La automatización entra en conflicto con la seguridad de los datos en la empresa. ¿Por qué?
El quid de la cuestión
La automatización aumenta la productividad al aprovechar la potencia de las máquinas. Por el coste de un solo trabajador de la información se pueden comprar o alquilar bastantes servidores en la nube. Sin embargo, el acceso a los datos empresariales, especialmente a la velocidad y con los volúmenes con los que trabajan las máquinas, infringe innumerables políticas diseñadas y aplicadas para reducir el riesgo de proliferación y exposición de dichos datos. Hace poco me encontré con estas fuerzas contrapuestas mientras desarrollaba una automatización.
La automatización extrae las métricas de audiencia de algunas páginas web internas y las introduce en un conjunto de hojas de cálculo. A continuación, las hojas de cálculo se trasladan a una carpeta de red, donde una segunda automatización detecta los nuevos archivos y los carga en una ubicación específica en la que mi colega anota cualquier actividad o tendencia que requiera atención. Nos encanta. Sin embargo, tras varias semanas funcionando correctamente, dejó de hacerlo porque un secreto de seguridad había caducado. Nuestra política de gobernanza del acceso a los datos exige que determinadas credenciales del sistema caduquen periódicamente. Bueno para la seguridad. Las credenciales caducadas interrumpen la automatización. Malo para la productividad.
Hacer que los secretos de seguridad caduquen periódicamente es, sin duda, una práctica recomendada, pero ¿tiene que provocar fallos? La automatización le ahorra mucho tiempo a mi equipo, pero se limita a leer datos de una ubicación y reformatearlos para facilitar su análisis en otra. ¿Realmente necesita ejecutarse con el mismo nivel de privilegios que yo, una persona? Tiene que haber algún punto intermedio.
Solución intermedia
Estas son dos opciones que se me ocurren y que podrían servir como solución intermedia:
Opción A
Emite una advertencia cinco días antes de que caduque, para que haya tiempo de renovarlo antes de que algo deje de funcionar.
Opción B
Emita credenciales de servicio específicas para la tarea de automatización con los privilegios mínimos necesarios.
Trata la automatización como otro tipo de usuario
Ambas opciones respetan los requisitos de seguridad de los datos de la organización y, con un pequeño aumento de la visibilidad y la comunicación entre el negocio y las operaciones de seguridad (SecOps), es posible alcanzar una solución prudente y eficaz. Una concesión bien razonada puede aliviar la tensión entre los imperativos de seguridad de los datos y las automatizaciones que aumentan la productividad y, en la mayoría de los casos, ninguna de las partes sale perdiendo, lo que significa que la empresa gana.
La automatización introduce un nuevo usuario en la gobernanza empresarial: el trabajador máquina. Esto acerca a los responsables de implementar las políticas de seguridad y la automatización. Las organizaciones que reconozcan a este nuevo usuario y analicen sus necesidades reales con mayor detalle evitarán tensiones de suma cero, establecerán prácticas más seguras para el uso de los datos y aprovecharán las ventajas empresariales que ofrecen las tecnologías destinadas a mejorar la productividad.
Sobre el autor
Artículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.