HIPAA: Protegiendo la Privacidad y Seguridad de la información médica con AWS

/en , , , /por

La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA, por sus siglas en inglés) es una legislación fundamental en el ámbito de la salud en Estados Unidos. Promulgada en 1996, HIPAA establece estándares nacionales para proteger la información médica sensible de los pacientes. Esta ley no solo garantiza la confidencialidad de los datos de salud, sino que también proporciona a los pacientes un mayor control sobre su información médica personal. En un mundo cada vez más digitalizado, HIPAA juega un papel crucial en el equilibrio entre la eficiencia en la atención médica y la protección de la privacidad del paciente.

A continuación, exploraremos en detalle los aspectos más importantes de HIPAA, incluyendo sus principales reglas, quiénes deben cumplirla y cómo implementar sus requisitos de manera efectiva.

Cómo Configurar un Entorno HIPAA Compliant en AWS: Guía Paso a Paso

La configuración de un entorno HIPAA compliant en Amazon Web Services (AWS) requiere una planificación cuidadosa y una implementación meticulosa de diversas medidas de seguridad. Esta guía detallada te llevará a través de los pasos necesarios para crear una infraestructura en la nube que cumpla con los requisitos de HIPAA, protegiendo así la información de salud protegida (PHI) de tus pacientes o clientes.

Paso 1: Configuración de una Red Virtual Privada (VPC) Segura

La base de tu infraestructura HIPAA compliant será una VPC bien configurada:

  • Crea una nueva VPC en la región de AWS de tu elección.
  • Configura al menos dos subredes: una pública para recursos que necesitan acceso a internet y una privada para recursos que contienen PHI.
  • Implementa un Internet Gateway para la subred pública.
  • Configura una instancia NAT Gateway o una instancia NAT para permitir que los recursos en la subred privada accedan a internet de forma segura.
  • Configura las tablas de enrutamiento para dirigir el tráfico adecuadamente entre las subredes.

Paso 2: Implementación de Controles de Acceso Robustos

Utiliza AWS Identity and Access Management (IAM) para establecer un control de acceso granular:

  • Crea grupos de IAM para diferentes roles (por ejemplo, administradores, desarrolladores, auditores).
  • Asigna políticas de permisos a estos grupos siguiendo el principio de mínimo privilegio.
  • Crea usuarios individuales y asígnalos a los grupos apropiados.
  • Habilita la autenticación multifactor (MFA) para todos los usuarios, especialmente para cuentas con acceso a PHI.
  • Implementa una política de contraseñas fuerte, requiriendo longitud mínima, complejidad y rotación periódica.

Paso 3: Encriptación de Datos Sensibles

La encriptación es un requisito fundamental de HIPAA:

  • Utiliza AWS Key Management Service (KMS) para gestionar tus claves de encriptación.
  • Configura la encriptación en reposo para todos los servicios que almacenan PHI, como Amazon S3, Amazon RDS y Amazon EBS.
  • Implementa encriptación en tránsito utilizando TLS para todas las comunicaciones que involucren PHI.
  • Para Amazon S3, habilita el cifrado del lado del servidor (SSE) con claves gestionadas por AWS (SSE-S3) o con claves gestionadas por el cliente a través de KMS (SSE-KMS).

Paso 4: Configuración de Logs y Auditoría

Implementa un sistema robusto de logging y auditoría:

  • Habilita AWS CloudTrail para registrar todas las acciones realizadas en tu cuenta de AWS.
  • Configura Amazon CloudWatch Logs para recopilar y almacenar logs de tus aplicaciones y servicios.
  • Utiliza Amazon Athena o Amazon CloudWatch Logs Insights para analizar tus logs en busca de actividades sospechosas.
  • Implementa alertas en CloudWatch para notificar sobre eventos de seguridad críticos.

Paso 5: Implementación de Backup y Recuperación de Desastres

Asegura la continuidad del negocio y la protección de datos:

  • Configura AWS Backup para realizar copias de seguridad regulares de tus datos críticos y PHI.
  • Implementa una estrategia de retención de backups que cumpla con los requisitos de HIPAA (mínimo 6 años).
  • Prueba regularmente tus procedimientos de restauración para garantizar la integridad de los backups.
  • Considera la implementación de una arquitectura multi-región para alta disponibilidad y recuperación de desastres.

Paso 6: Seguridad de Red Avanzada

Refuerza la seguridad de tu red:

  • Implementa AWS Web Application Firewall (WAF) para proteger tus aplicaciones web contra ataques comunes.
  • Utiliza AWS Shield para protección contra ataques DDoS.
  • Configura grupos de seguridad y listas de control de acceso a la red (NACLs) para controlar el tráfico entre subredes y desde/hacia internet.
  • Considera el uso de AWS Network Firewall para un control aún más granular del tráfico de red.

Paso 7: Monitoreo Continuo y Gestión de Vulnerabilidades

Mantén tu entorno seguro a lo largo del tiempo:

  • Implementa Amazon GuardDuty para la detección continua de amenazas.
  • Utiliza AWS Security Hub para obtener una visión centralizada de tu postura de seguridad.
  • Realiza escaneos regulares de vulnerabilidades utilizando Amazon Inspector o herramientas de terceros.
  • Mantén todos los sistemas y software actualizados con los últimos parches de seguridad.

Paso 8: Formación y Concienciación

La seguridad es responsabilidad de todos:

  • Proporciona formación regular sobre seguridad y cumplimiento de HIPAA a todo el personal que tenga acceso a sistemas con PHI.
  • Desarrolla y mantén políticas y procedimientos claros para el manejo de PHI en el entorno de AWS.
  • Realiza simulacros de respuesta a incidentes para asegurar que tu equipo esté preparado para manejar posibles brechas de seguridad.

Conclusiones y Recursos Adicionales

Configurar un entorno HIPAA compliant en AWS es un proceso continuo que requiere atención constante y mejoras. Recuerda que el cumplimiento de HIPAA no es solo una cuestión técnica, sino también organizativa. Mantén una comunicación abierta con tu equipo legal y de cumplimiento para asegurar que todas las medidas implementadas satisfacen los requisitos regulatorios.

Para mantenerte actualizado y profundizar en aspectos específicos, te recomendamos consultar regularmente la documentación oficial de AWS sobre HIPAA y asistir a webinars y eventos de AWS centrados en seguridad y cumplimiento en el sector salud.

Recuerda, la configuración de un entorno HIPAA compliant es solo el primer paso. El mantenimiento continuo, la auditoría regular y la adaptación a nuevas amenazas y requisitos regulatorios son esenciales para garantizar el cumplimiento a largo plazo y la protección efectiva de la información de salud de tus pacientes o clientes.

SecurityInside Live: CISO Day 2020

/en , , , , , , , , , , , , , , , , , , , , /por

Todos sabemos la importancia del flujo de información dentro de una industria tan cambiante y retadora como la de la ciberseguridad. Si eres CISO, CIO, responsable de ciberseguridad, experto en la materia, investigador o hacker… serás bienvenido a CISO Day 2020, un evento centrado en el responsable de la ciberseguridad corporativa.

Si recuerdas, ya hemos hablado en este blog otras veces de la importancia del CISO, en este evento se profundiza en su importancia desde varios puntos de vista.

CISO DAY 2020 basa su agenda en 6 niveles fundamentales de la ciberseguridad: Estratégico (CISO), Analítico (Ciberinteligencia), Institucional (INCIBE), Innovador (CyberStartup), Security (Proveedores) y Técnico (Hacking).

En este enlace tienes toda la información que necesitas sobre la agenda y en este sobre los ponentes que van a dar las charlas.

Y no olvides que, si no puedes ir y lo quieres ver, tienes acceso al streaming. Si no lo ves es porque no quieres 😀

Leer más

SecurityInside Live: VIII Foro de la Ciberseguridad del Cyber Security Center (ISMS Forum)

/en , , , , , /por

Hoy se celebra la VIII edición del Foro de la Ciberseguridad del Cyber Security Center que organiza el ISMS Forum Spain. Para el que no lo conozca, decir que es una red abierta de conocimiento que conecta empresas, organismos públicos y privados, investigadores y profesionales comprometidos con el desarrollo de la Seguridad de la Información en España. Ya son más de 150 empresas y más de 850 profesionales asociados.

Leer más

35 enlaces básicos para ser un experto en Azure Security Services

/en , , , , , , /por

Entre las labores diarias de mi rol en Accenture Security, tengo que proponer y utilizar todo tipo de servicios de seguridad nativos de las diferentes nubes con las que trabajo (os recuerdo que pertenezco al equipo Cloud Security). De hecho, esta semana he tenido que trabajar en un proyecto que requería el uso de los Azure Security Services, lo que me ha movido a preparar esta entrada.

Con la rapidez a la que AWS, Azure y GCP crecen en servicios generales y de seguridad, es complicado mantenerse actualizado. Sin embargo, en mi caso, es parte de mis obligaciones estar al tanto de las soluciones para poder ofrecer las mejores opciones a los proyectos en los que participo.

Por eso, me gustaría crear tres entradas para las tres nubes principales en las que tener a mano esta información tan interesante. Así que, sin demora, arrancamos con Azure:

Seguridad general de Azure

Servicio DESCRIPCIÓN
Azure Security Center Solución de protección que proporciona administración de la seguridad y protección avanzada contra amenazas para cargas de trabajo en la nube híbrida.
Azure Key Vault Almacén de secretos seguro para las contraseñas, las cadenas de conexión y otra información que necesita para mantener sus aplicaciones en funcionamiento.
Registros de Azure Monitor Servicio de supervisión que recopila datos de telemetría y otros datos, y proporciona un motor de lenguaje de consultas y análisis para proporcionar información detallada sobre sus aplicaciones y recursos. Puede utilizarse solo o con otros servicios como Security Center.
Documentación de Azure Dev/Test Lab Servicio que ayuda a los desarrolladores y evaluadores a crear rápidamente entornos de Azure al tiempo que se optimizan los recursos y se controlan los costos.

Seguridad para almacenamiento

Servicio DESCRIPCIÓN
Azure Storage Service Encryption Característica de seguridad que permite cifrar automáticamente los datos en Azure Storage.
Documentación de StorSimple Solución de almacenamiento integrada que administra las tareas de almacenamiento entre los dispositivos locales y el almacenamiento en la nube de Azure.
Cifrado del lado de cliente y Almacén de claves de Azure para el Almacenamiento de Microsoft Azure Solución de cifrado en lado de cliente que cifra los datos en aplicaciones de cliente antes de cargarlos en Azure Storage. También descifra los datos mientras se descargan.
Firmas de acceso compartido, Parte 1: Descripción del modelo SAS Una firma de acceso compartido ofrece acceso delegado a recursos en la cuenta de almacenamiento.
Acerca de las cuentas de Azure Storage Método de control de acceso para Azure Storage que se utiliza para la autenticación cuando se accede a la cuenta de almacenamiento.
Introducción a Almacenamiento de archivos de Azure en Windows Tecnología de seguridad de red que habilita el cifrado de red automático para el protocolo de uso compartido de archivos Bloque de mensajes del servidor (SMB).
Análisis de Azure Storage Tecnología de generación y registro de métricas para los datos de la cuenta de almacenamiento.

Seguridad de bases de datos

Servicio DESCRIPCIÓN
Azure SQL Firewall Característica de control de acceso de red que protege frente a ataques basados en red a una base de datos.
Cifrado de nivel de celda de Azure SQL Tecnología de seguridad de base de datos que proporciona cifrado en un nivel más pormenorizado.
Cifrado de conexión de Azure SQL Para proporcionar seguridad, SQL Database controla el acceso con reglas de firewall que limitan la conectividad por dirección IP, con mecanismos de autenticación que requieren a los usuarios que demuestren su identidad y con mecanismos de autorización que limitan a los usuarios el acceso a datos y acciones específicos.
Always Encrypted (Database Engine) Protege la información confidencial, como números de tarjetas de crédito o números de identificación nacionales (por ejemplo, números de la seguridad social de EE. UU.), almacenados en bases de datos de Azure SQL Database o SQL Server.
Cifrado de datos transparente de Azure SQL Característica de seguridad de base de datos que cifra el almacenamiento de una base de datos completa.
Auditoría de Azure SQL Database Característica de auditoría de bases de datos que realiza un seguimiento de eventos de bases de datos y los escribe en un registro de auditoría de su cuenta de Azure Storage.

Administración de identidades y acceso

Servicio DESCRIPCIÓN
Control de acceso basado en rol de Azure Característica de control de acceso diseñada para que los usuarios accedan únicamente a los recursos necesarios en función de sus roles dentro de la organización.
Azure Active Directory Repositorio de autenticación basado en la nube que admite un directorio en la nube de varios inquilinos y varios servicios de administración de identidades en Azure.
Azure Active Directory B2C Servicio de administración de identidades que permite controlar la manera en que los clientes se registran, inician sesión y administran sus perfiles al usar las aplicaciones de Azure.
Azure Active Directory Domain Services Una versión en la nube y administrada de Active Directory Domain Services.
Azure Multi-Factor Authentication Aprovisionamiento de seguridad que utiliza diferentes formas de autenticación y comprobación antes de permitir el acceso a información protegida.

Copia de seguridad y recuperación ante desastres

Servicio DESCRIPCIÓN
Azure Backup Servicio de Azure que se usa para realizar copias de seguridad y restaurar los datos en la nube de Azure.
Azure Site Recovery Servicio en línea que replica las cargas de trabajo que se ejecutan en máquinas físicas y virtuales desde un sitio principal a una ubicación secundaria para poder recuperar los servicios después de un error.

Redes

Servicio DESCRIPCIÓN
Grupos de seguridad de red Característica de control de acceso basado en la red que utiliza una tupla de 5 elementos para permitir o denegar las decisiones.
Acerca de VPN Gateway Dispositivo de red que se usa como un punto de conexión VPN para permitir el acceso entre entornos locales a las redes virtuales de Azure.
Introducción a Puerta de enlace de aplicaciones Equilibrador de carga de aplicación web avanzado que puede enrutar en función de la dirección URL y realizar descargas SSL.
Firewall de aplicaciones web (WAF) Una característica de Application Gateway que ofrece una protección centralizada de las aplicaciones web contra las vulnerabilidades de seguridad más habituales.
Equilibrador de carga de Azure Equilibrador de carga de red para aplicaciones TCP/UDP.
Información técnica de ExpressRoute Vínculo WAN dedicado entre las redes locales y las redes virtuales de Azure.
Azure Traffic Manager Equilibrador de carga de DNS global.
Habilitación del proxy de la aplicación de Azure AD Servidor front-end de autenticación usado para proteger el acceso remoto a las aplicaciones web hospedadas en los entornos locales.
Azure Firewall Se trata de un servicio de seguridad de red administrado y basado en la nube que protege los recursos de Azure Virtual Network.
Azure DDoS Protection Junto con los procedimientos recomendados de diseño de aplicaciones, constituyen una defensa frente a los ataques DDoS.
Puntos de conexión de servicio de red virtual Estos extienden el espacio de direcciones privadas de la red virtual y la identidad de la red virtual a los servicios de Azure mediante una conexión directa.

Fuente: https://docs.microsoft.com/es-es/azure/security/azure-security-services-technologies

SecurityInside Live: OpenExpo Europe 2019

/en , , , , , , , , , , , , /por

OpenExpo Europe es el mayor Congreso y Feria Profesional sobre Innovación Tecnológica Empresarial en Europa.

Reune en Madrid a más de 3.500 personalidades del sector, profesionales de todas las industrias, comunidades, principales empresas nacionales e internacionales, decision makers, asociaciones, fundaciones e instituciones, perfiles técnicos, expertos y usuarios de todos los niveles para informarse sobre las últimas tendencias, servicios y herramientas, aumentar la red de contactos, oportunidades de empleo, generar leads y negocios y, conocer de ante mano, todos los beneficios de las tecnologías de innovación abierta.

OpenExpo Europe sigue evolucionando año tras año ofreciendo a las empresas la información más actualizada sobre la transformación empresarial, las tendencias dentro del sector de IT y las últimas innovaciones.

Un día entero de conferencias, casos de éxito empresarial, keynote speakers, talleres prácticos, mesas redondas, demos y muchas otras actividades.

Y, en esta ocasión, además me tienes a mí dando la charla «Open Source Security on AWS»

En este enlace tienes toda la información que necesitas sobre la agenda y en este sobre los ponentes que van a dar las charlas.

En esta ocasión no hay acceso por streaming ni tampoco se graban las sesiones. Voy a intentar grabarla por mi cuenta para que la tengáis y os la compartiré en el blog.

Leer más