No hay lugar para los silos cuando se trata de seguridad

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Todo empezó con DevOps. Después llegó NetOps. Ahora, SecOps. ¿O es DevSecOps? ¿O quizá SecDevOps?

Lo llames como lo llames, con demasiada frecuencia el resultado final no es más que los mismos silos de siempre con nombres nuevos y relucientes. Nos hemos centrado tanto en «cómo llamamos a esta gente» que a veces olvidamos «qué estamos intentando conseguir».

El gran Bardo fue el primero en expresarlo al hablar de una rosa: con cualquier otro nombre olería igual de bien. Apliquemos hoy esta idea a la cantidad de facciones que están surgiendo en el ámbito de las operaciones. Cambiar de nombre no sirve de nada si no cambias tus comportamientos y prácticas fundamentales.

Cuando la nube empezó a despuntar (nunca mejor dicho), muchos expertos desdeñaron los esfuerzos de las empresas por crear nubes privadas (en sus propias instalaciones), porque no se ajustaban a la definición exacta que ellos querían asociar a la nube. Pasaron por alto que el resultado era la medida del éxito, no el hecho de ajustarse a la definición pedante de otra persona. Buscaban agilidad, eficiencia y rapidez cambiando la forma de aprovisionar, configurar y gestionar la infraestructura. Cambiaron los comportamientos y las prácticas mediante el uso de la tecnología.

Hoy, las guerras terminológicas se centran en X-Ops y en cómo deberíamos llamar al último en llegar: la seguridad.

Sé que he utilizado estos términos y que, a veces, los uso todos a la vez. Pero quizá lo que necesitamos es hacer menos distinciones. Quizá debería limitarme a decir que, en cuanto a comportamientos y prácticas, o bien estás adoptando las «operaciones modernas» o bien sigues con las «operaciones tradicionales», y eso es todo.

Las operaciones modernas emplean tecnologías como la nube y la automatización para crear canalizaciones que codifican los procesos y agilizan la entrega y el despliegue de aplicaciones.

Y lo hacen cambiando comportamientos y prácticas. Colaboran y se comunican entre sí. Utilizan la tecnología para modernizar y optimizar procesos con décadas de antigüedad que obstaculizan la entrega y el despliegue. Trabajan juntos, no en equipos de X-Ops aislados, para lograr su objetivo de realizar lanzamientos más rápidos y frecuentes que aporten valor al negocio y satisfagan a los consumidores.

Centrarse en cómo llamar a la «seguridad» al adoptar operaciones modernas puede ir en detrimento de la premisa básica de que la entrega y el despliegue solo pueden llevarse a cabo con rapidez mediante un enfoque colaborativo. Poner nuevas etiquetas a un nuevo equipo especializado no hace más que crear silos distintos; no los derriba ni abre las vías de comunicación necesarias para operar con rapidez y a gran escala.

Además, sin querer, da pie a que otros equipos de operaciones no relacionados con la seguridad deleguen sus responsabilidades de seguridad en el equipo de <SecDevOps | DevSecOps>. Al fin y al cabo, la seguridad forma parte de su nombre, ¿no?

That's an increasingly bad idea given that application security is a stack and thus requires a full stack to implement the right protections. You need network security and transport security and you definitely need application security. The attack surface for an app includes all seven layers and, increasingly, the stack comprising its operational environment. There is no room for silos when it comes to security.

A medida que avanza en su transformación digital, el departamento de TI debe centrarse en modernizar las operaciones, desde la tecnología hasta los equipos que la utilizan para innovar y aportar valor al negocio. Los equipos de operaciones modernos no se preocupan por los cargos, sino que se centran en obtener resultados. Trabajan juntos, se comunican con fluidez y colaboran entre distintas áreas para crear un proceso eficiente y adaptable de entrega y despliegue.

Para ello, será necesario que los expertos en redes, seguridad, infraestructura, almacenamiento y desarrollo trabajen conjuntamente.

En la red, utilizamos etiquetas para identificar el tráfico y aplicar políticas que controlan qué dispositivos pueden comunicarse con qué infraestructuras y aplicaciones. En los clústeres de contenedores, utilizamos etiquetas para aislar y restringir, limitar y denegar.

Las etiquetas en las organizaciones pueden tener el mismo efecto.

Así que quizá sería mejor que nos limitáramos a decir que unos trabajan con operaciones modernas y otros con operaciones tradicionales, y que algunos se encuentran en una fase de transición entre ambas. Dejemos de dedicar tanto tiempo a decidir cómo llamarnos y aprovechemos la oportunidad de crear un entorno colaborativo en el que entregar e implementar aplicaciones de forma más rápida, más frecuente y, sobre todo, segura.

Sobre el autor

Lori Mac VittieIngeniero distinguido y evangelista jefe | F5

Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.

Más artículos de Lori Mac Vittie