Motivación, retos y oportunidades
Las interfaces de programación de aplicaciones (API) y, por consiguiente, la economía de las API se están convirtiendo rápidamente en motores de la transformación digital. Aunque la mayoría de las empresas comprenden el funcionamiento de una API, pocas la han adoptado como medio para aumentar su propio valor empresarial. La economía de las API engloba todos los modelos de negocio, prácticas y activos que impulsarán la economía digital a medida que más empresas externalicen sus servicios mediante API. En esencia, la economía de las API permite a una empresa exponer sus servicios y datos de forma segura, generando así valor para el negocio.
Todas las empresas poseen datos y prestan servicios relacionados que tienen un valor intrínseco, pero que normalmente solo están disponibles dentro de la organización. Sin embargo, para participar y competir eficazmente en esta economía de las API, una empresa también debe plantearse abrirse al exterior mediante la inversión de algunas de estas API. En el informe «Cómo las API generan crecimiento mediante la inversión de la empresa», Benzell et al. describen cómo la exposición de API privadas aumenta el valor de una organización. Hemos ampliado el concepto y lo hemos denominado «Inversión de la API», un proceso mediante el cual una empresa externaliza una API privada poniéndola a disposición como API para socios o API pública.
Breve repaso de las API
Las API permiten a los desarrolladores crear aplicaciones y productos de forma fácil y ágil. Facilitan la rápida integración de software procedente de distintas áreas de una empresa y la interacción con servicios ofrecidos a través de API de socios o API públicas.
Las API también pueden facilitar la integración de nuevos servicios entre empresas al permitir el acceso a los datos y el intercambio de capacidades compartidas. Es precisamente en este acceso a los datos donde las API ofrecen las oportunidades más atractivas, a la vez que plantean los mayores retos y riesgos. Las API permiten a los usuarios acceder de forma segura a datos de distintos servicios, sin tener que pasar por las medidas de seguridad de cada proveedor de servicios. Sin embargo, un diseño inadecuado de las API puede hacer que la organización exponga datos de forma involuntaria, lo que da lugar a los numerosos retos que observamos actualmente en el sector.
Según el informe de Postman «State of the API 2022», la «integración con sistemas internos» fue el principal motivo por el que las organizaciones decidieron consumir API, ya que estas ofrecen a las empresas la forma más sencilla de participar en la economía digital. Esto es importante porque las herramientas de integración se convierten en un factor crucial cuando las empresas eligen la tecnología que utilizarán para adoptar una estrategia centrada en las API.
Motivación empresarial
El ejemplo más clásico de cómo poner las API privadas a disposición de un ecosistema más amplio es Amazon Web Services (AWS). Amazon vio la oportunidad de permitir que sus clientes utilizaran su propia infraestructura informática en régimen de autoservicio y bajo demanda. Esto no era algo nuevo para la empresa, pues ya disponía de todas las herramientas de autoservicio y automatización necesarias para sus desarrolladores internos. Fue la oportunidad de Amazon para impulsar el crecimiento de su negocio y dio lugar al nacimiento de la computación en la nube tal como la conocemos hoy. Aunque los escépticos afirmaban que las empresas nunca adoptarían la nube, en los 15 años transcurridos desde su aparición, la computación en la nube se ha convertido en un sector de aproximadamente un billón de dólares y la valoración de Amazon se ha multiplicado por más de diez en una década, en gran medida gracias al éxito de AWS. Esto impulsó la creación de un nuevo sector vertical.
Sin embargo, las empresas aún no han reconocido todo el potencial de las API para aumentar el valor empresarial. Aunque puede haber varias razones para pasar por alto la posibilidad de obtener una mayor rentabilidad, la motivación de peso es la ciberseguridad. Dado que proteger los activos de una organización es la máxima prioridad para el departamento de TI, la mayoría de las organizaciones introducen engorrosas «mejores prácticas» y flujos de trabajo que limitan la agilidad empresarial y, en última instancia, reducen los beneficios. Sin embargo, el objetivo de la seguridad debería ser liberar el valor latente de una empresa, no limitarlo.
Evaluación de las API para la inversión
«Invertir la API» no es solo una cuestión técnica de ponerla a disposición de terceros ajenos a la organización. La granularidad de la exposición de una API (GRAPE) lleva a la empresa a debatir si una API puede invertirse de forma segura. En una «prueba de la uva», una empresa debe determinar si está exponiendo involuntariamente datos que podrían considerarse información competitiva o que podrían contravenir las normas de gobernanza, riesgo y cumplimiento (GRC), así como evaluar la solidez de la arquitectura de la API desde el punto de vista de la seguridad. En esencia, las empresas no quieren dejar ninguna «uva» al alcance de cualquiera.
Una vez que una API supera esta auditoría, decidir si los datos se ponen a disposición a través de una API de socio o pública sigue siendo una decisión empresarial, y el objetivo de la organización de TI debe ser proporcionar a la empresa las herramientas necesarias para hacerlo de forma segura. Debemos permitir que los desarrolladores generen más valor ofreciendo el mayor nivel de granularidad posible al exponer diversos servicios que normalmente estarían destinados al uso interno de la empresa. Estas API podrían probarse con clientes externos y socios «de confianza», pero hoy en día este proceso es tan arduo que la mayoría de las empresas se niegan a seguir esta vía. La solución consiste en que los equipos de GRC y seguridad establezcan mecanismos de protección que eviten cualquier incidente, sin dejar de fomentar la autonomía.
Desafíos, principalmente técnicos
Entonces, ¿cómo seguimos a partir de aquí? Suponiendo que se comprenda el valor empresarial de invertir una API y que se haya superado la «prueba de la uva», aún quedan retos técnicos por delante.
- La seguridad lo condiciona todo—La GRC y la seguridad son beneficiosas porque las API tienen un lado oscuro. Los hackers buscan API que puedan utilizar en sus ataques. Los actores maliciosos están motivados y son persistentes: emplean numerosas técnicas e improvisan constantemente para eludir la seguridad de las API. Las empresas que carezcan de prácticas recomendadas de seguridad adecuadas tendrán serias dificultades para hacer públicas sus API privadas.
- Descubrimiento y auditoría de API—Depurar una empresa de API perdidas, huérfanas o no seguras es un problema complejo. Los desarrolladores abandonan sus equipos u organizaciones sin retirar los servicios que están desarrollando y probando. Incluso los equipos de software más disciplinados cometen errores y dejan servicios en funcionamiento mucho después de las fases de desarrollo, pruebas y fin de vida útil. Otro problema de las API es la documentación, ya que los nuevos desarrolladores pueden desconocer todo el potencial de los datos devueltos. Esto nos remite de nuevo a la seguridad.
- Conectividad—Aunque una empresa encuentre motivos de peso para aprovechar sus API privadas de cara a clientes externos o socios, conectar una API situada tras tres capas de cortafuegos en una organización es una tarea abrumadora. Si bien las unidades de negocio pueden tardar muchos meses en validar y justificar el retorno de la inversión para que esto resulte viable, no basta con tomar una API interna y hacerla pública; la conectividad también requiere un proceso. En consecuencia, la agilidad se resiente y los desarrolladores no pueden innovar con rapidez.
En última instancia, debemos comprender que lograr agilidad empresarial en un entorno que no es de confianza resulta extremadamente difícil. Los procesos de TI se fundamentan, definen y rigen por distintas consideraciones de seguridad. Existen por un motivo y no pueden eludirse.
Oportunidad: la empresa ES la plataforma
Una vez que una empresa empieza a plantearse cómo competir en la economía de las API, la necesidad de invertir sus API se convierte en una decisión natural. El siguiente paso lógico es concebir toda la empresa como una plataforma e idear formas de avanzar hacia ese objetivo.
Kristin R. Moyer, vicepresidenta y analista distinguida de Gartner, afirmó: «La economía de las API permite convertir una empresa u organización en una plataforma. Las plataformas multiplican la creación de valor porque hacen posibles ecosistemas empresariales dentro y fuera de la organización que conectan a los usuarios y facilitan la creación o el intercambio de bienes, servicios y capital social, de modo que todos los participantes puedan obtener valor». (Mulesoft)
Acompañar a una empresa en este proceso no está exento de dificultades, y es aquí donde los proveedores comparten la responsabilidad con las organizaciones de TI. La empresa debe comprender qué aspectos de sus activos internos pueden beneficiar o beneficiarán a la comunidad en general y aumentarán su valor. El ecosistema de proveedores debe ofrecer herramientas y tecnologías que ayuden a las empresas a invertir sus API de forma segura y a liberar el valor de la empresa como plataforma.
Sobre el autor
Artículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.