Modelo de seguridad para la gestión de vulnerabilidades de servidores en nubes privadas

Abstract

Las organizaciones deben asegurar sus infraestructuras de Nube privada en un actual entorno volátil y de rápido movimiento, que se caracteriza por una proliferación de amenazas y vulnerabilidades que constantemente intentan emerger y afectar. Los piratas informáticos y los adversarios aprovechan continuamente las tecnologías de punta para explotar la creciente cantidad de vulnerabilidades de los activos físicos y cibernéticos de las infraestructuras críticas. Por lo tanto, no es práctico y, en varios casos, no es posible llevar a cabo manualmente todas las tareas de seguridad y protección, tales como actividades de detección de amenazas, actualizaciones, monitoreo, informes y aplicación de políticas de seguridad. Para evitar los costosos y exigentes resultados de los análisis de vulnerabilidades, falsos positivos, evaluaciones parciales de los sistemas y métodos de mitigación ineficientes, es necesario aplicar un proceso de gestión de vulnerabilidades. El verdadero valor agregado de estas evaluaciones se produce cuando las mismas están integradas a un proceso de gestión de vulnerabilidades. Un proceso completo y eficiente de gestión de vulnerabilidades debe desplegarse a partir de un modelo de seguridad, alineado a estándares internacionales de seguridad, con una política de seguridad específica que contemple un proceso de aseguramiento de activos, lineamientos de operación, roles de usuarios, documentación requerida, un conjunto de indicadores de vulnerabilidad y clasificadores de madurez organizacional.

La presente tesis de maestría tiene como objetivo principal definir un modelo de seguridad para gestión de vulnerabilidades de servidores en Nubes privadas, que contemple lineamientos generales para el diseño de una política de seguridad donde se detallen roles de usuarios y documentación recomendada, un proceso de aseguramiento apoyado sobre actualizaciones, indicadores de vulnerabilidad basado en factores críticos de seguridad, y clasificación de niveles de seguridad fundamentada en la madurez de la organización. El propósito es proponer especificaciones concretas de las actividades que se deben llevar a cabo para realizar una adecuada gestión de vulnerabilidades siguiendo los lineamientos de los estándares internacionales ISO/IEC 27000 y O-ISM3, facilitando el proceso de certificación de ISO/IEC 27001 por parte de las organizaciones.