Traceability for adaptive information security in the cloud

One of the key challenges in cloud computing is the security of the consumer data stored and processed by cloud machines. When the usage context of a cloud application changes, or when the context is unknown, there is a risk that security policies are violated. To minimize this risk, cloud applications need to be engineered to adapt their security policies to maintain satisfaction of security requirements despite changes in their usage context. We call such adaptation capability Adaptive Information Security. The paper argues that one of the prerequisites to adaptive information security is the use of traceability as a means to understanding the relationship between security requirements and security policies. Using an example, we motivate the need for improving traceability in the development of cloud applications

Implementación de un modelo de seguridad para mitigación de vulnerabilidades en ambientes de almacenamiento en la nube con base en las normas ISO 27017 y 27018.

La presente investigación se plantea la implementación de un modelo de seguridad para mitigación de vulnerabilidades en ambientes de almacenamiento en la nube con base en las normas ISO 27017 y 27018, en el cual se analizó instituciones internacionales enmarcadas en la seguridad de la información que realizaron aportes importantes en exponer las vulnerabilidades más conocidas en la actualidad. Se analizó los controles expuestos en las normas ISO 27017 (Controles de Seguridad para Servicios Cloud) y 27018 (Requisitos para la protección de la información de identificación personal (PII) en sistemas Cloud). Con lo antes señalado se elaboró un modelo de seguridad basado en tres objetivos generales como: Seguridad del Entorno, Conocer & Limite de Acceso, Detección y Respuesta. El modelo de seguridad contempla una estructura como: información general del control, definición del control, guía de implementación; el mismo que se lo implementó en un prototipo de almacenamiento en la nube previamente seleccionado entre otros de su tipo. Se evaluó en dos escenarios, el primero con el prototipo que tiene implementado el modelo de seguridad y el segundo prototipo que no lo considera donde se estableció y ponderó los riesgos a presentarse enfocados a la confidencialidad, integridad, y disponibilidad de la información, estableciéndose los riesgos más críticos. Del estudio realizado se estableció un modelo con estrategias de seguridad desde la perspectiva de la construcción, operación y respuesta a incidentes de seguridad para aliviar los problemas comunes de almacenamiento en la nube; adicionalmente se redujo sustancialmente el promedio de ponderación de la probabilidad que los riesgos ocurran en un 75% frente a la situación que no la considere.This research proposes the implementation of a security model to mitigate vulnerabilities in the cloud storage environments, based on the ISO 27017 and 27018 standards. International institutions framed in information security that made essential contributions in exposing the most known vulnerabilities today were analyzed. The controls presented in the ISO 27017 (Security Controls for Cloud Services) and 27018 (Requirements for the protection of personally identifiable information (PII) in Cloud systems) were analyzed. With those as mentioned above, a security model was developed based on three general objectives, such as Environment Security, Know & Access Limit, Detection, and Response. The security model includes a structure being general control information, control definition, implementation guide, the same that was implemented in a prototype of cloud storage previously selected among others of its kind. It was evaluated in two scenarios, the first one with the prototype having the security model implemented, and the second one not considering it where the risks to be presented were established and weighed focused on the confidentiality, integrity, and availability of the information, determining the most critical threats. From the study carried out, a model was established with security strategies from the perspective of construction, operation, and response to security incidents to alleviate common cloud storage problems. Also, the average weighting of the probability that the risks occur was substantially reduced by 75% compared to the situation that does not consider it