ACSC - Cloud Computing Security for Cloud Service Providers

Este documento se ha elaborado para ayudar a los evaluadores a verificar el nivel de seguridad de un servicio en la nube, a fin de proporcionar a las organizaciones una garantía independiente de las demandas de seguridad hechas por los proveedores de servicios en la nube (CSP). Este documento también puede ayudar a los CSP a ofrecer servicios seguros en la nube.

El equipo de ciberseguridad, los arquitectos de la nube y los representantes empresariales de una organización deben consultar el documento complementario "Cloud Computing Security for Tenants" (Seguridad de computación en la nube para inquilinos).

Según la definición del Instituto Nacional de Normas y Tecnología de EE. UU. (NIST), la computación en la nube ofrece a las organizaciones ventajas potenciales, como mejores resultados empresariales. Mitigar los riesgos asociados con el uso de los servicios en la nube es una responsabilidad compartida entre la organización (el "inquilino") y el proveedor de servicios en la nube, incluidos sus subcontratistas, (en conjunto, "CSP"). Sin embargo, las organizaciones son las responsables en última instancia de proteger sus datos y garantizar su confidencialidad, integridad y disponibilidad.

Antes de poder utilizar servicios en la nube, las organizaciones deben realizar una evaluación de riesgos e implementar medidas de mitigación asociadas. Los riesgos varían en función de factores como la confidencialidad y el nivel de importancia de los datos que se van a almacenar o tratar, la forma en la que se implementa y gestiona el servicio en la nube, el uso que va a dar la organización al servicio en la nube y los desafíos asociados con la organización que realiza la detección y respuesta ante incidentes. Las organizaciones deben comparar estos riesgos con una evaluación objetiva del riesgo del uso de sistemas informáticos internos que podrían estar mal protegidos, tener una disponibilidad insuficiente o no cumplir con los requisitos empresariales actuales.

Este documento se ocupa de la infraestructura como servicio (IaaS), la plataforma como servicio (PaaS) y el software como servicio (SaaS), proporcionados por un CSP como parte de una nube pública, una nube comunitaria y, en menor medida, una nube híbrida o una nube privada externalizada.