14-01-2014

Trabajar desde la nube obliga a los responsables de TI de las empresas a pensar en seguridad informática para ese entorno. La popular suite ofimática de Microsoft pone en juego una serie de medidas que ayudan a trabajar de manera segura tanto en la oficina como en locaciones remotas, usando PCs de escritorio, notebooks u otros dispositivos móviles. Conozca en detalle estas medidas de seguridad, y anímese a volar con Office 365.

Antes de comenzar a trabajar usando servicios provistos desde la nube, los responsables de TI de las empresas deben conocer qué medidas de seguridad implementaron los proveedores de dichos servicios. En el caso de Office 365, Microsoft tiene un website completo dedicado a tal fin, que repasa temas de seguridad y confiabilidad en múltiples dimensiones (privacidad, transparencia, propiedad de los datos, uptime, certificaciones, etc.).

Una lista somera de las medidas de seguridad física y virtual que Microsoft ofrece en torno a Office 365, incluye:

• Monitoreo las 24 horas de los centros de datos físicos.

• Aislamiento lógico de los datos entre arrendatarios.

• Los accesos de administración a Office 365, están controlados por un proceso de RBAC (role-based access control).

• Separación entre la red interna del centro de datos y la red externa, además de encriptación de los datos transmitidos a través de las redes.

• Encriptación de los datos de e-mail en reposo usando BitLocker, y encriptación SSL/TLS de los datos en tránsito.

• Aplicaciones construidas siguiendo el Security Development Lifecycle. Esto asegura que la seguridad y la privacidad están incorporadas por diseño, desde el desarrollo del software a la operación de servicio.

Además, los controles de seguridad les dan a los usuarios la posibilidad de configurar las funcionalidades de seguridad dependiendo de las necesidades específicas.

• Rights Management Service le permite a los usuarios y administradores encriptar contenido con inteligencia basada en identidad y políticas.

• Los sistemas y servicios de identidad como Windows Active Directory, Windows Azure Active Directory, y Active Directory Federation Services pueden ser habilitados a fin de conceder un acceso seguro a Office 365.

• Las capacidades avanzadas como la prevención de pérdida de datos (DLP) pueden ser habilitadas por los administradores para prevenir que información sensible sea filtrada fuera de la organización.

• Funcionalidades tales como retención legal, gobernanza y archivado permiten a los administradores poner en suspenso información sensible para propósitos legales o de archivado.

• Funcionalidades como eDiscovery permiten que los administradores fácilmente encuentren ítems a través de SharePoint Online, Exchange Online y Lync Online para fines de auditoria y seguridad.

• Microsoft explicó también que las capacidades de antimalware y antispam son avanzadas y fáciles de usar y configurar a medida para los administradores.

• La función de seguridad de dispositivos (para dispositivos móviles y PCs) permite el borrado remoto de los datos y restricciones de acceso al dispositivo.

Cuando la seguridad de la nube es un problema terrenal

“La capacidad de las organizaciones de controlar y personalizar las funciones de seguridad de los servicios basados en la nube, tales como correo electrónico, calendarios, gestión de contenidos, colaboración y comunicaciones unificadas, se está convirtiendo en un requisito imprescindible hoy en día”, explica Federico Tokman, responsable de Tecnologías de Nube de Softline en América Latina. En un reciente documento, Tokman planteó el desafío que significa para las áreas de TI a la hora de dar acceso a la información a dispositivos no provistos por la compañía (merced a la tendencia llamada BYOD ó Bring Your Own Device). “Está más que claro que la movilidad hace a la productividad del empleado al fin del día y es por eso que las organizaciones requieren un servicio de nube que tenga características de seguridad robusta incorporadas y una amplia variedad de funciones personalizables que permitan satisfacer necesidades individuales”, agrega.

En este orden, el especialista destaca tres aspectos de la seguridad de Office 365:

1. Es un servicio que tiene funciones de seguridad incorporadas al servicio por defecto. Estas funciones permiten identificar proactivamente y mitigar las amenazas de seguridad antes de que se convierten en riesgos para los clientes.

2. Ofrece controles de seguridad que permiten a los clientes personalizar su configuración de seguridad, esto aplica a clientes de todos los tamaños a través de prácticamente todas las industrias, incluyendo industrias altamente reguladas tales como salud, finanzas, educación y gobierno.

3. Cuenta con procesos de seguridad escalables que permiten la verificación independiente y cumplimiento de estándares de la industria.

“Los datos en Office 365 se almacenan en datacenters ubicados estratégicamente alrededor del mundo. Estos centros de datos se construyen especialmente para para proteger datos y servicios ante daños por desastres naturales o acceso no autorizado. Están replicados en varias partes del mundo para garantizar la redundancia y la alta disponibilidad de la información alojada en ellos”, explica Tokman. El acceso al centro de datos está restringido para que sólo el personal autorizado tenga acceso a servicios y aplicaciones del cliente. El acceso físico utiliza múltiples procesos de autenticación y seguridad, incluyendo insignias y tarjetas inteligentes, escáneres biométricos, agentes de seguridad local, video vigilancia continua y autenticación de dos factores.

Los centros de datos son monitoreados mediante sensores de movimiento, video vigilancia y alarmas de seguridad de incumplimiento.

Tokman pone además en contexto algunas de las características antes citadas, relacionadas con el manejo de la información.

• Una de las razones por las cuales Office 365 es escalable y de bajo costo es que es un servicio de multi-tenant (o multi-arrendatario, es decir: datos de diversos clientes los mismos recursos de hardware). Es un servicio que está diseñado para manejar información de múltiples clientes en una forma altamente segura mediante aislamiento de datos.

• El almacenamiento y procesamiento de los datos está regulado por las capacidades y la estructura de Active Directory, lo que permite proteger los datos de un cliente para que no puedan ser accedidos ni comprometidos por otra persona. Por un costo adicional, está disponible una versión de Office 365 que almacena datos en hardware dedicado.

• Las redes dentro de los centros de datos de Office 365 están segmentadas para proporcionar la separación física de servidores críticos y dispositivos de almacenamiento de las interfaces públicas. La seguridad perimetral permite la capacidad de detectar intrusiones y signos de vulnerabilidad.

• Las conexiones de cliente de Office 365 utilizan SSL para asegurar el tráfico de datos desde y hacia Outlook, Outlook Web App, Exchange ActiveSync, POP3 e IMAP. Estas conexiones se encriptan con seguridad del tipo TLS y SSL. Los clientes pueden configurar TLS entre Office 365 y servidores externos para el correo electrónico tanto entrante como saliente. Esta característica está habilitada de forma predeterminada. Todos los contenidos enviados mediante el correo electrónico están cifrado en disco utilizando encriptación AES de 256 bits. Office 365 también transporta y almacena mensajes del tipo S/MIME.

• Office 365 se ajusta a las normas y regulaciones, especialmente en el caso de clientes que están siendo auditados o tienen que cumplir con ciertas normativas internacionales. Alineado con esta cuestión Office 365 está basado en los estándares definidos por la ISO 27001 y opera bajo FISMA.

• Por último, y no menos importante, ciertos planes de Office 365 incluyen DLP (Data Lost Prevention) lo que permite a los clientes a partir de reglas evitar la pérdida o fuga de información.

“Las empresas de hoy necesitan servicios de productividad que ayudan a los usuarios a hacer más cosas desde prácticamente cualquier lugar, sin descuidar la seguridad frente a las amenazas en constante evolución. Office 365 es compatible con ambas necesidades a la vez con una plataforma de productividad basada en la nube de alta seguridad. Desde un centro de confianza incluido en la consola web de administración del servicio se pueden gestionar la seguridad, la privacidad, el cumplimiento, la transparencia y la continuidad del servicio. Hoy en día, cada vez son menos las organizaciones que tienen la capacidad de mantener el nivel de seguridad requerido a un costo razonable”, concluye Tokman.