PDF de programación - GUÍAS DE SEGURIDAD DE ÁREAS CRÍTICAS EN CLOUD COMPUTING V3.0

GUÍAS DE SEGURIDAD
DE ÁREAS CRÍTICAS EN

CLOUD COMPUTING

V3.0



INTRODUCCIÓN

INTRODUCCIÓN

GUÍAS DE SEGURIDAD DE ÁREAS CRÍTICAS EN
CLOUD COMPUTING V3.0

Este documento constituye la tercera versión de la "Guía de Seguridad para las áreas críticas de atención en
Cloud Computing" de la Cloud Security Alliance, que fue publicada originalmente en abril de 2009.

Las distintas versiones de la Guía, en su idioma original, se encuentran disponibles en las siguientes
ubicaciones:

http://www.cloudsecurityalliance.org/guidance/csaguide.v3.0.pdf (Versión 3 de las guías en inglés)
http://www.cloudsecurityalliance.org/guidance/csaguide.v2.1.pdf (Versión 2 de las guías en inglés)
http://www.cloudsecurityalliance.org/guidance/csaguide.v1.0.pdf (Versión 1 de las guías en inglés)

Por su parte, las traducciones al Castellano, llevadas a cabo por la Asociación Española para el Fomento de la
Seguridad de la Información (ISMS Forum) y el Capítulo español de la Cloud Security Alliance (CSA-ES), se
encuentran disponibles en:

https://www.ismsforum.es/noticias/389/el-capitulo-espanol-de-csa-publica-la-traduccion-al-espanol-de-la-csaguide-
v3.0/

http://www.ismsforum.es/ficheros/descargas/csaguide-v2-1-es1353956041.pdf


En esta tercera edición, a diferencia de en la segunda, cada dominio ha tenido un editor asignado, y ha contado con un
equipo de revisores expertos. La estructura y numeración de los dominios concuerda con otros estándares de la
industria y documentos de buenas prácticas. Recomendamos la adopción de estas guías como buenas prácticas para la
gestión estratégica de los servicios soportados en Cloud. Esta documentación y sus fechas de publicación puede
encontrarse en:

http://www.cloudsecurityalliance.org/guidance/


Respecto de la versión 2 del documento, se han actualizado los nombres de algunos dominios, en los dominios 3 (ahora
“Cuestiones Legales: Contratos y eDISCOVERY”) y 5 (ahora “Gestión de la Información y de la Seguridad de los Datos”).
Se añade además un nuevo dominio, el Dominio 14, “Security as a Service”.

© 2011 Cloud Security Alliance.

All rights reserved. You may download, store, display on your computer, view, print, and link to the Cloud Security
Alliance Guidance at http://www.cloudsecurityalliance.org/guidance/csaguide.v3.0.pdf subject to the following: (a) the
Guidance may be used solely for your personal, informational, non-commercial use; (b) the Guidance may not be
modified or altered in any way; (c) the Guidance may not be redistributed; and (d) the trademark, copyright or other
notices may not be removed. You may quote portions of the Guidance as permitted by the Fair Use provisions of the
United States Copyright Act, provided that you attribute the portions to the Cloud Security Alliance Guidance Version 3.0
(2011).



©2011 CLOUD SECURITY ALLIANCE | 1



ÍNDICE

GUÍAS DE SEGURIDAD DE ÁREAS CRÍTICAS EN
CLOUD COMPUTING V3.0

INTRODUCCIÓN .............................................................................................................................................................................1
ÍNDICE .............................................................................................................................................................................................2
PRÓLOGO ........................................................................................................................................................................................3
AGRADECIMIENTOS ......................................................................................................................................................................4
CARTA DE LOS EDITORES DE LA VERSIÓN EN INGLÉS ............................................................................................................7
CARTA DEL CAPÍTULO ESPAÑOL, Y DE LOS EDITORES DE LA TRADUCCIÓN A ESPAÑOL ................................................9
NOTA DE LOS EDITORES SOBRE RIESGOS .............................................................................................................................. 10
SECCIÓN I // ARQUITECTURA CLOUD ............................................................................................................................... 13
DOMINIO 1 // .............................................................................................................................................................................. 14
MARCO DE REFERENCIA DE ARQUITECTURA PARA CLOUD COMPUTING ....................................................................... 14
SECCIÓN II // GOBIERNO EN ENTORNO CLOUD .......................................................................................................... 31
DOMINIO 2 // .............................................................................................................................................................................. 32
GOBIERNO Y GESTIÓN DEL RIESGO CORPORATIVO ............................................................................................................. 32
DOMINIO 3 // .............................................................................................................................................................................. 38
CUESTIONES LEGALES: CONTRATOS Y eDISCOVERY ............................................................................................................ 38
DOMINIO 4 // .............................................................................................................................................................................. 47
CUMPLIMIENTO LEGAL Y GESTIÓN DE AUDITORÍA ............................................................................................................. 47
DOMINIO 5 // .............................................................................................................................................................................. 52
GESTIÓN DE LA INFORMACIÓN Y DE LA SEGURIDAD DE LOS DATOS .............................................................................. 52
DOMINIO 6 // .............................................................................................................................................................................. 66
INTEROPERABILIDAD Y PORTABILIDAD ................................................................................................................................. 66
SECTION III // OPERACIONES EN ENTORNO CLOUD .................................................................................................. 75
DOMINIO 7 // .............................................................................................................................................................................. 76
SEGURIDAD TRADICIONAL, CONTINUIDAD DE NEGOCIO Y RECUPERACIÓN DE DESASTRES ...................................... 76
DOMINIO 8 // .............................................................................................................................................................................. 92
ACTIVIDADES DEL CPD .............................................................................................................................................................. 92
DOMINIO 9 // .............................................................................................................................................................................. 96
RESPUESTA ANTE INCIDENTES ................................................................................................................................................ 96
Dominio 10 // ............................................................................................................................................................................ 107
SEGURIDAD DE APLICACIONES .............................................................................................................................................. 107
DOMINIO 11 //.......................................................................................................................................................................... 134
CIFRADO Y GESTIÓN DE CLAVES............................................................................................................................................ 134
DOMINIO 12 //.......................................................................................................................................................................... 141
IDENTIDAD, ASIGNACIÓN DE DERECHOS, Y GESTIÓN DE ACCESOS ............................................................................... 141
DOMINIO 13 //.......................................................................................................................................................................... 163
VIRTUALIZACIÓN...................................................................................................................................................................... 163
DOMINIO 14 //.......................................................................................................................................................................... 168
SECURITY AS A SERVICE .......................................................................................................................................................... 168
ANEXO A // ................................................................................................................................................................................ 184
GLOSARIO EMPLEADO ................