“«Adoptar un enfoque de riesgo-beneficio en materia de seguridad exige un cambio significativo en nuestra forma de concebir los activos digitales. Sin embargo, es un cambio necesario dada la rápida evolución de las amenazas digitales y la incapacidad de los modelos de seguridad actuales para mitigarlas». ”
El valor es subjetivo. Si al entrar en mi casa ves una ficha sobre una mesa, puede que la consideres un trozo de papel insignificante y de escaso valor, pero como contiene la receta de mostaza dulce picante de mi difunta abuela, para mí no tiene precio. La misma ficha, dos interpretaciones completamente distintas de su valor. Todos los activos digitales son como esta ficha. Su valor es subjetivo para cada empresa, pero la cuestión clave es que tienen valor. Los activos digitales que tienen valor —y, de nuevo, entiéndase que me refiero a todos ellos— deben protegerse.
Aunque una política de tolerancia cero frente al riesgo ha sido a menudo el enfoque de seguridad adoptado por las empresas, las empresas digitales maduras reconocen que es mejor adoptar un enfoque de seguridad basado en el equilibrio entre riesgo y beneficio. En las tiendas físicas, este enfoque basado en el equilibrio entre riesgo y beneficio se aprecia fácilmente en la forma en que organizan y protegen los productos que venden. Los artículos de poco valor (ah, otra vez esa palabra) están al alcance de los clientes, mientras que los de gran valor se colocan en vitrinas cerradas con llave. La facilidad de acceso mejora la experiencia del cliente y aumenta la probabilidad de compra, pero al mismo tiempo facilita el robo y las posibles pérdidas. Sin embargo, aunque es fácil asignar un valor a los productos físicos y a los activos digitales con equivalentes monetarios, valorar los activos digitales intangibles plantea un reto mayor.
El tratamiento actual de los «activos digitales intangibles»
La protección de los activos digitales intangibles de una empresa —su código propietario, sus datos operativos y de clientes (telemetría), sus modelos de aprendizaje automático (ML), etc.— es tan importante como proteger sus sistemas, su sitio de comercio electrónico y las transacciones de sus clientes. Una vulneración de estos activos intangibles equivale a mancillar el honor de un caballero en la época medieval. Aunque el honor no tenía el mismo valor tangible que el oro y las gemas, los caballeros lo protegían con su vida, pues les permitía competir en torneos, acudir a la corte y ganarse el favor de las damas de la nobleza.
Una vulneración de los activos digitales de una empresa daña la reputación de la marca y expone a la compañía a la pérdida de oportunidades de desarrollo o de nuevas fuentes de ingresos. Tomemos como ejemplo a la cadena minorista estadounidense Kroger, que genera valor derivado a partir de los datos de sus clientes para abrir nuevas vías de ingresos con otras empresas. Si los actores maliciosos pudieran acceder fácilmente a este activo digital, Kroger no podría monetizar la información resultante sobre los hábitos de compra y las motivaciones de sus clientes que obtiene de dichos datos. Sin embargo, un cortafuegos de amplio alcance no basta necesariamente para considerar que el activo digital está protegido.
Protección de los activos digitales en las arquitecturas empresariales modernas
Los métodos de protección que emplean las empresas para proteger sus activos digitales nos remiten al análisis anterior sobre el valor. Siguiendo con el ejemplo de Kroger, la información que obtiene tiene claramente un gran valor, ya que está directamente relacionada con una fuente de ingresos. Puede que los datos, como activo digital de apoyo, no estén encerrados tras una puerta custodiada por un caballero dentro de un castillo con foso y puente levadizo, pero tampoco es deseable que personas ajenas puedan acceder a ellos para robarlos o alterarlos. Esto significa que es necesario determinar qué valor tienen y protegerlos en consecuencia, lo que nos lleva de nuevo a adoptar un enfoque de seguridad basado en el equilibrio entre riesgos y beneficios, algo que permiten las arquitecturas empresariales modernas.
Las arquitecturas empresariales modernas adoptan un enfoque de seguridad que proporciona un marco de protección. Se utilizan herramientas de aplicación deterministas, como la autenticación y el control de acceso, junto con capas de conocimiento de la situación y políticas de corrección que tienen en cuenta los riesgos.
Para saber cómo tomar decisiones deliberadas y fundamentadas en el riesgo para la seguridad de las aplicaciones modernas y crear un marco de protección de los activos digitales, lea «Moving Beyond Fight or Flight», un capítulo del ingeniero distinguido Ken Arora incluido en nuestro libro de O’Reilly, Enterprise Architecture for Digital Business.
Artículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.