Evaluando la seguridad del proveedor de la nube

Esto puede parecer un poco descuido, pero al final del día depende de las garantías que necesite del proveedor, por lo que debe hacerles las mismas preguntas a ambos, y estas deben ser específicamente sobre qué debe sentirse seguro de que el uso del proveedor no lo expone a más riesgos de los que puede aceptar.

Echa un vistazo a esta pregunta sobre la seguridad de EC2 para obtener un poco de información.

Algunos más:

• Amazon proporciona servicios a grandes corporaciones, por lo que tenga un gran interés en la seguridad física del centro de datos: si usted puede confiar en esto depende de usted. Las probabilidades de que obtengas una visita guiada son muy escasas.

• Del mismo modo, no son tan transparentes con respecto a muchas de sus características de seguridad, pero tienen mucho que perder y un presupuesto de seguridad decente, así que han implementado las características que consideran apropiadas para sus clientes.

• Si necesita un proveedor con certificación PCI (sin importar su valor en el mundo real), Amazon se ajustará a la factura. Si no necesita eso, entonces puede ignorar esa función como casi irrelevante, solo acepte que significa que ha mostrado la protección de los datos de la cuenta suficiente para pasar el PCI-DSS.

• Los servicios en la nube implican despojar de algún control sobre la seguridad y la disponibilidad. Si tiene un requisito crítico de tiempo de actividad o necesita poder realizar una comprobación inmediata del hardware, es posible que la nube no sea para usted.

Depende de sus requisitos [confidencialidad, integridad, disponibilidad] sin embargo, dos grandes recursos generales que he encontrado útiles son:

• Consideraciones de seguridad de la computación en la nube por la Dirección de Señales de Defensa

• Una publicación reciente del blog de sophos

Debe ver lo que está haciendo Cloud Security Alliance, incluido un registro de proveedores de la nube que han dado fe de su seguridad, que es un paso en la dirección correcta. enlace

Aún mejor, debería solicitar un informe de garantía de terceros, como ISAE3402 o un informe SOC 2, que habrá sido realizado por un tercero independiente.