c2.2 Construir un plan de capacitación en seguridad en la nube
Los mayores retos al migrar a la nube rara vez son técnicos; la capacitación es uno de los más importantes. Dé a cada rol una ruta de aprendizaje clara para que quienes protegen su infraestructura la entiendan.
Guía de implementación
Haga obligatoria la concientización en seguridad para todos
Todo empleado debería completar capacitación recurrente de concientización en seguridad para reconocer cómo operan los adversarios y evitar hábitos inseguros (compartir contraseñas, filtrar información sensible, usar canales inseguros). Amazon publica su propia capacitación de concientización en seguridad de forma gratuita, en varios idiomas y sin marca, para que la aloje en su propio sistema de aprendizaje.
Dé a cada rol una ruta de aprendizaje con plazos
Defina qué debe aprender el personal de nube el primer día, la primera semana, el primer mes y el primer trimestre, y dé seguimiento al progreso. Empiece por habilidades fundamentales de infraestructura en la nube y luego agregue rutas por rol: por ejemplo habilidades ofensivas (pentesting) para el red team y respuesta a incidentes en la nube para el blue team.
Valide habilidades con certificación
Haga que su equipo de seguridad en la nube prepare la certificación AWS Certified Security – Specialty para confirmar un dominio sólido de las capacidades de seguridad de AWS. Revise la guía del examen para entender su estructura.
Recursos gratuitos y con instructor
- AWS Skill Builder: capacitación bajo demanda; los labs prácticos y AWS Jams requieren suscripción.
- Guía de ramp-up de seguridad: aprendizaje curado por tema.
- Cursos con instructor: Architecting on AWS y Security Engineering on AWS.
- Talleres de seguridad prácticos.
Aprenda en eventos de AWS
AWS organiza eventos con contenido profundo de seguridad, incluyendo re:Inforce (enfocado en seguridad) y re:Invent. Las grabaciones están en el canal de YouTube de AWS Events.
Cómo validar
- ¿Existe un plan de capacitación en seguridad en la nube con rutas por rol y plazos?
- ¿Qué porcentaje del personal relevante lo ha completado?
- ¿La capacitación obligatoria de concientización llega a todos los empleados, no solo al equipo de seguridad?
Amenazas que atiende
- Los equipos que no entienden la infraestructura que protegen la configuran mal y pasan por alto ataques; los empleados sin capacitación son una vía de entrada común para la ingeniería social.