Copias de seguridad multitenant: cómo evitar que un incidente afecte a varios clientes
Seguridad y Copias de Seguridad en la Nube
Una plataforma compartida de copias de seguridad puede mejorar la eficiencia de los MSP. Sin embargo, sin un aislamiento eficaz, una cuenta o un componente comprometido puede poner en riesgo a múltiples organizaciones.
Cuando el problema de un cliente se convierte en un riesgo para todos
Imagine un MSP que gestiona las copias de seguridad de 80 empresas. Cada cliente tiene sus propios servidores, archivos y políticas de retención, pero todos utilizan una plataforma de administración centralizada.
Un atacante compromete una cuenta administrativa. Si esa identidad puede acceder a todos los entornos, un incidente aislado podría convertirse en una amenaza para decenas de organizaciones.
Por eso es fundamental la seguridad multitenant. No basta con organizar a los clientes en diferentes pantallas: hacen falta límites técnicos verificables entre datos, credenciales, permisos y operaciones.
¿Qué significa realmente un entorno multitenant seguro?
La arquitectura multitenant permite que varias organizaciones independientes compartan infraestructura manteniendo una separación lógica o física entre sus recursos. Este modelo puede mejorar la eficiencia y reducir costes, pero exige mecanismos fiables de autorización y aislamiento.
El National Cyber Security Centre (NCSC) británico establece la separación entre clientes como uno de los principios fundamentales de la seguridad en la nube: un cliente malicioso o comprometido no debería poder acceder ni afectar a los datos o servicios de otro cliente.
Para los proveedores de copias de seguridad, este principio se extiende al almacenamiento, usuarios, agentes, API, bases de datos, claves criptográficas y procesos de restauración.
Cinco niveles esenciales de aislamiento
- Identidad y autenticación: cuentas individuales, autenticación multifactor y acceso privilegiado estrictamente controlado.
- Autorización por cliente: comprobación de permisos para consultar, restaurar, eliminar copias y modificar políticas en cada operación.
- Almacenamiento: separación verificable de repositorios, identificadores y permisos, incluso sobre infraestructura compartida.
- Credenciales y claves: segregación de secretos para limitar el impacto del compromiso de una credencial.
- Operación y auditoría: registros que identifiquen al usuario, el cliente afectado, la autorización y la acción realizada.
Estos controles también deben aplicarse a las API y procesos automatizados. Una interfaz que muestra clientes separados no demuestra, por sí sola, que el backend impida el acceso entre tenants.
El peligro de las credenciales compartidas
Los privilegios excesivos y la reutilización de contraseñas administrativas representan riesgos especialmente importantes en los servicios gestionados.
Las orientaciones conjuntas publicadas por organismos de ciberseguridad, incluida la CISA, recomiendan que los MSP no reutilicen credenciales administrativas entre clientes y que apliquen autenticación multifactor y el principio de mínimo privilegio.
En Microsoft 365, por ejemplo, los Granular Delegated Admin Privileges (GDAP) permiten configurar la administración delegada con permisos específicos y duración limitada. Principios similares pueden aplicarse en otras plataformas mediante funciones restringidas, credenciales individuales y privilegios temporales.
El objetivo es reducir al mínimo los recursos expuestos cuando una cuenta resulta comprometida.
Aislar las copias también implica proteger la recuperación
Aunque los archivos de copia estén correctamente separados, la recuperación puede depender de componentes compartidos: portales administrativos, catálogos, colas de tareas, servicios de identidad e infraestructura del plano de control.
Un ataque contra estos componentes podría impedir la restauración de varios clientes sin necesidad de destruir directamente los datos almacenados.
Por ello, los MSP y MSSP deben evaluar la resiliencia del plano de control, el acceso administrativo de emergencia, la protección de los repositorios y los procedimientos alternativos para recuperar servicios cuando falla la plataforma central.
También conviene disponer de copias aisladas, protección frente a eliminaciones no autorizadas y ejercicios periódicos de recuperación. Funciones como la inmutabilidad o el bloqueo de retención deben verificarse en el servicio contratado, sin darlas por supuestas.
Cómo comprobar que el aislamiento funciona
La seguridad necesita pruebas. El proveedor debe realizar ensayos controlados en entornos expresamente autorizados.
- Comprobar que un operador de un cliente no puede consultar datos de otro.
- Verificar que las API rechazan identificadores de tenants no autorizados.
- Confirmar que los tokens caducados o revocados no permiten nuevas operaciones.
- Probar permisos independientes para crear, restaurar y eliminar copias.
- Simular el compromiso de un agente o credencial para evaluar el alcance potencial.
- Ejecutar restauraciones aisladas y documentar integridad, duración y funcionamiento de las aplicaciones.
Los ensayos deben utilizar datos sintéticos o entornos autorizados, sin comprometer información real de los clientes.
Lista de comprobación para MSP y MSSP
- ¿Existen límites de autorización efectivos y verificados entre clientes?
- ¿Las cuentas administrativas son individuales y utilizan MFA?
- ¿Las cuentas de servicio tienen únicamente los permisos necesarios?
- ¿Es posible gestionar las políticas de retención y restauración por cliente?
- ¿Los repositorios están protegidos frente a eliminaciones indebidas y accesos no autorizados?
- ¿Las actividades privilegiadas quedan registradas para su auditoría?
- ¿Puede recuperarse un cliente si fallan los componentes de administración compartidos?
- ¿Existen evidencias documentadas de pruebas de aislamiento y restauración?
Las respuestas negativas o desconocidas deben convertirse en acciones de mejora priorizadas según el riesgo y los requisitos de cada organización.
El papel de SafetyOnCloud
Las copias de seguridad en la nube forman parte de una estrategia de resiliencia más amplia, que incluye seguridad, gobernanza y recuperación operativa.
SafetyOnCloud se centra en la protección de datos y la planificación de la recuperación. Los MSP y MSSP que evalúan una solución deben confirmar qué funciones de aislamiento, control de acceso, protección del almacenamiento y restauración están realmente disponibles en el servicio contratado.
La seguridad multitenant no es únicamente una característica comercial. Es un conjunto de controles técnicos que deben diseñarse, implantarse, probarse y verificarse continuamente.
¿Están realmente aislados sus clientes?
Una estrategia de copias de seguridad resiliente debe limitar el impacto de los incidentes y permitir la recuperación fiable de cada organización.
Hable con SafetyOnCloud para evaluar las necesidades de protección de datos, retención y recuperación de sus entornos gestionados.