La mayoría de las organizaciones operan en varios entornos de nube, además de contar con su propia nube privada local. Durante los últimos tres años, hemos preguntado por los retos y las frustraciones que experimentan los profesionales de todos los ámbitos de TI al trabajar de este modo.
Cada año, la respuesta más frecuente es la misma: la coherencia.
No es de extrañar. Las organizaciones siguen trabajando en gran medida como equipos aislados, y la introducción de la nube pública no ha cambiado esta situación. De hecho, ha aumentado considerablemente el número de silos, ya que a menudo se necesitan equipos especializados en la nube para adaptarse adecuadamente a los paneles, las consolas y las formas de operar propias de cada nube pública.
Esta realidad dificulta la protección de las aplicaciones cuya seguridad es responsabilidad de las organizaciones, no de los proveedores de servicios en la nube. Los retos se deben, en parte, al uso de servicios de seguridad heterogéneos que pueden ofrecer o no la equivalencia de políticas necesaria para proteger adecuadamente una aplicación conforme a las expectativas de la empresa. Las capacidades de un servicio de seguridad pueden no ser las mismas que las de otro. Si una funcionalidad de la que depende para proteger una aplicación está disponible en una nube, pero no en otra, no podrá garantizar una seguridad uniforme.
Por tanto, no fue ninguna sorpresa que un informe de Sophos sobre el estado de la seguridad en la nube en 2020 revelara un mayor número de incidentes de seguridad entre las organizaciones que operaban en varios entornos de nube:
«Las organizaciones con entornos multinube notificaron más incidentes de seguridad en los últimos 12 meses. El 73 % de las organizaciones encuestadas utilizaba dos o más proveedores de nube pública y notificó más incidentes de seguridad que las que utilizaban una única plataforma».
El informe aclaró además el origen de esos incidentes y reveló que, en el 66 % de los ataques, se aprovecharon brechas de seguridad causadas por errores de configuración, que se dividían a su vez en tres categorías:
- 33% Credenciales de cuentas en la nube robadas
- 22 % Configuración incorrecta de recursos en la nube
- 44 % Firewall de aplicaciones web mal configurado
Una configuración incorrecta puede deberse a muchos factores. Los errores tipográficos son habituales. Otra causa puede ser interpretar mal la terminología o no comprender el modelo de políticas.
Para reducir los errores tipográficos y otros errores humanos, se suele recurrir a la automatización. Sin embargo, esta no ayuda en el segundo caso, en el que las diferencias entre los modelos y lenguajes de políticas pueden generar confusión y dar lugar a configuraciones incorrectas.
Actualmente, la mejor solución al problema de las configuraciones incorrectas es la estandarización. Elegir un conjunto estándar de servicios de seguridad que funcionen en todos los entornos en los que sean necesarios contribuirá en gran medida a eliminar las configuraciones incorrectas. Al centrarse en un único conjunto de servicios de seguridad, las competencias adquiridas se conservan en los distintos entornos de nube. La experiencia permite desarrollar conocimientos especializados y, al centrarse en un conjunto más reducido de lenguajes y modelos de políticas, las organizaciones pueden abordar con mayor confianza la protección de las aplicaciones en cualquier entorno.
La estandarización también actúa como multiplicador de la automatización, ya que permite reutilizar código, scripts y plantillas para aprovisionar, implementar y gestionar servicios de seguridad en múltiples nubes. Los recursos de automatización se vuelven más robustos y se optimizan mediante su uso y reutilización, lo que genera una mayor confianza en el uso de la nube.
La nube ha llegado para quedarse, al igual que la realidad de que cada organización utilice varias nubes. Pero eso no significa que debamos aceptar el aumento de los incidentes de seguridad. Al abordar deliberadamente los servicios de seguridad con la estandarización como objetivo y prestar atención a las estructuras organizativas internas que puedan estar obstaculizando la colaboración, las organizaciones pueden dar pasos positivos para mejorar la seguridad, ampliar la automatización y optimizar las competencias y los conocimientos de sus activos más valiosos: las personas.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.