Dedico mucho tiempo a hablar con clientes, y un tema habitual que plantean es la creciente complejidad del entorno de aplicaciones que gestionan y las dificultades para mantenerlo en buen estado. Es comprensible: muchas empresas gestionan ahora una compleja cartera de aplicaciones locales, en la nube pública y en entornos híbridos o multinube, y esas aplicaciones están formadas y respaldadas por un número cada vez mayor de componentes de hardware, software y servicios.
Gestionar un entorno tan amplio, incluso en condiciones óptimas, supone todo un reto. Cada uno de esos componentes requiere una supervisión minuciosa, así como tareas periódicas de mantenimiento y actualización. A esto se suman los problemas imprevistos —interrupciones, degradaciones del servicio y vulnerabilidades que deben corregirse—, que pueden provocar periodos de inactividad y tener consecuencias negativas para el negocio. Muchas organizaciones cuentan con procesos para hacer frente a estas situaciones, pero una y otra vez me dicen que cualquier medida que permita minimizar el impacto de los imprevistos resulta sumamente valiosa.
Por este motivo, vamos a cambiar la forma en que comunicamos públicamente los problemas de seguridad de nuestros productos de software, incluidas nuestras familias de productos BIG-IP y NGINX. A partir de ahora, adoptaremos una periodicidad trimestral predecible cuando tengamos CVE o exposiciones que divulgar. Estas nuevas notificaciones trimestrales de seguridad concentrarán la comunicación pública de vulnerabilidades y exposiciones de seguridad en una fecha anunciada previamente cada trimestre, de modo que los clientes puedan planificar posibles tareas de mantenimiento para garantizar su protección.
Las correcciones de problemas de seguridad seguirán incluyéndose en las versiones de mantenimiento de todos nuestros productos de software, y recomendamos encarecidamente a los clientes que utilicen siempre la versión más reciente de su software de F5 para optimizar la seguridad y el rendimiento de sus sistemas. Somos conscientes de la carga operativa que supone actualizar sistemas complejos. Al programar la comunicación de los problemas de seguridad para una fecha anunciada previamente, ofrecemos a los clientes la oportunidad de planificar de forma proactiva posibles tareas de mantenimiento.
Habrá casos en los que será necesario divulgar vulnerabilidades al margen de las notificaciones de seguridad trimestrales. Por ejemplo, cuando se publiquen correcciones en los proyectos de código abierto de F5. En esos casos, informaremos a los clientes mediante una alerta de seguridad. Al igual que con nuestro enfoque actual, las alertas de seguridad incluirán un aviso de seguridad y toda la información necesaria para que los clientes comprendan su grado de exposición al problema y las medidas que pueden adoptar para solucionarlo.
Para mayor claridad, F5 no va a divulgar hoy ningún problema de seguridad. Si tenemos vulnerabilidades que divulgar, publicaremos nuestra primera notificación trimestral de seguridad el 19 de enero de 2022. Para obtener más información sobre este cambio y nuestra política de gestión de vulnerabilidades, haga clic aquí.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.