Conclusiones del informe «Estado de la entrega de aplicaciones en 2017»
Tanto los directivos como los profesionales de la seguridad son bastante pragmáticos, al menos en lo que respecta a su grado de confianza para resistir ataques a la capa de aplicación.
Curiosamente, ninguno de los dos grupos parece ser pesimista respecto a sus posibilidades de repeler este tipo de ataques. Solo el 5 % de cada grupo encuestado en nuestro informe sobre el estado de la entrega de aplicaciones no confiaba en la capacidad de su organización para resistir un ataque a la capa de aplicación. Pero eso tampoco significa que sean optimistas. Solo el 10 % de los profesionales de la seguridad y el 13 % de los directivos confiaban plenamente en poder enfrentarse a los ciberdelincuentes y ganar la batalla de la seguridad de las aplicaciones.
De hecho, sus opiniones se inclinaban mucho más hacia un punto intermedio, donde se sitúa el pragmatismo (realismo).
El cuarenta por ciento (40 %) de los profesionales de la seguridad se mostraba indeciso, sin tener ni más ni menos confianza. Un porcentaje similar de directivos (37 %) opinaba lo mismo. Una postura que parece razonable hoy en día. Puede que confíes en poder hacer frente a las amenazas que sabes que existen ahora mismo. Pero ese es el problema de la seguridad: lo desconocido está a punto de convertirse en una amenaza.
Entonces, ¿qué hace que ese 10 % aproximadamente de profesionales de la seguridad y directivos confíe tanto en la postura de seguridad de su organización? ¿Qué saben ellos que quizá los demás no sepan?
Para averiguarlo, empecé a analizar los datos desde distintos ángulos. En el informe completo mencionamos que el despliegue de un cortafuegos de aplicaciones web y, en menor medida, de protección contra ataques DDoS parecía contribuir al nivel de confianza de los encuestados en su capacidad para resistir ataques a la capa de aplicación. Pero, por supuesto, estos no son los únicos dos servicios de seguridad disponibles; actualmente hacemos un seguimiento de ocho de ellos.
Por tanto, parece razonable suponer que otros servicios de seguridad de aplicaciones podrían influir en la confianza que las personas tienen en la postura de seguridad de sus organizaciones. Un rápido análisis de los datos mostró que, efectivamente, podría ser así.
En cada uno de los ocho servicios de seguridad que analizamos, observamos un mayor porcentaje de servicios implementados entre quienes mostraban más confianza. En general, la diferencia en el estado de implementación de cada servicio según el nivel de confianza era considerable. De media, los encuestados con menor confianza presentaban una tasa global de implementación de servicios de seguridad de aplicaciones un 24 % inferior. Menos servicios de seguridad, menos confianza. ¿Casualidad? No lo creo.
Pero no es solo el despliegue de servicios de seguridad lo que puede influir positiva (o negativamente) en la confianza de las personas en su capacidad para resistir un ataque a la capa de aplicación. También importa cómo se utilizan esos servicios de aplicaciones para protegerlas.
Cada año preguntamos a los encuestados cómo protegen las aplicaciones. Identificamos tres superficies de ataque principales que deben protegerse: el cliente, la solicitud y la respuesta. Esto se debe a que cada una representa un momento específico en el que pueden aplicarse distintas tácticas de seguridad (y, por tanto, distintos servicios) para proteger y defender mejor las aplicaciones y sus valiosos datos. Pedimos a los encuestados que indiquen con qué regularidad aplican políticas de seguridad a cada una de las tres superficies: siempre, nunca o a veces. A estas alturas, seguro que a nadie le sorprenderá saber que quienes tienen el mayor nivel de confianza siempre protegen las tres superficies. Por el contrario, quienes tienen el menor nivel de confianza tienden a no proteger nunca ninguna de las superficies.
Obviamente, este no es el único factor que influye en el nivel de confianza. Un pequeño porcentaje de las personas con menor confianza siempre protege estas superficies de ataque. Y, a la inversa, algunas de las personas con mayor confianza nunca protegen estas superficies. El hecho de que las personas con menor confianza deban proteger estas superficies a veces indica que es un factor que influye, pero desde luego no es el único; de lo contrario, habría una mayor correlación entre no proteger nunca las superficies y el nivel de confianza más bajo.
Aun así, más de la mitad de quienes tienen el mayor nivel de confianza siempre protegen el cliente (60 %), la solicitud (61 %) y la respuesta (57 %).
¿Casualidad? Una vez más, no lo creo.
Por supuesto, no podemos establecer una relación causal entre la implementación y el uso de servicios de aplicaciones de seguridad y los niveles de confianza, pero sí podemos observar claramente que existe una correlación entre ambos.
Los profesionales de TI que más confían en su capacidad para resistir ataques a la capa de aplicación tienen más probabilidades de implementar servicios de seguridad de aplicaciones y proteger de forma proactiva las tres superficies de ataque que sus homólogos más pesimistas. Algo que conviene tener en cuenta si no te sientes especialmente optimista sobre tus posibilidades de defenderte ante lo que pueda deparar el mañana.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.