http://www.infosecurityvip.com/buenosaires2015.html

2. Acerca de la Cloud Security Alliance
• Global, sin fines de lucro
• Construyendo las mejores prácticas de seguridad para la próxima generación de TI
• Investigación y Programas Educativos
• Certificación de Proveedores Cloud: CSA STAR
• Certificación de profesionales: SCCR
• Conciencia y Marketing
• La fuente global para la confianza en cloud
www.cloudsecurityalliance.org
“Promover las mejores prácticas a fin de ofrecer confianza dentro del ámbito del Cómputo en
la Nube, educando a la comunidad sobre sus usos y colaborando en asegurar todas las otras
formas de computo.”
2

3. CSA Datos rápidos
• Fundada en 2009
• 64,000+ miembros individuales, 70 + capítulos a nivel mundial
• 300 miembros corporativos incluyendo los principales proveedores de
cloud y seguridad, Big 4, Telecoms y muchas otras adentro del Global
2000
• Oficinas en Seattle USA, Singapore, Helsinki Finland
• Más de 40 proyectos de investigación en 30 + grupos de trabajo
• Alianzas estratégicas con los gobiernos, instituciones de investigación,
asociaciones profesionales y la industria
3

4. Antes de empezar - Gracias!!!
• Miembros fundadores
• Hernán M. Racciatti
• Mariano M. del Río
• Cristian Borghello
• Ezequiel Sallis
• Héctor Jara
• Facundo M. Peltzer
• Diego San Esteban
• Claudio Avin
• Gustavo Presman
4

5. 5

6. Agenda
• Principales problemas de confianza en la Nube.
• CSA Research Roadmap
• 30 Minutos después…
6

7. Principales
problemas de
confianza en
la Nube
7

8. Principales problemas de
confianza en la Nube
• Estándares incompletos
• Evolucionando hacia verdaderas tecnologías y arquitecturas
multi-tenant
e.g. Identity Brokering
• Concentración de riesgos
• Leyes incompatibles entre jurisdicciones
• Falta de transparencia y visibilidad de los proveedores y
gobierno
8

9. La cuestión de confianza en los
gobiernos
9

10. USA Patriot Act
• Ley Patriota de EE.UU. de 2001 (se volvió a autorizar en 2006 y
2011)
• No es una nueva ley, sino una serie de enmiendas a las leyes
existentes en materia de vigilancia, investigación y persecución del
terrorismo (Ley de Vigilancia de Inteligencia Extranjera)
• La mayoría de las solicitudes de información siguen citaciones /
órdenes, pero los registros se pueden sellar
• La mayoría de los países tienen leyes que permiten la divulgación
de información del usuario sin el consentimiento del usuario
relacionadas con la inteligencia exterior y seguridad nacional
10

11. USA Freedom Act
• El ultimo 2 de junio de 2015 el Congreso de EU aprobó el USA Freedom Act,
una ley que, si bien no desmantela al USA Patriot Act la limita un poco.
• La USA Freedom Act por lo menos impone ciertos límites a la capacidad de
espiar y recolectar masivamente información de la NSA y otras agencias de
inteligencia.
• Ahora, cuando el gobierno espía a los estadunidenses, debe especificar qué es
lo que busca y de quién, por lo que debe contener su ambición de apropiarse
de toda la información posible.
• Otro punto es que ahora el gobierno debe anunciar cuándo exige archivos a
empresas privadas, y se permite a estas empresas anunciar al público cuándo
y cuántas veces se les ha exigido entregar información al gobierno.
11

12. Encuesta CSA: Government Access
to Information
• Realizada en línea desde 25 junio 2013 a 9 julio 2013
• 456 respuestas
• 234 de los Estados Unidos de América
• 138 de Europa
• 36 de Asia y el Pacífico
• Muchas respuestas largas, largas abiertas
https://cloudsecurityalliance.org/wp-content/uploads/2013/07/CSA-govt-access-survey-July-2013.pdf
12

13. El uso de proveedores de Cloud de
EE.UU.
• (Para los no residentes en los ESTADOS UNIDOS) ¿el Incidente de
Snowden hace que su empresa sea más o menos proclive a utilizar
proveedores de Cloud estadounidense? (207 Respuestas)
• 56% menos propensos a utilizar proveedores Cloud de EE.UU.
• 31% sin impacto en el uso de los proveedores Cloud de EE.UU.
• 10% canceló un proyecto para utilizar proveedores Cloud de EE.UU.
• 3% más propensos a usar los proveedores Cloud en EE.UU.
13

14. El uso de proveedores de Cloud de
EE.UU.
• (Para los residentes de Estados Unidos) ¿El incidente
Snowden hace que sea más difícil para su empresa lograr
negocios fuera de los EE.UU? (220)
• 36% Si
• 64% No
14

15. Transparencia de Acceso x Gobierno
• (Para todos los encuestados) ¿Cómo calificaría los procesos de
su país para obtener información de los usuarios con el fin de
las investigaciones criminales y terroristas? (440)
• 47% Baja, no hay transparencia en el proceso
• 32% Regular, hay algo de información pública sobre el proceso
• 11% Desconocido, no tengo suficiente información para hacer un juicio
• 10% Excelente, el proceso está bien documentado
15

16. Opinión sobre la Patriot Act
• (Para todos los encuestados) Si tienes dudas sobre las
recientes noticias, cual de las acciones siguientes cree usted
que sería la mejor para mitigar las preocupaciones? (423)
• 41% La Ley Patriota, debe derogarse en su totalidad.
• 45% La Ley Patriota debe ser modificado para ajustar la supervisión
de las actividades permitidas y proporcionar una mayor transparencia
en cuanto a la frecuencia con que se promulgó.
• 13% La Ley Patriota está bien como está.
16

17. FISA Requerimientos
• (Para todos los encuestados) En caso de empresas que han
sido citados a través de disposiciones de la Ley Patriota, como
FISA (Foreign Intelligence Surveillance Act) podrán publicar
información resumida sobre la cantidad de respuestas que han
brindado? (438)
• 91% Si
• 9% No
17

18. Equilibrio de Seguridad y Privacidad
“…Viviendo en este tipo de democracia, vamos a tener que ser
un poquito menos efectivos para poder ser un poquito más
transparentes al hacer lo que sea por defender al pueblo
americano.”
Michael Hayden, former Director of CIA and NSA
18

19. Consideraciones importantes para
Políticas Privadas y Públicas
• La transparencia de los actores
• Los metadatos son importantes
• Principios de minimización de datos
19

20. Ejemplo de transparencia en la industria
• Solicitudes de tribunales y agencias gubernamentales de todo
el mundo para eliminar información de los productos de
Google.
http://www.google.com/transparencyreport/governmentrequests/
20
◾AT&T http://about.att.com/content/csr/home/frequently-requested-info/governance/transparencyreport.html
◾Apple http://www.apple.com/apples-commitment-to-customer-privacy/
◾Cloudflare https://www.cloudflare.com/transparency
◾Comcast http://corporate.comcast.com/images/Comcast-Transparency-Report-March-2014-FINAL-FINAL.pdf
◾Credo Mobile http://www.credomobile.com/misc/transparency.aspx
◾Dropbox https://www.dropbox.com/transparency
◾Google http://www.google.com/transparencyreport/
◾LeaseWeb http://blog.leaseweb.com/2013/04/11/leaseweb-first-hosting-provider-worldwide-to-launch-law-enforcement-transparency-report/
◾LinkedIn https://www.linkedin.com/legal/transparency
◾Microsoft https://www.microsoft.com/about/corporatecitizenship/en-us/reporting/transparency/
◾Pinterest https://help.pinterest.com/en/articles/transparency-report-archive
◾Sonic.net https://corp.sonic.net/ceo/2014/04/28/2013-transparency-report/
◾SpiderOak https://blog.spideroak.com/20150212080057-increasing-transparency-and-privacy-2014-report
◾Telstra http://exchange.telstra.com.au/wp-content/uploads/2014/03/Transparency-Report_2014.pdf
◾Time Warner Cablehttp://help.twcable.com/privacy-safety.html
◾Tumblr http://transparency.tumblr.com/
◾Twitter https://transparency.twitter.com/
◾Verizon http://transparency.verizon.com/
◾Yahoo! http://info.yahoo.com/transparency-report/
Otros Ejemplos:

21. ¿Pueden los proveedores ser transparente
sobre temas de seguridad nacional?
“Les pedimos ayuda para hacer posible que Google publique en
nuestro Reporte de Transparencia los números totales de
pedidos de seguridad nacional, incluyendo las desclasificaciones
FISA – tanto en términos de los números de los pedidos
recibidos como de su alcance. Los números de Google podrían
mostrar claramente que nuestro cumplimiento con esos pedidos
son significativamente menores que los pedidos hechos. Google
no tiene nada que ocultar.”
David Drummond, Chief Legal Counsel, Google
21

22. EFF - Who Has Your Back? 2014
22
https://www.eff.org/who-has-your-back-2014

23. CSA Ejemplo de transparencia: STAR
• CSA STAR (Seguridad, confianza y registro del aseguramiento)
• Registro Público de proveedor de cloud auto evaluados
• Basado en las mejores prácticas de CSA (CCM o CAIQ)
• Promoviendo transparencia con acciones voluntarias por industria.
• Seguridad como un diferenciador en el mercado
• www.cloudsecurityalliance.org/star
• Demande STAR a sus proveedores!
23

24. Cual es el futuro del aseguramiento
en la Global Compute Utility?
• Ir a un modelo de actividades tradicionales de auditoría y
certificación
• Requisitos dispares armonizados frente a un único estándar global
• Ejemplo - NIST CSF para la seguridad cibernética
• Monitoreo Continuo
• Vigilancia de la comunidad vía Transparencia
• Énfasis privacidad
24

25. Que compromiso global se necesita?
• Gobierno
• La alineación con los estándares globales para la garantía
• Industria
• Construir la tecnología para hacer “policy moot”
• Empresa
• Tiempo para participar
• La demanda de rendición de cuentas de los responsables políticos y
los proveedores
• Proteja sus datos y metadatos
• Para Todos: La demanda de transparencia
25

26. No pienso
robarles mas
tiempo
Pero no puedo irme sin
comentarles….
26

27. CSA Research Roadmap

28. CSA Research Portfolio
• Nuestro centro de investigación
incluye proyectos fundamentales
necesarios para definir y poner en
práctica la confianza en el futuro
de la tecnología de la información
• CSA sigue siendo agresiva en la
producción de investigación
fundamental, educación y
herramientas
• +30 Grupos de Trabajo a nivel
Global
28

29. 29

30. Security Guidance for Critical
Areas of Cloud Computing
• La guía de la CSA busca establecer las mejores
prácticas para las operaciones en la nube.
• Este esfuerzo proporciona un camino práctico para
adoptar la nube de forma segura.
• Los Dominios han sido reescritos para enfatizar la
seguridad, estabilidad y privacidad, garantizando la
privacidad.
• En la tercera edición de la guía se supone una
madurez estructural en paralelo con desarrollos de
estándares de cloud multinacionales tantos en la
estructura y el contenido.
• CSA se ha esforzado por presentar un producto
mesurado y equilibrado entre los intereses de los
proveedores de nube y de los usuarios.
30
https://cloudsecurityalliance.org/research/security-guidance/#_overview

31. GRC Stack
• Formado por 4 proyectos
• Cloud Controls Matrix (CCM)
• Consensus Assessments Initiative (CAI)
• Cloud Audit
• Cloud Trust Protocol (CTP)
• Impacto en la industria
• Criterios de evaluación para cumplir
metas de Gobierno, Gestión de Riesgos y
Cumplimiento
• Pilotos técnicos
• Certificación de proveedores a través del
programa STAR
Control
Requirements
Provider
Assertions
Private,
Community &
Public Clouds
30

32. Cloud Control Matrix Working Group
• La CSA Cloud Controls Matrix (CCM) está diseñado específicamente para proporcionar los principios
de seguridad para guiar a los proveedores de cloud y para ayudar a los clientes Cloud a evaluar el
riesgo general de seguridad de un proveedor.
• El CSA CCM ofrece un marco de controles que da comprensión detallada de los conceptos de
seguridad y los principios que están alineados con la GUIA CSA en los 14 dominios.
• Investigaciones y actividades del grupo:
• CCM V.3 – Q3 2013
• Internet2 Net+ Initiative Mappings (Higher Education) – Q2 2013
• AICPA Trust Service Principles Mapping – Q4 2013
• ENISA Information Assurance Framework Mapping – Q4 2013
• ODCA Mapping – Q4 2013
• German BSI Mapping – Q4 2013
• NZISM Mapping – Q4 2013
• Unified Compliance Framework Mapping – TBD
• Control Area Gap Analysis – Q4 2013
• COBIT 5 Mapping – Q1 2014
• NIST SP 800-53 Rev 4 – Q4 2013
• Slovenian Information Commissioner on Privacy Guidance for Cloud Computing Mapping – Q1 2014
32

33. Consensus Assessment Initiative
• Falta de control de seguridad transparencia es una de las
principales de inhibidor de la adopción de servicios cloud.
• El Consensus Assessment Initiative (CAI) se puso en marcha para
llevar a cabo la investigación, la creación de herramientas y crear
asociaciones de la industria para permitir evaluaciones de cloud
computing.
• Estamos enfocados en proveer a la industria métodos aceptados para
documentar los controles de seguridad existentes en IaaS, PaaS y
SaaS, proporcionando transparencia a los mismos.
• Este esfuerzo de diseño está integrado y apoya otros proyectos de
nuestros partners.
33

34. Cloud Audit
• El objetivo de CloudAudit es ofrecer una interfaz común que
permita a las empresas que estén interesados en el
perfeccionamiento de sus procesos de auditoría (nube o de
otro tipo) así como los proveedores de cloud pueden
automatizar la auditoría, aserción, evaluación y aseguramiento.
• También permitir que los consumidores autorizados de sus
servicios para que hagan lo mismo a través de una abierta y
extensible y segura interfaz.
34

35. Cloud Trust Protocol
• El (CTP) es el mecanismo por el cual los consumidores de
servicios cloud (también conocidos como "usuarios de la nube"
o "dueños de servicios cloud") Solicitar y recibir información
sobre los elementos de la transparencia que se aplican a los
proveedores de servicios cloud.
• El propósito principal del CTP y los elementos de la
transparencia es generar la confianza basada en la evidencia
de que todo lo que esta sucediendo en la nube está de hecho
sucediendo como se describe, ..., y nada más.
35

36. CSA Enterprise Architecture
(aka Trusted Cloud Initiative)
• Promover la investigación, el
desarrollo y la educación de
las mejores prácticas y
metodologías en torno a una
arquitectura de referencia
para una nube segura y de
confianza.
36

37. CCSK – User Certification
• CCSK es un programa de certificación diseñado para asegurar que
los profesionales con responsabilidad relacionada con el Cloud
Computing tengan conocimientos acreditados de las amenazas a la
seguridad y de las mejores prácticas para abordarlas.
• Benchmark para la competencia de Cloud Cecurity
• Examen online.
• www.cloudsecurityalliance.org/certifyme
• Entrenamiento de partners
• Desarrollar nueva curricula para auditoria, desarrollo de software y
arquitectura

38. • El propósito de este documento es
proporcionar el contexto necesario para
ayudar a las organizaciones en la toma de
decisiones de gestión de riesgos con
respecto a sus estrategias de adopción de
Cloud.
• En esencia, este documento de investigación
de amenazas debe ser visto como un
complemento de Orientación de seguridad
para áreas críticas en Cloud Computing.
38
CSA Top Threats

39. CSA Security as a Service
• Investigación para la obtención de una mayor comprensión
de cómo entregar soluciones de seguridad a través de
modelos de nube.
• Seguridad de la Información de la Industria Re-inventado
• Identificar diez categorías dentro SecaaS
• Guía de Implementación para cada SecaaS Categoría
• Alinear con las normas internacionales y otras
investigaciones CSA
• Impacto de la Industria
• Se Definieron 10 Categorías de Servicio
38 39

40. CSA Mobile
40
• Asegurar tiendas de aplicaciones y otras entidades públicas
que implementan software para dispositivos móviles
• Análisis de las capacidades de seguridad móviles y las
características de los principales sistemas operativos móviles
• Directrices para el marco de seguridad de dispositivos móviles
y las arquitecturas de nube móviles
• Soluciones para la resolución de múltiples propósitos
relacionados con BYOD, por ejemplo, uso personal y de
negocios de un dispositivo común
• Las mejores prácticas para el desarrollo seguro de
aplicaciones móviles

41. CSA Big Data
41
• Cloud Computing marca la disminución de énfasis
en "sistemas" y el aumento de énfasis en 'datos'.
• Identificar técnicas escalables para los problemas
de seguridad y privacidad centradas en datos
• Conducir a la cristalización de las mejores
prácticas para la seguridad y la privacidad de Big
Data
• Ayudar a la industria y el gobierno en la adopción
de las mejores prácticas
• Establecer enlaces con otras organizaciones con
el fin de coordinar el desarrollo de grandes
estándares de seguridad de datos y privacidad

42. CSA Service Level Agreement
• Los Acuerdos de Nivel de Servicio (SLA) son un componente en la
mayoría de los términos y contratos de servicio cloud.
• Sin embargo, hay un consenso de que los clientes y proveedores
por igual tienen preguntas acerca de lo que constituye un SLA, la
suficiencia y adecuación de los SLA y su gestión.
• La CSA SLA, (SLA WG) en un esfuerzo por dar claridad al tema de
los SLAs donde ha desarrollado directrices en las siguientes áreas.
• ¿Cuáles son los componentes de un SLA?
• ¿Qué papel juega el SLA para la CSP y CSU?
• ¿Podemos definir una taxonomía SLA?
• ¿Cuál es el estado actual de SLA?
• SLA mitos, desafíos y obstáculos?
• SLA Orientación y Recomendaciones
42

43. Open Certification Framework
• Un modelo para para hacer frente a las preocupaciones de cumplimiento con las
mejores prácticas globales.
• Por ejemplo, se espera que los gobiernos sean adoptantes importantes de este
marco. Alineados con sus propias necesidades como se puede observar en la parte
superior del GRC Stack.
• Es una guía explicita para los proveedores sobre la forma de utilizar las herramientas
GRC Stack para múltiples procesos de certificación.
• Por ejemplo, la documentación de alcance articularía los medios por los cuales un
proveedor puede seguir un camino de certificación ISO/IEC27001 que incorpore la
Matriz de Controles Cloud (CCM).
• Un “esquema de reconocimiento” que permite que apoyemos a ISO, AICPA y
potenciales certificaciones a agregar al marco.
43

44. Estructura del OCF

45. CSA Privacy Level Agreement
45
• El objetivo del grupo es desarrollar plantillas de Privacy Level
Agreements (PLA) basadas en las regulaciones y acuerdos
internacionales sobre Privacidad que funcionen como herramientas de
autorregulación en la materia.
• Un Acuerdo de Nivel de Privacidad tiene un doble objetivo:
• Proporcionar a los clientes en la nube con una herramienta para evaluar el
compromiso de un CSP para abordar la protección de datos personales.
• Ofrecer protección contractual frente a posibles daños económicos debido a la falta
de cumplimiento o el compromiso del CSP con la regulación de la privacidad y
protección de datos.

46. Grupos de trabajo por industria 1/2
46
• El Grupo de Trabajo Telecom ha sido designado para proporcionar
una influencia directa sobre la manera de entregar soluciones Cloud
de forma seguras y generar la concientización relacionado a los
aspectos de telecomunicaciones
The Telecom Working Group
• El Grupo de Gestión de Información en Salud, ha sido designado
para proporcionar influencia directa sobre cómo los proveedores de
servicios de información de salud entregan soluciones de nube
seguras (servicios, transporte, aplicaciones y almacenamiento) a
sus clientes, y fomentar conciencia en todos los aspectos de la
asistencia sanitaria y las industrias relacionadas.
Health Information Management

47. Grupos de trabajo por industria 2/2
47
• SMB Este grupo de trabajo se centrará en proporcionar orientación
adaptada a la pequeña empresa, cooperará con otros grupos de trabajo
y ayudará a los proveedores de nube a entender los requisitos de
pequeñas y medianas empresas.
Small to Medium Sized Business (SMB)
• El Grupo de Trabajo Financiero tendrá como objetivo identificar retos,
riesgos y mejores prácticas para el desarrollo, despliegue y gestión de
servicios en la nube seguros en la industria financiera. Ayudar a la
industria en la adopción de las mejores prácticas, Establecer enlaces
con organismos reguladores con el fin de fomentar el desarrollo de
regulaciones adecuadas. Acelerar la adopción de servicios cloud
seguros en la Industria Financiera
Financial Working Group

48. ISACA Collaboration Project
• Un proyecto de colaboración entre ISACA y CSA,
the Cloud Market Maturity study ofrece al
negocios y líderes de TI cuna visión de la madurez
de la computación en nube y ayuda a identificar
cualquier cambio en el mercado.
• El informe, publicado, ofrece una visión detallada
sobre la adopción de los servicios en la nube en
todos los niveles dentro de las empresas y los
negocios globales de hoy en día.
48

49. Internet2 Collaboration Project
48
• Un equipo de +30 CIOs, directores de TI, y otros ejecutivos
miembros del Internet2 (ambas instituciones de educación
superior y prestadores de servicios industriales) desarrollaron
una versión extendida de la CCM.
• Esta versión incluye las asignaciones de
candidatos para abordar los requisitos
de seguridad y cumplimiento en la
educación superior.

50. Enterprise User Council
• Se inició la Enterprise User Council para
proporcionar un equilibrio de poder entre
los proveedores de cloud y los usuarios
empresariales en un mundo de servicios
en la nube, Big Data, y los avances
móviles ha hecho su mayor salto en
negocios. Nuestro objetivo a largo plazo
es entender los mayores problemas que
enfrentan las empresas y ayudar a
resolver estos problemas.
• El Enterprise User Council representará
empresas en estos temas.
50

51. International Standardization Council
• Involucrar a los organismos de normalización internacionales en nombre de
CSA
• Proponer en la CSA investigaciones clave para la normalización
• Relacionarse con la ITU-T
• Coordinación y enlace con ISO/IEC SC27 & SC38
• Seguimiento con:
• DMTF
• IEEE
• IETF
• CCSA
• RAISE
51

52. lucianomoreira9@hotmail.com
@luciano_m_cruz
lucianomoreiradacruz
https://ar.linkedin.com/in/lucianomoreiradacruz
leonardo.federico.rosso@gmail.com
leonardo.rosso
https://www.linkedin.com/in/lrosso/es juliocesar@balderrama.com.ar
@juliobalderrama
juliocesarbalderrama
https://www.linkedin.com/in/juliocesarbalderrama

53. Gracias
@CSA_AR
facebook.com/csaargentina
https://chapters.cloudsecurityalliance.org/argentina/
https://www.linkedin.com/grp/home?gid=3350613
contact@ar.chapters.cloudsecurityalliance.org