¿Qué haces cuando necesitas dos cosas, pero «todo el mundo sabe» que son mutuamente excluyentes?
Desde hace mucho tiempo circula un mito en las comunidades de redes y seguridad: las arquitecturas de software seguras son poco flexibles y el software desarrollado mediante metodologías ágiles es menos seguro. Pero un momento: ¿hay alguna prueba que demuestre que el software desarrollado con un modelo iterativo sea intrínsecamente menos seguro? Si la hay, mi «investigación» (es decir, mis búsquedas en Google) no ha logrado encontrarla.
De hecho, se puede argumentar de forma convincente que un ciclo de entrega más rápido y un proceso de publicación automatizado y optimizado reducen el riesgo al acortar el tiempo total de exposición a vulnerabilidades.
Entonces, ¿existe realmente una brecha entre la flexibilidad y la seguridad? Por desgracia, seguiría diciendo que sí.
Sin embargo, no estoy convencido de que un ciclo de vida ágil del software introduzca más vulnerabilidades inherentes en el código (aunque algunas de las nuevas plataformas, como los sistemas de gestión de contenedores, sin duda ofrecen nuevas superficies de ataque), ya que el código de la aplicación es solo una parte de la postura general de seguridad de una organización.
Partiendo de que todo software contiene defectos, las pilas tecnológicas de TI también incluyen controles de seguridad externos al código de la aplicación, como cortafuegos de red, sistemas de detección de intrusiones y cortafuegos de aplicaciones web. Muchos de estos sistemas deben supervisar el comportamiento de las aplicaciones y responder a las amenazas recién descubiertas en los frameworks o sistemas operativos. Lo ideal es que estos sistemas sean tan ágiles como el ciclo de vida de entrega del software. De lo contrario, ocurrirá una de estas dos cosas: o bien se considerará que los controles de seguridad afectan a la velocidad de entrega y al tiempo de obtención de valor, o bien no proporcionarán la protección para la que se implantaron. Ninguna de estas dos situaciones es precisamente óptima.
La solución obvia es adoptar un modelo de controles de seguridad más próximo al modelo del ciclo de vida de entrega de software. De hecho, el movimiento DevSecOps está empezando a aplicar prácticas de ingeniería de software y DevOps a la implementación de controles de seguridad y a compartir la responsabilidad de la seguridad con todos los miembros del equipo, aunque los conocimientos especializados sigan estando en manos de un equipo de profesionales altamente experimentados y especializados.
En paralelo a esta transformación cultural se produce una evolución tecnológica, en la que la implementación de controles de seguridad se integra en el proceso de entrega de software. Los controles de seguridad acompañan a cada nueva iteración del software durante las fases de pruebas, preproducción y despliegue, en lugar de añadirse sin más al final. Los elementos de telemetría y trazabilidad se incorporan y se rastrean en múltiples puntos de la pila tecnológica. Así, se pueden recopilar y analizar rápidamente nuevas métricas que ayudan a identificar y rastrear a los adversarios, así como a elaborar informes sobre ellos.
Para hacerlo posible, los componentes de su pila tecnológica deben colaborar tanto como sus equipos. Esa es una de las posibilidades más interesantes de una futura organización F5 + NGINX. Con una cartera que abarca desde el cortafuegos de red hasta el servidor de aplicaciones, pasando por todas las capas intermedias, las posibilidades de contar con un conjunto de controles de seguridad más ágil, integrado e informativo son enormes. La promesa de una seguridad y una visibilidad de nivel empresarial dotadas de una agilidad ligera tiene el potencial de proporcionar a todos los miembros del equipo las herramientas, la información y la tranquilidad (relativa) que buscan.
Para obtener más información sobre las ventajas de unir F5 y NGINX, consulta una publicación del CEO de F5 que presenta la serie de artículos del blog «Bridging the Divide».
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.