Gestión de controles de seguridad para elegir la plataforma de nube pública en una institución financiera peruana

Abstract

Identifica y gestiona los controles de seguridad informática (ciberseguridad) que son necesarios para evaluar y seleccionar a un proveedor de plataforma de servicios en la nube. El uso de la plataforma de la nube implica comprender los diferentes tipos de despliegues, la responsabilidad compartida que deben asumir los proveedores y los clientes que contratan el servicio. Para garantizar que el proceso de contratación incluye requisitos de seguridad, se debe elaborar y gestionar una lista de verificación de seguridad. La metodología utilizada para el trabajo es el estándar internacional ISO/IEC 27005:2018 que está alineada con la estrategia de seguridad de la institución financiera. La primera etapa se orienta al establecimiento del contexto. A continuación, se identifican las amenazas y los riesgos. Luego, se analiza el nivel de los riesgos expuestos. También se consolida la respuesta ante los riesgos con la elaboración de los controles. Estos controles son identificados mediante el levantamiento de la información interna (estándares y lineamientos) de la institución financiera. También se complementan con los requerimientos del ente regulador recientemente publicados sobre seguridad en la nube. Junto los estándares y buenas prácticas internacionales relacionadas como las elaboradas por Cloud Security Alliance, NIST, CISA, entre otras. Inmediatamente, se seleccionan los criterios que mejor se adecuan a una institución del sistema financiero peruano bajo criterio experto del especialista. Seguidamente, se valida el cuestionario con otro equipo de líderes que forman parte del proceso de elección de la plataforma nube y del proveedor. Finalmente, se publica la lista de controles como un mecanismo de aceptación formal por todos los empleados de la institución financiera. Permitiendo que sea utilizada por especialistas o jefes de proyecto que deseen contratar un servicio en la nube y requieren criterios de seguridad como parte de un concurso. El proceso de selección del proveedor culminó de manera satisfactoria con la elección del mejor proveedor en base a la evaluación realizada en la parte de seguridad junto con otros criterios. Lo más importante es que se logró el objetivo de la reducción de los riesgos no solo para el proyecto sino también para las soluciones y aplicaciones que se desplegarán en la nube. Cumpliendo el objetivo del negocio, apoyándose en una plataforma administrada para tener soluciones y productos más rápidos, más eficientes y más seguros.