Auditant el Cloud

Tot i que hem estat parlant de les especificacions tècniques que s’implementen als Clouds d’avui en dia, un punt important és la garantia i la qualitat de seguretat que ofereixen. De la mateixa manera que s’auditen els compte econòmics d’una empresa, també hi ha la possibilitat d’auditar el nivell de protecció d’un Cloud seguint els guidelines d’uns determinats estàndards o recomanacions. A continuació, es presenten algunes de les més importants:

• ISO/IEC 27001:2005: és un estàndard oficial publicat l’Octubre de 2005 i vigent en l’actualitat que formalitza el sistema de gestió de la seguretat de forma clara i ordenada. Es caracteritza per no definir especificacions tècniques, sinó que se centra en l’establiment, la implementació, la monitorització, la revisió, el manteniment i la millora del Management System.
• NIST: El National Institute of Standards and Technology és una agència federal tecnològica que ha publicat, entre d’altres, dos documents relacionats amb el Cloud: Cloud computing standards roadmap i Cloud Computing reference architecture and taxonomy. Aquests documents són una guia per entendre els estàndards i les categories de serveis que es poden utilitzar en l’àmbit governamental.
• Cloud Security Alliance: és una organització sense ànim de lucre que promou la implementació de best practices en el Cloud i ajuda a assegurar-ne la confidencialitat. El document Security Guidance es pot descarregar a aquí.
• Open Source Security Testing Methodology Manual (OSSTMM): Encara que no està directament indicat per escenaris Cloud, aquest és un manual de test de seguretat molt complert amb especificacions legals i de gestió.
• FCAPS: és un framework i un model de la ISO/ITU de gestió de la xarxa. El seu nom prové de les paraules en anglès fault, configuration, accounting, performance i security, les quals es corresponen a les categories de management del model que defineix les tasques.  Més informació, aquí.

Segons les necessitats, el pressupost i el model de negoci, les necessitats de seguretat seran més o menys grans i caldrà plantejar-se seguir únicament un model de bones pràctiques o bé passar una auditoria oficial que t’acrediti qualsevol dels estàndards vigents. Per a més informació, cliqueu aquí.