 2020, el proveedor de seguridad FireEye informó de un ciberataque masivo contra SolarWinds , un importante proveedor estadounidense de software de gestión de infraestructura de TI. Según su director ejecutivo, Sudhakar Ramakrishna, los ciberdelincuentes accedieron a la cuenta de Office 365 de la empresa, obtuvieron acceso a SolarWindsy las utilizaron para inyectar código malicioso en la actualización del software Orion del proveedor, que posteriormente se distribuyó a unos 18.000 clientes. Curiosamente, ni los investigadores de SolarWinds ni los de Microsoft detectaron vulnerabilidades en el código de Office 365 que pudieran haber sido explotadas por los hackers. Ambos apuntan al robo de credenciales, en lugar de a una vulnerabilidad.
El incidente tuvo lugar en 2019 y, según investigadores de amenazas, afectó a más de 100 empresas privadas estadounidenses y a las redes de nueve agencias federales. Entre ellas se encontraban Microsoft, Cisco y Deloitte, así como el Pentágono, el Departamento de Seguridad Nacional y otras entidades. Según un informe, las empresas afectadas perdieron, en promedio, el 11 % de sus ingresos anuales.
Miles de grabaciones de reuniones de Zoom disponibles en línea
Cuando estalló la pandemia, Zoom experimentó un aumento de popularidad sin precedentes, pasando de 90 millones de usuarios diarios en diciembre de 2019 a 200 millones en marzo de 2020. Además del aumento en el precio de las acciones de la compañía, esto ha desatado una ola de preocupaciones sobre la privacidad de los datos.
Por ejemplo, en abril de 2020, investigadores descubrieron miles de grabaciones de reuniones privadas de Zoom en la web abierta, por lo que cualquiera podía verlas e incluso descargarlas. ¿Fue esto resultado de una filtración masiva de datos? En absoluto. El truco está en que Zoom permite a los usuarios guardar las grabaciones de sus reuniones en la ubicación que prefieran sin contraseña. Esto se agrava aún más porque se puede guardar la grabación con su título predeterminado, que coincide con el tema de la reunión virtual. Como resultado, si se guarda el vídeo, por ejemplo, en buckets S3 de Amazon Web Services (AWS), cualquiera puede encontrarlo mediante una simple búsqueda en el almacenamiento en la nube.
Mejores prácticas de seguridad de SaaS
Según el Informe de la Encuesta de Seguridad de SaaS de 2021, el 89 % de las empresas encuestadas señalaron que las configuraciones incorrectas de SaaS eran una de las tres principales amenazas de ciberseguridad. Los investigadores determinaron que esta es la principal fuente de los problemas de ciberseguridad presentados en el informe.
En otras palabras, no es que las aplicaciones SaaS tengan fallos de seguridad inherentes, sino que la forma en que las usamos es la causa principal de los incidentes de seguridad en el software como servicio. Un artículo sobre seguridad en la nube afirma que para 2025 hasta el 99 % de los incidentes de ciberseguridad serán simplemente culpa del cliente. Entonces, ¿cómo puede garantizar la seguridad de sus aplicaciones SaaS? Aquí le presentamos nuestras recomendaciones.
Evalúe todos sus riesgos
En entornos que priorizan la nube, la mayoría de las aplicaciones (si no todas) están integradas en un único ecosistema. Dicho esto, conviene auditar periódicamente cada aplicación en términos de cumplimiento normativo, restricciones de acceso disponibles, nivel de protección contra ataques informáticos, etc. Esto le permitirá definir y evaluar todos los riesgos que cada aplicación representa para su entorno de nube.
Automatiza todo lo que puedas
Es innegable que supervisar continuamente una gran cantidad de aplicaciones de terceros es una tarea abrumadora; esa es una de las razones por las que muchas organizaciones no controlan todas sus aplicaciones ni detectan problemas a tiempo. Para garantizar que nada se les escape, le recomendamos encarecidamente que examine con más detalle las herramientas de automatización, como las soluciones de Gestión de la Postura de Seguridad SaaS (SSPM). Pueden hacer el trabajo por usted.
Evite configuraciones erróneas
Muchos investigadores coinciden en que las configuraciones incorrectas, en particular la gestión deficiente del acceso y su variedad clave, suponen un grave riesgo de ciberseguridad para SaaS. Para mitigarlo, asegúrese de aprovechar al máximo la configuración de seguridad de cada aplicación. ¿Dispone de autenticación multifactor? Actívela. ¿Su aplicación permite varios niveles de permisos de acceso para los usuarios? Analice quién usará la herramienta y configure los permisos según corresponda.
Adopte la política de acceso con privilegios mínimos
Minimiza al máximo el número de usuarios que pueden acceder a tus datos corporativos. Sigue la regla general: si una restricción de acceso no afecta negativamente a tu flujo de trabajo, aplícala. Esto ayudará a evitar incidentes similares al que experimentaron los usuarios Jira .
Implementar estándares
Las personas tienden a ser descuidadas con los datos corporativos. DoControl descubrió que el 20 % de todos los activos SaaS corporativos se comparten internamente mediante un enlace y el 18 % externamente, lo que expone los datos a usuarios no autorizados. Desarrollar estándares de uso de aplicaciones para guiar a su personal ayudará a minimizar este tipo de filtraciones de datos.
Eduque a su personal
La falta de atención a los activos corporativos también podría deberse a que algunos empleados no están capacitados para gestionar los datos de forma responsable o desconocen la necesidad de hacerlo. Un programa formal de concienciación sobre seguridad con sesiones de formación periódicas solucionará este problema. También reducirá el riesgo de ataques mediante técnicas de ingeniería social.
Evite el exceso de aprovisionamiento
Los entornos SaaS modernos están sobrecargados. Las investigaciones demuestran que más de la mitad de las aplicaciones en una pila SaaS promedio no se han utilizado en más de seis meses. Tener tantas aplicaciones que podrían contener datos confidenciales representa un riesgo inaceptable. Por lo tanto, elimine las aplicaciones innecesarias en cuanto las detecte.
Escanee cuidadosamente cada aplicación antes de incorporarla a su pila
Cuantas más aplicaciones tenga, mayores serán los riesgos de ciberseguridad a los que expondrá sus datos. Por ello, sea minucioso con cada aplicación que planee usar para su negocio. Las siguientes preguntas le ayudarán a descartar proveedores poco fiables:
- ¿El diseño del sistema de control de acceso permite prevenir problemas de seguridad de la red?
- ¿Las configuraciones de acceso contienen varios niveles de restricciones de acceso de usuario?
- ¿Necesita cumplir con regulaciones como GDPR o la HIPPA (o cualquier otra regulación relevante para su caso)?
- ¿Está usted preparado para realizar comprobaciones externas de ciberseguridad?
- ¿Tiene alguna certificación de ciberseguridad, como ISO?
- ¿Pueden sus clientes controlar dónde se almacenan sus datos?
- ¿Dónde almacenas los datos de la aplicación? ¿En un proveedor de nube reconocido, como AWS, o en un centro de datos privado?
- ¿Se cifran los datos en transición y en reposo?
- ¿Cuánto tiempo conservas los datos en tu aplicación antes de eliminarlos?
- ¿Cómo evitar que se pierdan los datos del usuario en un desastre natural?
Esta es la lista de verificación básica de seguridad para SaaS, y es posible que su negocio en particular requiera otras consideraciones. Pero aquí surge el siguiente desafío. Por ejemplo, se ha dado cuenta de que su plataforma actual de atención al cliente tiene numerosas vulnerabilidades de seguridad y desea migrar a una opción más segura. Entonces, la pregunta es: ¿existe una forma segura de migrar sus datos fácilmente de una plataforma a otra? Encuentre la respuesta a continuación.
Cómo Help Desk Migration evita los riesgos de ciberseguridad
Si busca migrar los datos de su mesa de ayuda de forma segura, no necesita buscar en internet un proveedor de migración de datos confiable. Deje que nuestra , Help Desk Migration , se encargue de todo de forma segura. A continuación, le mostramos algunos de los estándares de seguridad SaaS que seguimos para proteger sus datos.
Medidas técnicas
En Help Desk Migration, creemos firmemente que la seguridad de una aplicación, en términos de su diseño, es responsabilidad exclusiva del proveedor. La migración de datos del servicio de asistencia con nuestro servicio es segura gracias a las siguientes medidas:
- Protección de acceso para empleados. Todos los dispositivos que nuestros empleados utilizan para acceder a nuestro servicio están cifrados (para que nadie pueda leerlos), y ninguno puede iniciar sesión en nuestras aplicaciones web sin autenticación de dos factores. Además, los administradores de la Help Desk Migration , así como los empleados que trabajan de forma remota, utilizan Cloudflare WARP. Asimismo, solo los ingenieros técnicos autorizados pueden acceder al código fuente, implementar migraciones personalizadas y resolver problemas técnicos a petición del equipo de soporte.
- Política de retención de datos. Eliminamos todos los datos de migración diez días después de la migración de demostración y cinco días después de la migración completa (podemos acortar o alargar el período de retención si lo solicita). No almacenamos las contraseñas de los clientes.
- Protección del entorno de producción. Nos esforzamos al máximo para garantizar que nuestro equipo de desarrollo pueda trabajar en nuestro servicio en un entorno protegido. Esto incluye diversas medidas, como el intercambio de claves públicas y privadas en lugar de contraseñas para acceder a los servidores, la autenticación de dos factores para el panel de administración, una configuración estricta del firewall, etc.
-
Infraestructura. Toda nuestra infraestructura se encuentra en Alemania y está alojada en AWS. Instalamos y gestionamos todos los silos de datos dentro de esta infraestructura, a excepción de las copias de seguridad almacenadas en AWS S3. Además, somos muy rigurosos con la seguridad física de nuestros servidores y servicios.
Protección de datos en tránsito y en reposo. Nuestra red privada está altamente protegida con firewalls, medidas anti-DDoS y evaluaciones periódicas del estado de la red. El cifrado SSL protege los datos que fluyen por internet. También utilizamos cifrado de disco para proteger los datos estáticos, de modo que solo los usuarios autorizados puedan acceder a ellos.
Medidas organizativas
Aunque nuestro servicio es seguro por diseño, implementamos diversas medidas organizativas para eliminar incluso la más mínima posibilidad de fuga de información. Estas incluyen:
- Confidencialidad. Antes de su incorporación, todos nuestros empleados firman una cláusula especial en su contrato de trabajo, que les obliga a no revelar ninguna información confidencial relacionada con el Help Desk Migration .
- Continuidad del negocio.
- Nos comprometemos a prestar nuestros servicios durante al menos seis meses.
- Auditorías de seguridad. Analizamos periódicamente nuestros sistemas para detectar vulnerabilidades y realizamos actualizaciones cuando es necesario.
- Recuperación ante desastres. Tomamos todas las medidas necesarias para garantizar que sus datos permanezcan intactos tras un desastre natural.
- Segregación de funciones (SoD). Para minimizar los riesgos, nos adherimos a las políticas de SoD. Esto significa que, en lugar de otorgarle a un solo empleado el control total de un proceso, distribuimos esta función entre varios miembros del equipo.
Características de seguridad
Y, por supuesto, ninguna solución SaaS fiable está completa sin diversas configuraciones de seguridad que permitan a los usuarios disfrutar de una protección completa. En lo que respecta a Help Desk Migration, estas incluyen:
- Autenticación de dos factores. Nuestro procedimiento de inicio de sesión no se limita a la combinación tradicional de contraseña y correo electrónico. Recomendamos activar la autenticación de dos factores para mayor seguridad.
- Monitorización de acceso. En Migration Wizard, nuestra herramienta que permite personalizar la estructura de datos, se almacena toda la actividad del usuario. Puede ver la dirección IP, los datos del dispositivo y la hora de inicio de sesión.
También recomendamos a nuestros usuarios que cambien sus contraseñas y restrinjan los permisos de acceso que nos otorgaron para transferir sus datos cinco días después de la migración. Si cree haber detectado una vulnerabilidad, estaremos encantados de hablarlo.
Cumplimiento
Nos enorgullecemos de nuestra amplia cartera de cumplimientos, que mantenemos actualizada y ampliamos con frecuencia. Actualmente, cumplimos con HIPAA, GDPRUE, ISO/IEC 27001:2013 y PCI DSS.
Este es un breve resumen de cómo garantizamos la migración segura de datos. Si desea obtener más información sobre las medidas que tomamos para proteger sus datos, puede consultar nuestra de Política de Seguridad , familiarizarse con nuestro Acuerdo de Nivel de Servicioo solicitarnos que completemos un cuestionario de seguridad.
