Todo lo que necesita saber sobre SecnumCloud

Las infraestructuras en la nube son los principales objetivos de los ciberdelincuentes, dada la gran cantidad de datos, a veces confidenciales, que almacenan. Para hacer frente a este desafío estratégico, se ha implementado la certificación de seguridad SecnumCloud. Muy exigente, está diseñada para proteger a las empresas, las agencias estatales y cualquier operador de vital importancia contra las intrusiones.

Para ayudarlo a comprender los desafíos y las especificidades de SecnumCloud, en este artículo presentamos esta certificación, sus ventajas y el proceso de certificación dedicado. Esto le permitirá elegir sus servicios en la nube y proteger su negocio de una manera más informada.

¿Qué es SecnumCloud?

Ante el aumento de los ciberataques y las violaciones de datos, elANSSI (Agencia Nacional para la Seguridad de los Sistemas de Información) ha implementado la certificación SecnumCloud.

Este marco de requisitos es «un conjunto de reglas que se aplican a los proveedores de servicios en la nube que desean obtener una calificación de sus ofertas o desean cumplir con las recomendaciones de seguridad de la agencia».

Al cumplir con los requisitos técnicos, operativos y legales de SecnumCloud, el proveedor de servicios puede tranquilizar a sus clientes demostrando la calidad de la seguridad de los datos.

Los diferentes tipos de proveedores de servicios están involucrados y pueden solicitar esta calificación:

• IaaS (infraestructura como servicio)
• CaaS (contenedores como servicio)
• PaaS (plataforma como servicio)
• SaaS (software como servicio)

¿Qué prácticas de seguridad garantiza una certificación de SecnumCloud?

Para garantizar un nivel óptimo de seguridad, el marco SecnumCloud cubre más de 360 puntos de requisitos que pertenecen a 14 temas de seguridad esenciales:

• Política de seguridad de la información y gestión de riesgos;
• Organización de la seguridad de la información;
• Seguridad de los recursos humanos;
• Control de acceso y gestión de identidades:
• seguridad física y ambiental;
• gestión de activos;
• Criptología;
• Seguridad operacional;
• Seguridad de las comunicaciones;
• Adquisición, desarrollo y mantenimiento de sistemas de información;
• Relación con terceros;
• Gestión de incidentes de seguridad de la información;
• Continuidad de la actividad de información;
• Cumplimiento.

¿Por qué SecnumCloud es esencial para la seguridad en la nube?

La iniciativa SecnumCloud es parte del deseo europeo de aumentar la seguridad de los datos, en particular a través de la Ley de Ciberseguridad. A nivel francés, la certificación se basa en la estructura de la norma ISO/IEC 27001 y es perfectamente coherente con La estrategia de nube del gobierno.

Algunos datos y cifras ayudan a comprender la importancia de proteger la nube:

• Los ciberataques representaron la primera amenaza para las empresas y las comunidades en 2020;
• Entre 2019 y 2020, el número de ataques a distancia tratados por la ANSSI aumentó en un 4%
• En 2022, la plataforma Cyberance observó un aumento de los ataques dirigidos a sitios web profesionales.

Estas fuertes tendencias demuestran un aumento masivo de los riesgos cibernéticos. Las infraestructuras en la nube, por supuesto, no son inmunes y deben protegerse.

¿Cuáles son las ventajas de que una empresa esté calificada para SecnumCloud?

Cualquier empresa que esté en condiciones de acceder a la certificación SecnumCloud puede obtener numerosos beneficios. Sin embargo, el altísimo nivel de requisitos lo limita a un círculo estrecho.

En cualquier caso, las organizaciones y empresas certificadas pueden:

• Certificar un alto nivel de seguridad;
• Ofrecer garantías sólidas a sus clientes;
• Acceder a licitaciones estratégicas;
• Cumpla con la Ley de Ciberseguridad.

Por lo tanto, la empresa calificada se protege a sí misma y, al mismo tiempo, protege eficazmente los datos de sus clientes.

El proceso de certificación de SecnumCloud

Si bien los beneficios de la certificación son numerosos, obtenerla es un proceso complejo. Es necesario que la empresa u organización le dedique importantes recursos durante un período de tiempo relativamente largo.

Cumplir con los criterios de elegibilidad

En primer lugar, el proveedor debe ser un servicio de computación en la nube como IaaS, PaaS, SaaS o CaaS. El objetivo de la certificación es, ante todo, garantizar la seguridad de los datos nacionales. Por lo tanto, el servicio debe operar en Francia, aunque el proveedor del servicio puede tener su sede en el extranjero.

Los pasos necesarios para la certificación

Hay varios pasos esenciales para esperar obtener esta certificación:

• El solicitante debe preparar documentación detallada que demuestre el cumplimiento de los requisitos de certificación de SecnumCloud. Uno de los documentos esenciales es, entonces, el archivo de seguridad, que detalla cómo el proveedor de servicios cumple con los requisitos de seguridad de la ANSSI;
• En un segundo paso, ANSSI examinará cuidadosamente el archivo. Si la solicitud es admisible, el proceso de certificación requiere la programación de una serie de auditorías. Estas son realizadas por expertos independientes que evaluarán el cumplimiento por parte de la empresa de los requisitos de certificación;
• Si las auditorías se aprueban con éxito, los auditores hacen una recomendación a ANSSI. Esto último es esencial para la emisión de la certificación SecnumCloud.

Para superar con éxito todos estos pasos, la empresa debe trabajar en profundidad en todos los aspectos de su ciberseguridad. De hecho, para garantizar una seguridad óptima para las organizaciones y empresas acreditadas, ANSSI rechaza cualquier solicitud de certificación que incluya un incidente o una debilidad en el sistema de seguridad.

Los costos asociados con la certificación

Es difícil evaluar de antemano los costos necesarios para cumplir con SecnumCloud. Depende del estado actual del nivel de seguridad de la empresa. En ocasiones, se deben implementar muchas acciones antes de solicitar la certificación.

Para el proceso de certificación en sí, es necesario prever los costos de preparación de la documentación y las auditorías, pero también los costos de mantenimiento y certificación.

Sin embargo, puede ponerse en contacto con auditores cualificados con antelación o directamente con ANSSI para obtener una estimación más precisa de los costos de certificación.

Una solución sólida y confiable para proteger los servicios en la nube

La certificación SecnumCloud es esencial tanto si es cliente de un proveedor de nube como si es usted mismo un proveedor de nube. Si es un cliente, tieneuna plataforma colaborativa comprobada es ideal para mantener sus datos seguros. Si es un proveedor de servicios, acceder a la certificación SecnumCloud es una forma eficaz de garantizar la fiabilidad de sus servicios y tranquilizar a sus clientes. La iniciativa SecnumCloud forma parte de un enfoque global para la preservación de las infraestructuras críticas que concierne a todas las partes interesadas, desde los ciudadanos hasta los consumidores, incluidos los profesionales de la nube.

ANSSI, Centrarse en SecnumCloud y la protección de datos, sitio consultado en julio de 2023

ANSSI, La ciberseguridad ante la amenaza: la estrategia francesa, sitio consultado en julio de 2023

ibíd.

Cibermalicia, Cifras y tendencias sobre ciberamenazas: Cybermaliciance.gouv.fr revela su informe de actividad de 2022, 2023