Los estrategas empresariales dedican la mayor parte de su tiempo a dos áreas clave cuando se reúnen con clientes acerca de todo lo relacionado con la transformación digital: personas, procesos, tecnología, cultura, alineación de las inversiones en tecnología con los resultados comerciales, migración a la nube, cambio organizacional. También temas de seguridad, cumplimiento, riesgo y privacidad. Cómo implementar la seguridad en la nube con AWS.
Una cosa que trasciende ambos temas es el deseo de los clientes de aprender de los demás. «¿Qué errores comunes debo evitar?», «¿Cómo abordaron este problema?», «¿Qué hacen otros en mi industria/parte del país?».
Cómo implementar la seguridad en la nube con AWS
El problema
Hay una pregunta; sin embargo, que sigue apareciendo: «¿Cómo maneja AWS [inserte su tema de seguridad aquí]?»
Los clientes quieren saber cómo AWS maneja la seguridad a escala y en nombre de los clientes, con la idea de si pueden aprender de AWS y abordar la seguridad de manera similar. Entonces pueden estar más seguros a medida que mueven las cargas de trabajo y maduran sus operaciones en la nube de AWS.
Esta no es una pregunta que se limita a los CISO por parte de los clientes. Se suele recibir de todos los C-Suite de un cliente, líderes de línea de negocios y juntas directivas.
La solución
Esto se podría responder yendo cliente a cliente. Pero una persona no escala bien cuando se tienen potencialmente millones de clientes con las mismas preguntas e intereses. Es por ello que AWS ha decidido crear una serie de vídeos con líderes de seguridad de AWS. Se trata de una serie de entrevistas individuales en profundidad con líderes de seguridad de AWS que son responsables de diferentes aspectos de la misión de seguridad general de AWS. Se enfocan en abordar los desafíos que enfrentan muchos clientes con respecto a su postura de seguridad y cumplimiento.
Las claves
Si bien cada entrevista se centró en un área específica, hubo temas comunes que resumiremos a continuación. Hay conceptos básicos que permiten a AWS escalar sus operaciones de seguridad y pueden ser útiles para que los clientes los utilicen cuando piensen en sus propios programas de seguridad.
- Crear una cultura de la seguridad. Este es el quid del programa de seguridad de AWS. Esto se puede lograr a través del apoyo ejecutivo de arriba hacia abajo de su programa de seguridad. Debe hacerse de la seguridad, un trabajo de todos. Debe pensarse en la seguridad al inicio de los proyectos e incrustarlo en todas las prácticas comerciales.
- Ingeniería y automatización. Si tienes que hacer algo más de una vez manualmente, automatízalo. Una excelente ingeniería de software INCLUYE excelentes prácticas de seguridad. Desarrolla líneas de base de lo que estás automatizado desde una perspectiva de seguridad y la aumenta en un porcentaje cada año.
- Aprende y se curioso. Estos son rasgos de un equipo de seguridad altamente exitoso. ¿Por qué el sistema reaccionó de esa manera? ¿Cómo puedo hacerlo más seguro/resistente? ¿Qué soluciones puedo probar? Si crees que tienes un problema de seguridad, entonces tienes un problema de seguridad. Es tu responsabilidad solucionarlo o informar a quienes puedan hacerlo.
- Resultados de seguridad: Comprender el por qué y el cómo. Los programas de seguridad existen para reducir el riesgo de las operaciones comerciales, por lo que es fundamental comprender el riesgo comercial y poder articular (e implementar) mitigaciones apropiadas para esos riesgos. El resultado de seguridad (reducción de riesgos), no la herramienta específica, la tecnología o el tamaño del equipo de seguridad, es el objetivo.
- Gente. Los seres humanos son la mayor fortaleza de su programa de seguridad. Debes saber qué buscar en las contrataciones de seguridad, luego capacita y retén el talento de seguridad. Tu próxima gran contratación de seguridad puede no ser un experto en seguridad en absoluto. La diversidad en la contratación de seguridad es fundamental para evitar el pensamiento grupal y la uniformidad de pensamiento.
Las entrevistas
Ahora os dejaremos con las entrevistas a continuación, una tras otra.
Eric Brandwine – Raising the Bar for Security at AWS and Beyond
Chad Woolf – (Part 1) Scaling Compliance and Security Assurance at AWS
Chad Woolf – (Part 2) Rethinking Security and Compliance Operations at AWS
Hart Rossman – (Part 1) How AWS helps Customers meet their Security, Risk, and Compliance Objectives
Hart Rossman – (Part 2) Developing and Measuring a Modern Security Operations Organization
Merritt Baer – Reframing Security as a Strategic Advantage
Megan O’Neil – Extending Security Ownership Across Your Organization
