Cinco recomendaciones esenciales para proteger los entornos virtuales

La adopción de las tecnologías de virtualización en los entornos TI de las empresas está en auge, sin embargo, una gestión inadecuada de las políticas de seguridad que no contemple los riesgos que añade esta capa adicional de tecnología puede poner en riesgo todo el entorno TI. Se plantean cinco recomendaciones para que los administradores de TI puedan controlar y mitigar los riesgos derivados de la virtualización y puedan así aprovechar al máximo los beneficios de esta tecnología con suficientes garantías de seguridad.

1. Utilizar el mismo enfoque y una solución unificada para los entornos físicos y virtuales.

La virtualización es una tecnología rompedora y requiere un replanteamiento de los aspectos relacionados con las personas, los procesos y la tecnología para garantizar que toda la infraestructura de TI se administra coherentemente como una infraestructura única.

De la misma manera, además de reconsiderar cambios organizativos, operativos y funcionales, las organizaciones también tienen que gestionar y proteger los entornos físicos y virtuales con una misma solución automatizada, lo que hace que sea fundamental trabajar con un proveedor que tenga experiencia y soluciones que abarquen ambos entornos.

E igualmente importante es garantizar que la seguridad se tiene en cuenta desde el principio en las etapas de planificación de una implementación de virtualización. Esto contrarresta el riesgo de que se desarrollen silos de seguridad y garantizará que los presupuestos necesarios estén disponibles desde el principio.

2. Controlar la expansión de los datos.

Implementar una solución de prevención de fuga de datos efectiva mitiga los riesgos que presenta la dispersión de datos. En primer lugar, hay que definir el conjunto de la información sensible que es preciso controlar; esto ayudará a evitar la dispersión. A continuación, la solución de prevención de fuga de datos será la que determine la ubicación donde se encuentra esa información sensible y clasificará los datos de forma adecuada. Y por último, también habrá que aplicar los controles apropiados para garantizar que la información confidencial se conserva suficientemente segura y se evita que se mueva a áreas que no estén debidamente protegidas.

3. Gestionar los usuarios con privilegios.

Para evitar riesgos de seguridad asociados con los amplios privilegios que introduce el hipervisor, es preciso implementar una solución de gestión de este tipo de usuarios. Esto ayudará a asegurar la separación de funciones, a hacer cumplir el principio de mínimo privilegio y a mantener bajo control y poder hacer un seguimiento de todos los activos críticos.

4. Administrar la gestión de la seguridad como parte de la gestión de infraestructuras y servicios.

Al virtualizar los entornos de TI conviene asegurarse de que la gestión de la seguridad esté integrada con la gestión de las infraestructuras y la gestión de los servicios, teniendo en cuenta cuestiones tan importantes como la gestión de cambios y configuraciones, el aprovisionamiento de servidores, la gestión de incidentes y problemas, la gestión del rendimiento, la gestión de los niveles de servicio, el catálogo de servicios, etc.
La automatización es un requisito esencial para alcanzar los verdaderos beneficios de la virtualización, y esta integración es obligatoria para alcanzar el nivel necesario de automatización.

5. Mantener el cumplimiento de normativas.

Por naturaleza, los entornos virtuales son más dinámicos y las cargas de trabajo de los servidores virtuales, más móviles. Por lo tanto, es fundamental mantener el control y la visibilidad de lo que está sucediendo en los entornos virtuales con el fin de garantizar el cumplimiento normativo y los requisitos de las auditorías. Así que, además de la aplicación de las recomendaciones mencionadas anteriormente, también es importante considerar otras soluciones esenciales relacionadas con el cumplimiento, como la gestión de los registros y la certificación de los accesos.

Debido a la facilidad tanto de aprovisionamiento como de desaprovisionamiento de los servidores, la virtualización puede introducir volatilidad en la información, por lo que una solución de centralización de registros de seguridad se hace fundamental para dar cumplimiento a las auditorías.

En definitiva, se trata de que las organizaciones que se han decidido por la virtualización inviertan no sólo a nivel de organización, capacitación y tecnologías de virtualización, sino también en el uso de acertadas políticas y tecnologías de seguridad que permitan a sus administradores de TI mitigar los riesgos que, hoy por hoy, conllevan la mayoría de entornos virtualizados.

Jordi Gascon, director de soluciones de CA Technologies