La proliferación descontrolada de API consiste en el crecimiento y la expansión sin control de las API dentro de una organización, como consecuencia tanto del aumento exponencial del número de API en las arquitecturas de TI modernas como de su uso en entornos digitales distribuidos por todo el mundo. En conjunto, esta explosión de API plantea un reto cada vez mayor: a medida que las organizaciones crean e implementan más API, a menudo sin una estrategia unificada ni una supervisión centralizada, resulta cada vez más difícil gestionarlas de forma eficaz. Para abordar los importantes retos operativos y de seguridad que esta proliferación descontrolada de API plantea a organizaciones como la suya, se necesitan un proceso de gobernanza de API y herramientas adecuadas.
¿Por qué se ha convertido la proliferación descontrolada de API en un problema? La adopción generalizada de arquitecturas de aplicaciones modernas basadas en microservicios ha contribuido significativamente a la proliferación de las API, que actúan como tejido conectivo entre los servicios y componentes modulares que conforman las aplicaciones actuales. Las API pueden simplificar y acelerar los ciclos de desarrollo, ya que permiten a los desarrolladores integrar fácilmente datos existentes, reutilizar funcionalidades o conectarse con servicios de terceros, en lugar de tener que crearlo todo desde cero.
“A medida que las organizaciones crean e implementan más API, a menudo sin una estrategia unificada ni una supervisión centralizada, resulta cada vez más difícil gestionarlas de forma eficaz.”
Además, dado que el 94 % de las organizaciones implementan aplicaciones en múltiples entornos, las API se utilizan para conectar muchos de estos servicios y conjuntos de datos dispares entre distintas plataformas y ubicaciones. Esta fragmentación dificulta cada vez más garantizar una calidad, visibilidad y seguridad uniformes de las API. Incluso mantener un inventario completo y actualizado de las API se ha convertido en un reto complejo para muchas organizaciones.
Este artículo de blog profundiza en los conceptos que sustentan la gobernanza de las API. Sigue leyendo para descubrir qué es la gobernanza de las API y en qué se diferencia de la gestión y la seguridad de las API. También conocerás los tres modelos de gobernanza de las API y explorarás estrategias basadas en las mejores prácticas.
¿Qué es la gobernanza de API?
La gobernanza de las API hace referencia al conjunto de políticas y estándares que definen cómo se diseñan, desarrollan, protegen, supervisan y mantienen las API. El objetivo de la gobernanza de las API es fomentar su calidad, coherencia y seguridad, así como el cumplimiento normativo. Abarca todo tipo de API, incluidas tanto las desarrolladas internamente como las API de terceros proporcionadas por socios o proveedores.
Además, a medida que más empresas adoptan estrategias modernas basadas en un enfoque «API-first», en las que el diseño de las aplicaciones comienza por los servicios y las API, la gobernanza adquiere aún más importancia, ya que garantiza que la coherencia, la seguridad y el cumplimiento normativo se integren en la aplicación a nivel de las API.
El proceso de gobernanza de las API debe abarcar todo el ciclo de vida de las API e incluir las siguientes áreas:
- Estándares de desarrollo de API. Estos proporcionan a los desarrolladores directrices claras sobre cómo deben crearse las API, incluido el uso de la especificación OpenAPI, así como patrones de diseño, guías de estilo, requisitos de metadatos y prácticas de control de versiones. Estos estándares fomentan la coherencia, la interoperabilidad y la facilidad de mantenimiento de todas las API.
- Políticas de seguridad de las API. Estas definen las medidas de seguridad obligatorias que deben implementarse para proteger las API y los datos a los que acceden y que exponen. Pueden incluir el cifrado, la autenticación y la autorización, la limitación de solicitudes, el tratamiento de datos sensibles y funciones de detección de amenazas, como el análisis de vulnerabilidades y la detección continua de anomalías.
- Estándares de documentación. Estos establecen las expectativas sobre la calidad y la exhaustividad de la documentación de las API e incluyen especificaciones técnicas detalladas, directrices de uso, ejemplos de código, prácticas recomendadas y recursos para la resolución de problemas, con el fin de que las API sean fáciles de entender y puedan utilizarse ampliamente.
- Monitorización y análisis. La gobernanza también incluye el establecimiento de requisitos sobre cómo se monitorizan y analizan las API. Esto implica definir la frecuencia y los métodos de monitorización, como herramientas automatizadas de uso continuo o auditorías manuales periódicas, así como especificar los indicadores clave de rendimiento (KPI) que deben supervisarse.
Gobernanza de API frente a gestión de API y seguridad de API
El gobierno, la gestión y la seguridad de las API son ámbitos estrechamente relacionados, pero distintos, y el gobierno debe implementarse en primer lugar para garantizar que las prácticas de gestión de API y seguridad de API se apliquen de forma coherente.
La gestión de API consiste en implementar políticas de gobernanza de API mediante herramientas como un portal para desarrolladores, una puerta de enlace de API y software de gestión del ciclo de vida de las API. Estas herramientas suelen agruparse en una plataforma de gestión de API. Las políticas de gobernanza pueden definir tanto los requisitos relativos a las herramientas —por ejemplo, exigir el uso de plataformas estandarizadas en todos los equipos— como las prácticas operativas, como la forma en que deben gestionarse las claves y credenciales de API.
Seguridad de las API es la aplicación de los requisitos de seguridad y cumplimiento definidos por las políticas de gobernanza de las API. Aunque algunas organizaciones utilizan herramientas específicas de seguridad de las API, cada vez se adoptan más las soluciones de protección de aplicaciones web y API (WAAP) para lograr una protección más amplia e integrada. Las políticas de gobernanza pueden especificar los requisitos mínimos de seguridad para las API, incluidos los controles básicos necesarios y las directrices de configuración, como la forma en que las puertas de enlace de API, los WAF y/o las soluciones de protección de API deben defenderse frente a posibles ataques en todos los vectores de amenazas. Estos pueden incluir las listas OWASP Top 10 de amenazas para aplicaciones web, API y amenazas automatizadas, además de promover buenas prácticas de higiene de las API, como evitar codificar claves de API directamente en el código o insertarlas en el código fuente de las bibliotecas cliente.
Modelos de gobernanza de API
Existen tres tipos de modelos de gobernanza de API: centralizado, descentralizado y adaptativo:
Gobernanza centralizada está gestionada por un equipo central responsable de definir, revisar y aprobar todas las políticas de gobernanza. Ventajas de este enfoque: permite aplicar las políticas de gobernanza más estrictas y garantizar la coherencia en toda la organización. Por otro lado, un enfoque rígido y uniforme no siempre funciona, puede ralentizar a los equipos de desarrollo y fomentar soluciones alternativas y el auge de la «TI en la sombra».
Gobernanza descentralizada otorga a cada equipo autonomía para gestionar sus propias políticas de gobernanza de API. Como aspecto positivo, este enfoque favorece un desarrollo más rápido y una mayor flexibilidad adaptada a las necesidades de cada equipo. Sin embargo, la descentralización puede dar lugar a políticas y controles de API incoherentes en toda la organización, lo que puede provocar problemas de integración, errores de configuración y deficiencias en el cumplimiento normativo.
La gobernanza adaptativa logra un equilibrio entre los dos modelos anteriores. Un equipo central establece políticas globales y gestiona la infraestructura compartida, mientras que los equipos de desarrollo tienen autonomía para definir políticas locales adaptadas a las necesidades específicas de sus aplicaciones y API. Estas pueden incluir requisitos de cumplimiento regionales, gubernamentales o específicos del sector. En la mayoría de los casos, la gobernanza adaptativa ofrece lo mejor de ambos modelos, ya que establece una distinción clara entre las políticas que deben aplicarse de forma universal y los ámbitos en los que se permite flexibilidad cuando es necesario.
Mejores prácticas de gobernanza de API
- Empiece por elaborar un inventario exhaustivo de sus API. Mantenga un catálogo actualizado, identifique dónde se encuentran sus API y clasifíquelas por tipo, como públicas, privadas, de terceros o de socios. Utilice una solución de detección de API para garantizar que su catálogo de API se mantenga actualizado. Proporcione a los desarrolladores acceso al catálogo para fomentar la reutilización de las API existentes y reducir la duplicación de esfuerzos.
- Establezca funciones y responsabilidades claras. Independientemente de su modelo de gobernanza (centralizado, descentralizado o adaptativo), defina claramente la titularidad y la rendición de cuentas del proceso de gobernanza de las API, de las distintas disciplinas, como la gestión, la seguridad y el cumplimiento normativo, y de las soluciones y políticas relacionadas. Si las políticas varían según el tipo de API, la ubicación geográfica o el equipo de desarrollo, asegúrese de que esas diferencias estén bien documentadas y se comuniquen adecuadamente.
- Fomente una cultura que facilite y potencie la colaboración entre equipos. Asegúrese de que sus políticas de gobernanza estén accesibles de forma centralizada y sean fáciles de entender. Establezca expectativas claras sobre cómo deben aplicar los equipos las políticas de gobernanza y proporcione formación continua e información actualizada a medida que evolucionen. Solicite la opinión de sus desarrolladores para saber qué funciona y solucionar lo que no.
Cómo ayuda F5 con la gobernanza de las API
F5 ofrece soluciones de gestión y seguridad de API durante todo el ciclo de vida de las API como parte de F5 Application Delivery and Security Platford (ADSP). La plataforma ofrece una distribución integral de API, junto con funciones completas de descubrimiento, supervisión continua y detección, además de controles de seguridad para implementar políticas esenciales que garanticen el comportamiento adecuado de las API y las protejan frente a ataques. Todo ello se proporciona mediante una plataforma centralizada que permite gestionar la visibilidad y las políticas en diversos entornos de TI.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.