Refuerzo de la seguridad en la nube: modelo de madurez y herramienta web integrada

Refuerzo de la seguridad en la nube: Modelo de madurez y herramienta web integrada Javier Alonso Díaz Nelson Domínguez Serrano MohammadHossein Homaei 1Pablo García Rodríguez 2Andrés Caro Lindo Cátedra Viewnext-UEx Cloud Security Leader Universidad de Extremadura Universidad de Extremadura Escuela Politécnica Viewnext Escuela Politécnica Escuela Politécnica [email protected] [email protected] [email protected] 1,2{pablogr, andresc}@unex.es Resumen- En los últimos años la migración hacia entornos en la nube por parte de las organizaciones ha transformado de manera radical la forma en la cual gestionan y procesan sus datos. Este cambio ha generado grandes preocupaciones en cuanto a la seguridad de la información. En la actualidad, proteger la integridad, confidencialidad y disponibilidad de los datos se ha convertido en una prioridad crucial. El aumento constante en el número de incidentes de seguridad, según registros del Centro Criptológico Nacional (CCN-CERT), refleja la creciente preocupación en este ámbito. Ante este escenario, la implementación de modelos de madurez se presenta como una posible solución. Este artículo tiene como objetivo cubrir estas problemáticas mediante la presentación de un modelo de madurez diseñado específicamente para entornos en la nube. Además, se muestra el desarrollo de una herramienta web que facilita el desarrollo de cualquier modelo de madurez, la implementación del modelo en un proyecto existente y la evaluación de este. Index Terms- Seguridad en la nube, Modelos de madurez, Ingeniería del software. Tipo de contribución: Investigación en desarrollo. I. INTRODUCCIÓN La forma en la que las organizaciones gestionan y procesan sus datos se ha transformado de manera radical en los últimos años debido al auge de las aplicaciones en la nube. Sin embargo, este cambio hacia la nube también ha traído preocupaciones significantes en el aspecto de la seguridad de la información. En el panorama actual, la protección de los datos se ha convertido en una prioridad crucial para proteger la integridad, confidencialidad y disponibilidad de la información sensible. En este contexto, la seguridad informática tanto genérica como centrada en entornos en la nube debe ser tratada como un pilar fundamental con el fin de mitigar los riesgos asociados con el almacenamiento y procesamiento de datos en entornos virtualizados. El incremento en el número de incidentes de seguridad en los últimos años continua en ascenso. El Centro Criptológico Nacional (CCN-CERT) [1], [2], [3], [4], [5], ha gestionado en los años 2016 (20.940), 2017 (26.500), 2018 (38.029), 2019 (42.997), 2020 (82.530), en 2021 [6] el número de incidentes ha seguido creciendo de manera proporcional al número de incidentes críticos registrados (118), prácticamente el doble que en 2020. Por último, en el año 2022 [7] han seguido creciendo, principalmente debido al rápido desarrollo tecnológico sufrido por las diferentes organizaciones para adaptarse a los años de pandemia (2020-2022). Esta tendencia generada anualmente sobre el número de incidentes generados genera una gran preocupación sobre las organizaciones. Una posible solución consiste en implementar un modelo de madurez. En función del ámbito de desarrollo del proyecto se recomienda la implementación de un modelo u otro. Con el fin de cubrir la seguridad en todas las áreas involucradas en el desarrollo software, desde la fase de diseño hasta la fase de despliegue, una posible solución consiste en implementar un modelo de madurez que incorpore la filosofía DevSecOps por defecto, como el modelo DevSecOps Viewnext-UEx [8]. Este modelo, pese a tener 143 actividades, carece de tareas centradas en la seguridad para entornos distribuidos en la nube. Además, el número elevado de tareas que poseen estos modelos dificulta la implementación. En [9] se plantea diseñar los modelos basándose en un metamodelo estándar, además se propone elaborar una herramienta web que facilite el seguimiento de implementación del modelo en una organización/proyecto. Por otro lado, la evaluación de la seguridad en proyectos se presenta como un desafío crítico para las organizaciones en la actualidad. La complejidad de los entornos tecnológicos y la diversidad de amenazas requieren herramientas y metodologías eficaces para garantizar la robustez de las defensas de seguridad y la adecuada protección de los activos digitales. En este escenario, las organizaciones se enfrentan a un panorama desafiante y complejo, donde la falta de una orientación clara y la ausencia de herramientas especializadas pueden dificultar la implementación de estrategias de seguridad efectivas. Este artículo pretende cubrir estas problemáticas ofreciendo un modelo de madurez para entornos en la nube, así como el desarrollo de una herramienta web que facilita el desarrollo, modificación y evaluación de modelos de madurez. La estructura del documento se organiza de la siguiente manera: En el apartado II compara los actuales modelos de madurez centrados en entornos distribuidos en la nube. En apartado III describe el metamodelo y procedimiento a seguir para desarrollar cualquier modelo de madurez. En el apartado IV se detalla el modelo de madurez Cloud Security Maturity Model Viewnext-UEx (CSMM VN-UEx) centrado en entornos en la nube y muestra el resultado de la herramienta web en dicho modelo. Por último, en el apartado V se detallan las conclusiones del trabajo, así como trabajos futuros. II. ESTADO DEL ARTE En el ámbito de la seguridad informática, se han establecido diversos estándares y marcos de control como pilares fundamentales para la protección de datos y sistemas. Microsoft Cloud Security Benchmark (MCSB) [10] destaca por ofrecer un compendio de recomendaciones de seguridad enfocadas en el fortalecimiento de servicios en la nube, tanto en entornos exclusivos de nube como híbridos. A su vez, los Controles Críticos de Seguridad del Centro para la Seguridad del Internet (CIS) [11] proporcionan un conjunto de medidas preventivas para contrarrestar las amenazas cibernéticas más JNIC 2024 ISBN:978-84-09-62140-8 540 comunes, adaptándose a la evolución tecnológica y los cambiantes métodos de ataque. El Instituto Nacional de Estándares y Tecnología (NIST) [12], propone un catálogo de controles de seguridad y privacidad, NIST SP 800-53, orientado a las organizaciones federales y otras entidades sobre cómo proteger sus operaciones y datos frente a un espectro amplio de riesgos. Finalmente, el Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS) [13] se erige como el estándar global para la seguridad de datos en el sector de pagos, aplicable a cualquier entidad que maneje datos de tarjetas bancarias. Estos marcos no solo establecen las prácticas recomendadas, sino que también consideran aspectos legales para proporcionar una estructura integral para la gestión de la seguridad y la privacidad. El MCSB surge como un conjunto crucial de recomendaciones de seguridad para fortalecer los servicios en la nube en entornos de nube única e híbridos. El marco MCSB se define en dos componentes principales: controles de seguridad y líneas base de servicio. Los controles de seguridad tienen como objetivo ofrecer recomendaciones cuando se trabaja en el cloud, haciendo énfasis en las fases de planificación, aprobación o implementación de las medidas de seguridad de MCSB. Paralelamente, las líneas base de servicio tratan de adaptar estos controles a servicios en la nube específicos, según el proveedor. Actualmente, estas líneas están disponibles exclusivamente para Azure, indicando un esfuerzo enfocado en mejorar las medidas de seguridad dentro del ecosistema en la nube de Microsoft. El listado de controles del marco de Microsoft se compone de: La seguridad de la red, la gestión de la identidad, el acceso privilegiado, la protección de datos, la gestión de activos, el registro y la detección de amenazas, la respuesta ante incidentes, la gestión de postura y vulnerabilidad, la seguridad del punto final, el respaldo y la recuperación, la seguridad en DevOps, y la gobernanza y estrategia. Los Controles CIS son un conjunto de medidas de prevención para mitigar los ataques cibernéticos más frecuentes contra sistemas y redes. La versión más reciente de los Controles CIS ha sido mejorada para mantenerse actualizada con los sistemas y software modernos, teniendo en cuenta la tendencia hacia la computación basada en la nube, la virtualización, la movilidad, la externalización, el trabajo desde casa y la evolución de las tácticas de los atacantes. Los controles establecidos por el CIS son: Inventario y control de activos empresariales, inventario y control de activos de software, protección de datos, configuración segura de activos empresariales y software, gestión de cuentas, gestión de control de acceso, gestión continua de vulnerabilidades, gestión de registros de auditoría, protecciones de correo electrónico y navegador web, defensas contra malware, recuperación de datos, gestión de infraestructura de red, monitoreo y defensa de red, formación en conciencia y habilidades de seguridad, gestión de proveedores de servicios, seguridad de software de aplicación, gestión de respuesta ante incidentes, pruebas de penetración. El NIST ofrece un catálogo de controles de seguridad y privacidad para sistemas de información federales y de organizaciones, y un proceso para seleccionar controles para proteger las operaciones organizacionales, activos organizacionales, individuos, otras organizaciones y el país de un conjunto diverso de amenazas incluyendo ataques cibernéticos, desastres naturales, fallos estructurales y errores humanos. Los controles son personalizables e implementados como parte de un proceso a nivel organizacional que gestiona el riesgo de seguridad de la información y privacidad. El catálogo comprende los siguientes controles: control de acceso, conciencia y formación, auditoría y responsabilidad, evaluación de seguridad y autorización, gestión de configuración, planificación de contingencias, identificación y autenticación, respuesta ante incidentes, mantenimiento, protección de medios, protección física y ambiental, planificación, seguridad del personal, evaluación de riesgos, adquisición de sistemas y servicios, protección de sistemas y comunicaciones, integridad de sistemas e información. El PCI DSS es el estándar global de seguridad de datos adoptado por las marcas de tarjetas de pago para todas las entidades que procesan, almacenan o transmiten datos de titulares de tarjetas y/o datos de autenticación sensibles. Este estándar consiste en identificar las actividades que reflejan las mejores prácticas de seguridad y se aplica a todas las entidades que almacenan, procesan y/o transmiten datos de titulares de tarjetas. Las tareas de control recogidas en este estándar son: Instalar y mantener una configuración de firewall para proteger los datos de los titulares de tarjetas, no utilizar las contraseñas predeterminadas proporcionadas por los proveedores para los parámetros de seguridad del sistema, proteger los datos almacenados de los titulares de tarjetas, cifrar la transmisión de datos de los titulares de tarjetas a través de redes públicas abiertas, proteger todos los sistemas contra malware y actualizar regularmente el software o programas antivirus, desarrollar y mantener sistemas y aplicaciones seguros, restringir el acceso a los datos de los titulares de tarjetas según la necesidad de conocer por parte del negocio, identificar y autenticar el acceso a los componentes del sistema, restringir el acceso físico a los datos de los titulares de tarjetas, rastrear y monitorear todo el acceso a los recursos de la red y los datos de los titulares de tarjetas, probar regularmente los sistemas de seguridad y los procesos, y mantener una política que aborde la seguridad de la información para todo el personal. III. METODOLOGÍA La forma en la cual las organizaciones gestionan y procesan sus datos ha cambiado debido a la creciente adopción de los servicios en la nube. Sin embargo, esta transición también ha traído consigo una serie de desafíos significativos en cuanto a la seguridad de la información. Los entornos en la nube son un objeto frecuente de ciberataques. Este tipo de ataque puede tener repercusiones graves en la integridad, disponibilidad y confidencialidad de los datos sensibles de una organización Ante este panorama, es crucial implementar medidas de seguridad sólidas y efectivas las cuales protejan adecuadamente los activos digitales en la nube. Ante este contexto, surge la necesidad de contar con un marco de referencia sólido y confiable que guíe la implementación de medidas de seguridad en entornos en la nube. El marco de seguridad Microsoft Cloud Security Benchmark (MCSB) se presenta como el marco de referencia al proporcionar una serie de directrices específicas y recomendaciones detalladas. MCSB ofrece a las organizaciones una base sólida para fortalecer su postura de seguridad en la nube. Tiene un enfoque exhaustivo y actualizado el cual aborda una amplia gama de áreas de seguridad, lo que convierte a MCSB en una referencia imprescindible para cualquier estrategia de seguridad en la nube. Refuerzo de la seguridad en la nube: Modelo de madurez y herramienta web integrada 541 MCSB es un modelo muy completo pero difícil de implementar debido al gran número de controles. Por ello se plantea un metamodelo el cuál permita implementa, modificar y evaluar modelos de madurez de manera sencilla. El desarrollo se ha realizado siguiendo un enfoque metódico y sistemático que puede ser generalizado y adaptado para la creación de otros modelos de seguridad. Este enfoque se basa en un metamodelo el cual cubre varias etapas clave, desde la identificación de requisitos hasta la implementación y la evaluación del modelo final. A. Identificación de requisito La primera etapa del proceso metodológico implica la identificación y definición de los requisitos específicos que el modelo de seguridad debe cumplir. Esto incluye la comprensión de las necesidades y desafíos de seguridad de las organizaciones, así como el análisis de los estándares y mejores prácticas existentes. B. Diseño conceptual Con base en los requisitos identificados, se procede a diseñar un marco conceptual para el modelo de seguridad. Este marco conceptual establece los principios y conceptos clave que guiarán el desarrollo del modelo, así como la estructura organizativa y las relaciones entre los diferentes componentes del modelo. De manera general, los modelos están compuestos por dominios. Cada dominio se compone por un número de controles los cuales agrupan una serie de tareas. Estas tareas pertenecen a un tipo determinado (documental, automatización, técnica, etc.) C. Desarrollo del modelo Esta etapa, se desarrolla el modelo de seguridad siguiendo el marco conceptual establecido previamente. Esto implica tanto la definición de los dominios, controles y tareas, así como la elaboración de directrices y recomendaciones específicas para cada área de seguridad cubierta por el modelo. D. Validación y prueba Una vez se ha desarrollado el modelo, se procede a su validación y prueba para asegurar su eficiencia y relevancia en entornos reales. Esto puede incluir revisión por pares, pruebas de concepto y evaluaciones de seguridad con el fin de verificar la idoneidad del modelo en diferentes escenarios y contextos. E. Implementación A continuación, el modelo se implementa en entornos de producción. Mediante este enfoque metodológico se proporciona un marco estructurado y coherente para el desarrollo de modelos de seguridad. Al seguir este enfoque, las organizaciones pueden crear modelos de seguridad personalizados y adaptados a sus necesidades específicas, contribuyendo así a fortalecer la seguridad en los entornos de nube de manera efectiva y sostenible. En muchos casos, los modelos de madurez en el ámbito de la seguridad informática involucran un extenso conjunto de actividades que deben implementarse. Por ejemplo, el modelo DevSecOps Viewnext-UEx [8] consta de 143 actividades. La ejecución de tal cantidad de actividades representa una inversión significativa de tiempo y recursos para organizar el orden de implementación de estas tareas en una organización. Por ello, se propone una funcionalidad que automatiza el cálculo del valor de prioridad de implementación para una tarea específica. Este valor se calcula utilizando métricas que ponderan factores tanto positivos como negativos. Por ejemplo, estas métricas podrían incluir el nivel de conocimiento necesario, el tiempo y los recursos requeridos para la implementación, así como la utilidad que la tarea aporta a la organización o proyecto. Cada una de estas métricas está asociada con un valor predefinido. Para el modelo general, se deben especificar los valores correspondientes a cada métrica, utilizando una escala predefinida (por ejemplo: muy alto, alto, medio, bajo o muy bajo). El cálculo del valor de prioridad de una tarea se realiza mediante la suma ponderada del peso asociado a cada métrica multiplicado por el peso asociado a su valor respectivo. Este cálculo resulta en un valor numérico denominado valor de prioridad. Para determinar el nivel de prioridad de una tarea, se calcula tanto el valor de prioridad máximo como el mínimo que puede obtener una tarea. El nivel de prioridad de implementación se determina según el percentil en el cual se encuentra el valor de prioridad de una tarea específica. El número de percentiles definidos determina la cantidad de niveles que se establecerán en el modelo de prioridad. F. Evaluación En último lugar, el modelo se debe someter a una evaluación de manera continua para garantizar su eficacia a lo largo del tiempo. Esto implica la monitorización de la seguridad y cumplimiento del modelo, la detección de posibles áreas de mejora y la actualización periódica del modelo para adaptarse a los cambios en el panorama de seguridad. Estas evaluaciones se realizan mediante cuestionarios. El objetivo final de cada cuestionario consiste identificar las tareas que se encuentran implementadas en un proyecto. Para ello cada pregunta se encuentra asociada a una serie de tareas del modelo. Cada una de las respuestas del cuestionario, establece un valor de adopción (entre 0; tarea no implementada y 100; tarea implementada por completo) para las tareas correspondientes. G. Herramienta Web Además, para facilitar la implementación, gestión, evaluación y seguimiento de los modelos de madurez que puede desarrollar, implementar o adaptar una organización a un determinado proyecto, se ha desarrollado una herramienta web intuitiva y de fácil acceso. Esta herramienta proporciona a los usuarios una plataforma centralizada para trabajar con el modelo, permitiendo adaptar dicho modelo a las peculiaridades de un determinado proyecto. La herramienta, permite la evaluación, seguimiento y mejora continua de la integración de dichos modelos en el proyecto. Las organizaciones pueden optimizar sus estrategias de seguridad de manera eficiente y efectiva mediante el uso de esta herramienta. IV. RESULTADOS En base a la metodología descrita anteriormente, se ha definido un modelo de madurez orientado a la seguridad en entornos en la nube, denominado Cloud Security Maturity Model Viewnext-UEx (CSMM VN-UEx). Este modelo proporciona una estructura sistemática y un marco de referencia claro para evaluar y mejorar la seguridad en entornos de computación en la nube para cualquier proyecto/organización. Al definir una serie de dominios, controles y tareas las cuales se encuentran organizadas en niveles y tipo, este modelo permite a las organizaciones medir J. Alonso, N. Dom´ınguez, M. Homaei, P. Garc´ıa and A. Caro 542 su postura de seguridad actual, identificar áreas de mejora y establecer objetivos realistas para fortalecer su infraestructura en la nube. Además, al ser específicamente diseñado para entornos en la nube, este modelo cubre los desafíos y riesgos únicos asociados con la migración y operación de sistemas en la nube. Su implementación puede ayudar a mitigar amenazas potenciales, proteger los datos confidenciales y garantizar el cumplimiento de regulaciones y estándares de seguridad. Además, el modelo proporciona un cuestionario de evaluación que permite obtener las tareas implementadas en un proyecto y realizar un seguimiento de estas. De forma similar al enfoque proporcionado en el MCSB, el modelo CSMM VN-UEx adopta una estructura organizativa basada en dominios, controles y tareas para ofrecer una guía exhaustiva y detallada en materia de seguridad en la nube. Este modelo, se compone de un conjunto de 12 dominios, cada uno abarca una serie de aspectos específicos y cruciales de la seguridad en la nube. Dentro de estos dominios, se identifican y definen un total de 86 controles, los cuales representan medidas concretas y prácticas para implementar en los entornos en la nube con el fin de fortalecer la seguridad en aspectos concretos. Por último, estos controles, a su vez, se desglosan en un total de 414 tareas individuales, proporcionando una orientación específica sobre las acciones a llevar a cabo para garantizar el nivel de protección adecuado en cada área de seguridad cubierta por el modelo. Esta estructura detallada y jerárquica del modelo permite una implementación eficiente y sistemática de las medidas de seguridad recomendadas, cubriendo de esta manera las complejidades y desafíos que se encuentran en el entorno de la seguridad en la nube de manera integral y efectiva Alineado con las mejores prácticas y estándares de seguridad en la nube, el modelo se estructura en una serie de dominios que cubren los distintos aspectos cruciales para garantizar la protección y la integridad de los datos en los entornos en la nube. Cada uno de estos dominios se enfoca en áreas específicas de seguridad, proporcionando una serie de directrices y recomendaciones detalladas para fortalecer la postura de seguridad de las organizaciones. A continuación, se presenta una breve introducción a cada uno de los dominios incluidos en el modelo CSMM VN-UEx. A. Acceso con privilegios (PA) El dominio de Acceso con Privilegios (PA) comprende una serie de controles destinados a proteger el acceso privilegiado a los recursos. Estos controles se enfocan en resguardar el modelo administrativo, las cuentas administrativas y las estaciones de trabajo contra riesgos deliberados e involuntarios asociados con el acceso privilegiado. Este dominio específico está compuesto por 8 controles esenciales para su gestión y aplicación efectiva. B. Administración de identidades (IM) La Administración de Identidades (IM) se centra en establecer identidades seguras y regular el acceso mediante sistemas de administración de identidad y acceso. Incluye funciones como inicio de sesión único, autenticación segura, gestión de identidades para aplicaciones y monitoreo de cuentas. Este dominio específico consta de 9 controles esenciales para su gestión y aplicación efectiva. C. Registro y detección de amenazas (LT) El Registro y la Detección de Amenazas (LT) engloba controles para detectar amenazas en entornos de nube y facilitar la recopilación y almacenamiento de registros de auditoría de servicios en la nube. Esto implica activar procesos de detección, investigación y corrección con controles que generen alertas de alta calidad mediante la detección de amenazas nativa en los servicios en la nube. Además, comprende la recolección de registros mediante un servicio de supervisión en la nube, la centralización de análisis de seguridad con un SIEM, la sincronización horaria y la retención de registros. Este dominio incluye 7 controles esenciales para su gestión y aplicación efectiva. D. Copia de seguridad y recuperación (BR) La Copia de Seguridad y Recuperación (BR) involucra controles destinados a asegurar que las copias de seguridad de datos y configuraciones de diversos niveles de servicio sean realizadas, validadas y protegidas adecuadamente. Este dominio incluye 4 controles esenciales para su adecuada gestión y ejecución. E. Protección de datos (DP) La Protección de Datos (DP) abarca la gestión de la seguridad de datos en reposo, en tránsito y mediante accesos autorizados. Incluye la detección, clasificación, protección y supervisión de recursos de datos confidenciales a través de herramientas como el control de acceso, cifrado y gestión de claves y certificados. Este ámbito comprende 8 controles clave para su adecuada implementación y gestión. F. Seguridad del punto de conexión (ES) La Seguridad del Punto de Conexión (ES) engloba controles relacionados con la detección y respuesta en los puntos de conexión. Esto incluye la utilización de herramientas como la Detección y Respuesta en los Puntos de Conexión (EDR) y servicios antimalware para puntos de conexión en entornos en la nube. ES cuenta con 3 controles fundamentales para su gestión y aplicación efectiva. G. Administración de recursos (AM) La Administración de Recursos (AM), también conocido como Gestión de Activos, se enfoca en asegurar la visibilidad y gobernanza de la seguridad en los recursos disponibles. Esto incluye establecer recomendaciones sobre los permisos para el personal de seguridad, asegurar el acceso seguro al inventario de recursos y gestionar las aprobaciones para servicios y recursos, que abarcan inventario, seguimiento y corrección. Este dominio específico comprende 5 controles esenciales para su gestión y aplicación efectiva. H. Seguridad de DevOps (DS) La Seguridad de DevOps (DS) abarca los controles relacionados con la ingeniería de seguridad y las operaciones en los procesos de DevOps. Esto incluye la implementación de comprobaciones de seguridad críticas, como pruebas de seguridad de aplicaciones estáticas o gestión de vulnerabilidades, antes de la fase de implementación para asegurar la seguridad a lo largo del proceso de DevOps. También aborda temas comunes como el modelado de amenazas y la seguridad del suministro de software. Son necesarios un total de 7 controles para la gestión y aplicación efectiva de este dominio. I. Respuesta a los incidentes (IR) La Respuesta a Incidentes (IR) involucra controles que Refuerzo de la seguridad en la nube: Modelo de madurez y herramienta web integrada 543 abarcan el ciclo de vida de respuesta a incidentes, desde la preparación, detección y análisis, hasta la contención y actividades posteriores a los incidentes. En este dominio, se identifican 7 controles cruciales para su gestión y aplicación efectiva. J. Seguridad de red (NS) El dominio de Seguridad de Red (NS) se enfoca en implementar medidas para proteger y garantizar la integridad de las infraestructuras de comunicación, abarcando desde la seguridad de redes virtuales hasta la configuración de enlaces privados. Su alcance comprende la prevención y el contrarresto de amenazas externas, así como la defensa del Sistema de Nombres de Dominio (DNS). Este dominio específico está compuesto por un conjunto de 10 controles para su gestión y aplicación efectiva. K. Administración de posiciones y vulnerabilidades (PV) La Administración de Posiciones y Vulnerabilidades (PV) se enfoca en controles que evalúan y mejoran la postura de seguridad en la nube. Esto abarca la evaluación de vulnerabilidades, pruebas de penetración, corrección, seguimiento de la configuración de seguridad, informes y corrección en los recursos en la nube. En este dominio se pueden encontrar 7 controles esenciales para su gestión y aplicación efectiva. L. Gobernanza y estrategia (GS) La Gobernanza y Estrategia (GS) proporcionan una guía para asegurar una estrategia de seguridad coherente y un enfoque de gobierno documentado para dirigir y mantener el control de la seguridad. Esto incluye establecer roles y responsabilidades para diversas funciones de seguridad en la nube, una estrategia técnica unificada, así como directivas y estándares de soporte. Son necesarios 11 controles para gestionar y aplicar de manera correcta este último dominio. M. Estructura del modelo CSMM VN-UEx La Tabla 1, resume la estructura del modelo CSMM VN- UEx indicando para cada uno de los dominios, el número de controles y tareas. TABLA 1. ESTRUCTURA DEL MODELO CSMM VN-UEX Dominio N.º Controles N.º Tareas PA 8 36 IM 9 30 LT 7 32 BR 4 22 DP 8 34 ES 3 10 AM 5 29 DS 7 42 IR 7 35 NS 10 32 PV 7 35 GS 11 77 N. Herramienta Web La herramienta web proporciona una interfaz intuitiva y fácil de usar que facilita la interacción con el modelo CSMM VN-UEx. En la Figura 1, se ilustran las diferentes opciones disponibles para trabajar con el modelo, lo que incluye la visualización detallada del mismo, la realización del cuestionario de evaluación para determinar el nivel de madurez de seguridad y la capacidad de editar el modelo según las necesidades específicas de la organización. Estas funcionalidades permiten a los usuarios explorar, evaluar y adaptar el modelo de manera eficiente, contribuyendo así a la mejora continua de la seguridad en la nube. FIGURA 1. HERRAMIENTA WEB. OPCIONES DEL MODELO En relación con los aspectos específicos del modelo, inicialmente se presentan los detalles generales que abarcan los dominios, la cantidad de controles asociados, los niveles establecidos y las tipologías de tareas correspondientes. Este análisis preliminar permite una comprensión exhaustiva de la estructura del modelo, proporcionando una visión detallada de sus componentes fundamentales. Esto puede observarse en la Figura 2. FIGURA 2. HERRAMIENTA WEB. DETALLES DEL MODELO Como se puede observar en la Figura 4, la herramienta también permite visualizar todas las tareas que conforman el modelo, junto con sus propiedades específicas. Además, ofrece la opción de filtrar las tareas a mostrar, lo que facilita un enfoque más selectivo y personalizado. Asimismo, muestra el nivel de implementación de cada tarea, un valor que se autocompleta al realizar el cuestionario de seguimiento. Este enfoque automatizado agiliza el proceso de evaluación y seguimiento del cumplimiento de las tareas definidas en el modelo de madurez. Finalmente, en la Figura 3, se presenta una pregunta del cuestionario, donde las respuestas tendrían un impacto en los aspectos relacionados con las tareas identificadas como PA- 1.T1 y PA-1.T2. Este impacto afecta al valor de implementación que tendrán dichas tareas. FIGURA 3. HERRAMEINTA WEB. EJEMPLO CUESTIONARIO J. Alonso, N. Dom´ınguez, M. Homaei, P. Garc´ıa and A. Caro 544 V. CONCLUSIONES En este trabajo se ha realizado una revisión exhaustiva de los marcos de trabajo y modelos de madurez actuales relativos a la seguridad en entornos en la nube. Se ha presentado un metamodelo junto con una herramienta web, los cuales posibilitan la creación de un marco de referencia estandarizado aplicable a cualquier modelo de madurez. Esto capacita a las organizaciones para definir y personalizar modelos de madurez preexistentes, así como para establecer sus propios dominios, controles y tareas. Además, permite generar cuestionarios de evaluación de manera sencilla. Asimismo, facilita la obtención de una visión global del estado actual del modelo en un proyecto específico. Finalmente, se ha presentado un modelo de madurez enfocado en la seguridad en entornos de nube, que consta de un total de 12 dominios, 86 controles y 414 tareas. VI. AGRADECIMIENTOS Cabe destacar que esta iniciativa se realiza en el marco de los fondos del Plan de Recuperación, Transformación y Resiliencia, financiados por la Unión Europea (Next Generation) en el marco del proyecto con referencia C109/23 "Proyecto estratégico UEx (Escuela Politécnica de Cáceres)- INCIBE". Los autores agradecen la colaboración de la empresa Viewnext S.A. por su generoso apoyo, su compromiso con la investigación y la asistencia técnica realizada en el desarrollo de este trabajo. VII. REFERENCIAS. [1] Centro Criptológico Nacional, «Ciberamenazas y Tendencias Edición 2017», 2017. Disponible en: https://www.ccn-cert.cni.es/informes/informes-ccn- cert-publicos/2221-ccn-cert-ia-16-17-ciberamenzas-y- tendencias-edicion-2017-resumen-ejecutivo- 1/file.html [2] Centro Criptológico Nacional, «Informe de Ciberamenazas y Tendencias 2018», 2018. Disponible en: https://www.ccn-cert.cni.es/informes/informesccn-cert-publicos/2835-ccn-cert-ia-09-18- ciberamenzas-y-tendencias-edicion-2018-1/file.html [3] Centro Criptológico Nacional, «Informe de Ciberamenazas y Tendencias 2019», 2019. [En línea]. Disponible en: https://www.ccncert.cni.es/informes/informes-ccn-cert-publicos/3776- ccn-cert-ia-13-19-ciberamenazas-y-tendencias- edicion-2019-1/file.html [4] Centro Criptológico Nacional, «Ciberamenazas y Tendencias Edición 2020», 2020. Disponible en: https://www.ccn-cert.cni.es/informes/informes-ccn- cert-publicos/5377-ccn-cert-ia-13-20-ciberamenazas- y-tendencias-edicion-2020/file.html [5] Centro Criptológico Nacional, «Ciberamenazas y Tendencias Edición 2021», 2021. [6] Centro Criptológico Nacional, «Ciberamenazas y Tendencias Edición 2022», 2022. [7] Centro Criptológico Nacional, «Ciberamenazas y Tendencias Edición 2023», 2023. [8] J. Alonso Díaz, J. C. Sancho Núñez, Ó. Mogollón Gutiérrez, y M. Homaei, «Un nuevo enfoque DevSecOps al modelo ViewNext-UEx», Jornadas Nacionales de Investigación en Ciberseguridad (JNIC), pp. 307-310, 2022. [9] J. Alonso Díaz, Ó. Mogollón Gutiérrez, J. C. Sancho Núñez, y A. Caro Lindo, «Adaptación y evaluación de un modelo de madurez DevSecOps a las particularidades de proyectos software», Jornadas Nacionales de Investigación en Ciberseguridad (JNIC), pp. 553-556, 2023. [10] «Información general sobre Microsoft Cloud Security Benchmark | Microsoft Learn». Accedido: 21 de marzo de 2024. Disponible en: https://learn.microsoft.com/eses/security/benchmark/azure/overview [11] «CIS Critical Security Controls® v8 CIS Critical Security Controls», Accedido: 21 de marzo de 2024. Disponible en: www.cisecurity.org/controls/ [12] «Withdrawn NIST Technical Series Publication Warning Notice Withdrawn Publication Series/Number NIST Special Publication 800-53 Rev. 4 Title Security and Privacy Controls for Federal Information Systems and Organizations Publication Date(s) Superseding Publication(s) (if applicable) Title Security and Privacy Controls for Information Systems and Organizations Additional Information (if applicable)», 2021, doi: 10.6028/NIST.SP.800-53r5. [13] P. Ssc, «PCI DSS Quick Reference Guide Understanding the Payment Card Industry Data Security Standard version 3.2.1 For merchants and other entities involved in payment card processing PCI DSS Quick Reference Guide: Understanding the Payment Card Industry Data Security Standard version 3.2.1», 2009, Accedido: 21 de marzo de 2024. Disponible en: www.pcisecuritystandards.org. FIGURA 4. HERRAMIENTA WEB. LISTADO DE TAREAS Refuerzo de la seguridad en la nube: Modelo de madurez y herramienta web integrada 545