La adopción de la computación en la nube ha sido uno de los principales recursos al que acuden las empresas para apalancar sus objetivos estratégicos. Sin embargo, al moverse a la nube algunas empresas olvidan que siguen siendo responsables de algunas tareas asociadas con la seguridad de sus datos y procesos, en particular, la configuración de los servicios de seguridad. Como resultado de los problemas de configuración en la nube, los datos de diferentes empresas han sido comprometidos. 

Entre los riesgos comúnmente asociados con un movimiento a la nube podemos mencionar:

• Las configuraciones incorrectas de las características de seguridad en la nube.
• Despliegue de infraestructura en la nube que se crea fuera de la visibilidad de la oficina de TI.
• Poco control sobre quién puede acceder a datos sensibles.
• Robo de datos alojados en la infraestructura de la nube por parte de un actor malintencionado.
• Falta de controles de seguridad consistentes en entornos locales y de múltiples nubes.
• Amenazas y ataques avanzados.
• Propagación lateral de un ataque.

 La materialización de estos riesgos compromete los datos de las compañías y sus usuarios y ocasiona pérdidas económicas considerables. 

Para resolver el problema identificado, se propone Implementar un Framework automatizado para detectar un hallazgo de seguridad, realizar la remediación si aplica, enviar la notificación a los encargados de los servicios y llevar seguimiento de lo realizado a través de un gestor de incidentes/casos sobre los servicios de la nube. 

La automatización en la detección, aplicación, corrección y alerta de vulnerabilidades permitirá mantener un ambiente controlado desde el momento en que se crea la infraestructura, durante su ciclo de vida y hasta el momento en que ya no sea necesaria, mitigando el riesgo de posibles brechas de seguridad asociadas a malas configuraciones.

Implementar un framework automatizado de detección, notificación y remediación de vulnerabilidades en servicios de la nube. El framework debe integrarse con otras herramientas de una organización para la notificación de hallazgos de seguridad con el servicio de comunicación interna de la organización. También debe integrarse con un servicio para la gestión y trazabilidad de la atención de hallazgos de seguridad

• En los análisis de riesgo realizados en la organización, resalta el riesgo de pérdida de información debido a configuraciones incorrectas, donde si no se remedia o monitorea de manera adecuada se puede materializar el riesgo.
• Se recomienda implementar herramientas que permitan realizar una remediación pertinente sobre las posibles vulnerabilidades que existan en los diferentes ambientes donde esté desplegada la infraestructura y servicios.
•  Basado en las pruebas realizadas en ambientes bajos donde se implementó el framework de remediación automatizado, éste efectivamente permite tener control y gobierno sobre la infraestructura que se despliega en la nube, garantizando la remediación automática o en su defecto generando las alertas para que el equipo correspondiente pueda realizar las acciones necesarias. Las pruebas del framework en ambientes bajos permite identificar si hay fallas en el código o en la implementación.
• El uso de nuevas tecnologías de desarrollo y despliegue continuo permiten agilizar y dar cumplimiento a las exigencias de los clientes, pero las áreas de seguridad de las organizaciones deben adaptarse y evolucionar con este tipo de cambios, implementando herramientas que puedan integrarse dentro del ciclo de desarrollo e implementación de la organización, dando agilísimo en el aseguramiento de estos. Solo la automatización de la mayor cantidad de vulnerabilidades que sea posible dentro de la infraestructura en ambientes bajos de la organización le ha permitido al equipo de seguridad bajar sus tiempos de revisión y análisis.
• La integración con la herramienta de comunicación interna de la organización permite estar enterado en tiempo real de las alertas y remediaciones realizadas por el framework en una presentación entendible y organizada. Esto permite que la revisión por parte de áreas como auditoría, seguridad de la información o DevSecOps sea más eficiente atacando solo los puntos necesarios.
• Migrar los procesos core de la organización a la nube trae muchas ventajas siempre y cuando los componentes que se despliegan en ella estén controlados, monitoreados y con diseños de arquitectura aplicando mejores prácticas. Con este framework de remediación, se tendrá una migración controlada, mitigando los riesgos por malas configuraciones que son los más comunes en este tipo de actividades.
• Aunque el proyecto sea implementado por personal de la organización, dentro de los costos del mismo se debe contemplar el valor de los componentes utilizados (Servicios AWS) y las licencias que se lleguen a necesitar en la integración con los componentes oficiales de la compañía.
• Es importante garantizar el correcto funcionamiento del framework de acuerdo con lo esperado y al mismo tiempo garantizar que las configuraciones realizadas aplican a la realidad de la empresa, sin causar indisponibilidad en ambientes productivos.