Modelo de ciberseguridad aplicado a la infraestructura como servicio IaaS usada en la nube híbrida para pymes, con base en gestión de riesgos

Abstract

El presente trabajo de grado está orientado al diseño de un modelo de ciberseguridad aplicado a la infraestructura como servicio (IaaS) en entornos de nube híbrida para pymes, basado en la gestión de riesgos y buenas prácticas internacionales, dado el crecimiento en la adopción de servicios en la nube por parte de las pymes, se han generado nuevos desafíos en materia de seguridad, debido a limitaciones presupuestarias, conocimiento y falta de procesos estructurados para la protección de sus infraestructuras. El objetivo principal de este trabajo es proporcionar un modelo que permita reducir la exposición a riesgos en entornos híbridos, asegurando la confidencialidad, integridad y disponibilidad de los activos digitales. El modelo propuesto se fundamenta en estándares reconocidos como ISO/IEC 27001, NIST SP 800-53 y el marco de seguridad de la Cloud Security Alliance (CSA), abordando aspectos clave como la gestión de accesos, la protección de datos y la respuesta a incidentes. El trabajo se desarrolla en varias fases dadas por la caracterización de los servicios IaaS utilizados por pymes, el análisis de estándares de seguridad aplicables, la clasificación de los principales riesgos en la nube híbrida y la evaluación del modelo en un caso de estudio real. La validación del modelo permitió evidenciar su efectividad en la identificación de controles para ayudar a la mitigación de riesgos y su adaptabilidad a diferentes tipos de pymes, se identificaron amenazas críticas como accesos no autorizados, vulnerabilidades en la infraestructura, fuga de datos y ataques de denegación de servicio (DDoS), y se proporcionan lineamientos específicos para su mitigación. La principal contribución de este trabajo radica en la creación de un modelo práctico y escalable, que proporciona una guía integral para la protección de infraestructuras IaaS, diseñado específicamente para el contexto de las pymes que operan en la nube híbrida, el cual les permitirá evaluar y fortalecer su seguridad mediante un enfoque estructurado de gestión de riesgos, asegurando el cumplimiento de estándares internacionales y reduciendo su vulnerabilidad ante amenazas cibernéticas.

This thesis is focused on designing a cybersecurity model applied to Infrastructure as a Service (IaaS) in hybrid cloud environments for small and medium-sized enterprises (SMEs), based on risk management and international best practices. Given the increasing adoption of cloud services by SMEs, new security challenges have emerged due to budget constraints, lack of knowledge, and the absence of structured processes for protecting their infrastructures. The main objective of this study is to provide a model that reduces risk exposure in hybrid environments while ensuring the confidentiality, integrity, and availability of digital assets. The proposed model is based on recognized standards such as ISO/IEC 27001, NIST SP 800-53, and the Cloud Security Alliance (CSA) security framework, addressing key aspects such as access management, data protection, and incident response. The research is structured into several phases, including the characterization of IaaS services used by SMEs, the analysis of applicable security standards, the classification of major risks in hybrid cloud environments, and the evaluation of the model through a real-world case study. The validation of the model demonstrated its effectiveness in identifying controls to help mitigate risks and its adaptability to different types of SMEs. Critical threats such as unauthorized access, infrastructure vulnerabilities, data breaches, and denial-of-service (DDoS) attacks were identified, and specific guidelines for their mitigation were provided. The main contribution of this study lies in the creation of a practical and scalable model that offers a comprehensive guide for protecting IaaS infrastructures. It is specifically designed for SMEs operating in hybrid cloud environments, enabling them to assess and strengthen their security through a structured risk management approach, ensuring compliance with international standards, and reducing their vulnerability to cyber threats.