En 2018, la Oficina de Administración y Presupuesto presentó una nueva estrategia concebida para proporcionar a las organizaciones una hoja de ruta para migrar sus aplicaciones a la nube. Bautizada como Cloud Smart, esta guía supuso un avance respecto a la Estrategia Federal de Computación en la Nube (conocida popularmente como «Cloud First»), presentada en 2017, al ofrecer a las agencias «orientaciones prácticas de implementación para hacer plenamente realidad las posibilidades y el potencial de las tecnologías basadas en la nube».
Mientras que Cloud First básicamente autorizaba a las agencias a empezar a explorar sus primeras incursiones en la nube, Cloud Smart pretende reducir las barreras de entrada para las migraciones a la nube. Ofrece orientaciones sólidas y útiles en torno a tres áreas importantes: seguridad, contratación y personal.
Seguridad de Cloud Smart: tres cosas que debes saber
Centrémonos en el componente de seguridad de Cloud Smart. Hay varios aspectos que merece la pena mencionar.
Cloud Smart hace hincapié en la necesidad de contar con conexiones de confianza a Internet (TIC). Sin embargo, reconoce que las TIC tradicionales se han vuelto «relativamente inflexibles e incompatibles con los requisitos de muchas agencias». Estas agencias necesitan una solución más ágil y flexible para gestionar el flujo de tráfico de Internet y ofrecer una seguridad aún mayor.
Cloud Smart también insta a las organizaciones a realizar un inventario completo de las aplicaciones presentes en sus entornos. Se les pide que evalúen la necesidad de dichas aplicaciones, dónde están alojadas, qué servicios requieren para funcionar de forma correcta y segura (equilibrio de carga, firewalls de aplicaciones web, etc.), entre otros aspectos.
Por último, Cloud Smart aboga por la protección y la supervisión continuas de los datos. En concreto, las directrices sugieren que las agencias deben establecer «medidas de protección en la capa de datos, además de en las capas de red e infraestructura física». Para facilitar esta labor, Cloud Smart recomienda implantar el Programa Federal de Gestión de Riesgos y Autorizaciones (FedRAMP), que proporciona un método estandarizado para evaluar la seguridad y supervisar continuamente las amenazas.
El mensaje de Cloud Smart es claro: la definición tradicional del perímetro de red ha quedado obsoleta; las aplicaciones son el nuevo límite de la red. De hecho, hemos entrado en una nueva fase de transformación digital dominada por los servicios en la nube y las aplicaciones multinube. Estas aplicaciones dependen de datos altamente sensibles que fluyen libremente entre ubicaciones locales y externas. Este flujo de información resulta atractivo para los hackers, que buscan continuamente formas de aprovechar posibles vulnerabilidades en este entorno. Los datos deben protegerse a toda costa, tanto si se encuentran en las instalaciones como fuera de ellas, y tanto cuando están almacenados como cuando están en tránsito.
Cloud Smart: más descriptivo que prescriptivo
Sin embargo, aunque Cloud Smart ofrece directrices sólidas para la seguridad de las aplicaciones y los datos en la nube, en realidad es más descriptivo que prescriptivo. No entra en detalles sobre cómo deben implementar las agencias sus medidas de seguridad ni sobre las herramientas que pueden utilizar para proteger sus datos. Esto concede a las organizaciones un amplio margen de maniobra a la hora de elegir las tecnologías que pueden utilizar para proteger sus datos.
Muchos clientes de F5, especialmente aquellos que utilizan una combinación de centros de datos locales y externos, recurren a los puntos de acceso a la nube (CAP) y a las pilas de seguridad para centros de datos virtuales (VDSS). Estas tecnologías están autorizadas por la Agencia de Sistemas de Información de Defensa (DISA), que las ha convertido en componentes esenciales de su arquitectura de computación segura en la nube (SCCA). Juntas, garantizan que las aplicaciones alojadas en un centro de datos en la nube reciban el mismo nivel de protección que las que se mantienen en las instalaciones.
Los CAP conectan los centros de datos locales con entornos alojados en la nube, creando así un canal seguro entre ambos. Los usuarios disponen de conectividad dedicada con las aplicaciones, independientemente de dónde estén alojadas.
Una VDSS es una zona segura en la que los clientes alojan toda su infraestructura de seguridad. Suele constar de firewalls de aplicaciones web (WAF) y firewalls de nueva generación para proteger las aplicaciones y los datos alojados fuera de las instalaciones. El tráfico web atraviesa esta zona de seguridad antes de acceder a la propia aplicación. La zona protege la aplicación frente al tráfico malicioso y posibles amenazas.
Soluciones inteligentes para iniciativas Cloud Smart
Las organizaciones necesitan distintas soluciones para aplicar medidas de seguridad en los CAP y los VDSS. Requieren conjuntos de soluciones que puedan proporcionar WAF bidireccionales que utilicen análisis del comportamiento, protección contra bots y cifrado de datos para proteger tanto las aplicaciones alojadas como las locales. Estas soluciones son ideales para proteger y gestionar el tráfico entrante y saliente de las aplicaciones alojadas en centros de datos de coubicación.
En resumen, las organizaciones necesitan soluciones que refuercen su postura de seguridad y les ayuden a cumplir el requisito de Cloud Smart de garantizar «la confidencialidad, la integridad y la disponibilidad de la información federal mientras circula por las redes y permanece almacenada en los sistemas, independientemente de que dichos entornos se gestionen localmente, fuera de las instalaciones, por una entidad gubernamental o por un contratista». Haga clic aquí para obtener más información sobre cómo F5 ayuda a sus clientes a proteger sus aplicaciones, datos y sitios.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.