Definición: Cloud HSM es un módulo de seguridad de hardware (HSM) alojado en la nube que permite al usuario alojar claves de cifrado y realizar operaciones criptográficas con las ventajas de un despliegue de servicios en la nube, al tiempo que aprovecha las ventajas del despliegue de servicios en la nube y elimina la necesidad de alojar y mantener dispositivos locales.
Explicación del HSM en la nube
Losmódulos de seguridad de hardware en la nube (HSM) pueden ser alojados o como servicio desde la nube:
- Los HSM alojados son HSM físicamente independientes propiedad de un cliente y operados por un proveedor o vendedor de servicios en la nube, como Utimaco. Esta solución ofrece un alto nivel de protección física contra el acceso físico no autorizado y cumple idealmente con FIPS 140-2, nivel 3. Sin embargo, la escalabilidad está limitada a la capacidad del HSM alojado. Para ampliarla, es necesario desplegar más dispositivos físicos.
- Solución como servicio que proporciona HSM compartidos total o parcialmente gestionados. Las funciones de gestión, como la gestión de claves, pueden formar parte de la solución de servicio o puede realizarlas el cliente in situ o en otra nube.
- Solución como servicio que proporciona a los inquilinos HSM en contenedores, protegidos por FIPS 140-2 Level 3 por inquilino. Estos contenedores proporcionan políticas y firmware individuales por inquilino y ofrecen las ventajas de escalabilidad de la nube. Están fuera de la infraestructura del proveedor de servicios en nube (CSP) y preservan el control total del cliente sobre sus requisitos de cifrado.
Los servicios pueden prestarse como estrategias multi-nube o de nube híbrida. El HSM en la nube puede estar situado dentro de la infraestructura de los servicios en la nube protegidos o en una ubicación externa. Esta última opción ofrece la ventaja de que el servicio de HSM puede utilizarse en toda la nube híbrida, incluidas numerosas nubes de terceros, así como los centros de datos locales de los clientes.
Los HSM en la nube permiten a las organizaciones:
- Integrar los requisitos de seguridad criptográfica en alineación con los requisitos y la estrategia de nube de una organización,
- Permitir una solución rentable y simplificada para los requisitos de seguridad críticos para el negocio,
- Pasar de un modelo financiero CapEx a uno OpEx,
- Cumplir los mandatos de cumplimiento y seguridad de alta garantía FIPS 140-2, PCI y Common Criteria EAL4+,
- Permitir a los miembros cualificados del personal centrarse en otras áreas de importancia.
La transición a la nube debe realizarse en el contexto de los requisitos y normativas específicos del sector, así como garantizando que el HSM cumple las principales normativas de los sectores sensibles a la seguridad. La adaptación a un entorno de servicios en la nube ofrece numerosas ventajas, desde el uso compartido de recursos hasta el suministro de datos y la fácil orquestación de servicios.
Nota importante
Aparte del enfoque HSM desplegado localmente (on-premise), numerosos proveedores de servicios en nube y fabricantes de dispositivos HSM ofrecen módulos de seguridad de hardware "como servicio" o servicios gestionados.
Sin embargo, es importante tener en cuenta que el uso de estos servicios gestionados o en la nube proporciona dispositivos HSM de uso general que pueden ser beneficiosos para la integración con entornos PCI DSS, pero no son adecuados para su uso en entornos PCI PIN, PCI P2PE o PCI 3DS.
MYHSM de Utimaco proporciona HSM basado en la nube totalmente gestionado (HSM-as-a-Service) en un entorno de grado bancario que cumple con PCI PIN.
