Las API son ahora más esenciales que nunca, especialmente para las organizaciones de servicios financieros que dependen de ellas para gestionar los pagos de las transacciones diarias de los titulares de cuentas, facilitar la apertura de cuentas en línea sin complicaciones y mucho más.
Además, en un ecosistema de servicios financieros en constante evolución, donde las colaboraciones con empresas fintech a través de API son habituales, el uso de las API está creciendo considerablemente en el sector. En consecuencia, las entidades de servicios financieros dependen más que nunca de las API.
Sin embargo, esta creciente dependencia de las API ha atraído la atención de los atacantes.
Conscientes del papel fundamental que desempeñan estas API, los atacantes las tienen constantemente en el punto de mira con el objetivo de explotarlas, utilizarlas de forma indebida y ponerlas en riesgo para acceder a los sistemas y extraer datos críticos. La complejidad y las dificultades de gestión de los entornos híbridos y multinube se ven agravadas por la dependencia exclusiva de las herramientas tradicionales de seguridad de aplicaciones y API para la detección e inspección basadas en el tráfico, ya que estas solo ofrecen una visión parcial y no permiten detectar las API hasta que se han implementado en producción.
Estos escenarios plantean graves riesgos empresariales, como filtraciones de datos a gran escala, problemas de cumplimiento normativo y cuantiosas multas de los organismos reguladores. Sin embargo, las organizaciones de servicios financieros deben asumir estos riesgos porque sus clientes exigen interacciones rápidas, una visión integral de sus cuentas y transferencias de dinero sencillas. En última instancia, todo ello es posible gracias a las API.
En este artículo, analizamos en profundidad las ventajas transformadoras de adoptar un enfoque «shift left» para los servicios financieros que operan en entornos híbridos y multinube, y explicamos por qué representa el siguiente gran hito en la seguridad de las API del sector financiero. Mediante la detección temprana directamente desde el código fuente, un conocimiento exhaustivo y una documentación preventiva, las organizaciones pueden reforzar sus defensas, subsanar carencias críticas de visibilidad, mejorar los controles, cumplir los requisitos normativos y de los organismos reguladores, y establecer un nuevo estándar de seguridad de las API en un sector en el que hay muchísimo en juego.
¿Qué es el desplazamiento a la izquierda y por qué es importante?
La idea de «desplazar la seguridad a la izquierda» no es una mera tendencia, sino que se está convirtiendo en una necesidad para garantizar una protección y una gestión de riesgos sólidas, especialmente en el caso de las API, ya que cambian con más frecuencia que las aplicaciones web tradicionales y se incorporan otras nuevas a un ritmo mucho mayor.
En pocas palabras, al centrarse únicamente en controles de seguridad tradicionales, como el análisis del tráfico en línea, las organizaciones no pueden detectar ni comprender las vulnerabilidades presentes en toda su superficie de ataque. Esto las deja expuestas, y en ningún ámbito resulta más evidente que en el de las API de los servicios financieros, donde los puntos ciegos pueden tener consecuencias desastrosas. Las vulnerabilidades y deficiencias siempre son más difíciles y costosas de corregir en producción, y cualquier cambio en el código podría introducir riesgos adicionales.
La importancia de la estrategia «shift-left» va más allá de la mera integración de nuevas tecnologías: implica una transformación fundamental de la forma de abordar la seguridad de las API desde el inicio mismo del ciclo de desarrollo.
Al iniciar el descubrimiento y garantizar la precisión de la documentación desde la fase de codificación, las organizaciones obtienen una visión más completa de su ecosistema de API. Este enfoque proactivo permite realizar pruebas, detectar posibles vulnerabilidades de forma temprana y resolverlas de inmediato mediante reglas, controles y políticas cuando las aplicaciones están en producción. Así se crea una base sólida a medida que las aplicaciones avanzan hacia la fase de producción, sin ralentizar a los desarrolladores. Posteriormente, la siguiente versión puede incorporar código actualizado que corrija la vulnerabilidad en el propio código. Sin duda, los desarrolladores agradecerían la automatización de los procesos de inventario y documentación para poder centrarse en la próxima funcionalidad innovadora que quizá cambie el mundo.
¿Cuáles son las principales ventajas de adoptar una estrategia de desplazamiento a la izquierda?
Adoptar un enfoque shift-left ofrece numerosas ventajas. Permite a los equipos pasar a producción con un mayor conocimiento de sus API y una postura de seguridad más sólida, respaldados por una documentación más completa y por políticas de seguridad preventivas para abordar cualquier vulnerabilidad detectada durante las pruebas. Este descubrimiento a partir del código sirve como punto de partida para las organizaciones, ya que facilita la identificación de anomalías y de API desconocidas u obsoletas —tanto zombis como en la sombra—, así como la detección de desviaciones una vez en producción, todo ello sin tener que «aprender sobre la marcha» (por ejemplo, en producción).
En comparación con el enfoque reactivo de recopilar información sin documentación inicial, el enfoque «shift left» garantiza que las organizaciones vayan varios pasos por delante y estén preparadas para afrontar de lleno los retos de seguridad.
Otros beneficios incluyen:
- Limitar la exposición de vulnerabilidades en producción
- Mejorar la documentación y la comprensión de las API
- Promover prácticas de programación segura para reforzar y mejorar el código de las API con el tiempo
- Reducir las dificultades de integración de herramientas mediante un ciclo continuo de evaluación y mitigación de riesgos
Nuevas herramientas que se deben tener en cuenta para la detección temprana de vulnerabilidades en una estrategia shift-left
Gestionar soluciones de seguridad para aplicaciones y API ya supone una tarea abrumadora para muchas organizaciones. De hecho, un reciente informe de Datos Insights patrocinado por F5 reveló que más de 80 proveedores de soluciones operaban únicamente en el ámbito de la seguridad de las API y que una organización utiliza, de media, más de 20.000 API.
Como resultado, las organizaciones suelen utilizar una combinación de tecnologías de distintos proveedores para proteger las aplicaciones y las API, lo que en la práctica convierte la seguridad de las API en seguridad de la cadena de suministro. Teniendo esto en cuenta, estos son algunos aspectos que deben considerarse al buscar una solución de «desplazamiento a la izquierda» para la seguridad de las API:
- Detección a nivel de código mediante funciones de análisis, reconocimiento y pruebas, lo que permite identificar antes las CVE y los riesgos de las API en el código
- Respuestas de seguridad inteligentes y automatizadas, impulsadas por IA generativa
- Creación y validación automáticas de esquemas de API robustos
- Identificación detallada de los riesgos de las API con información práctica
- Seguridad de las API durante todo su ciclo de vida, mediante una solución que forma parte de una cartera más amplia de funcionalidades de seguridad y entrega de aplicaciones y API a lo largo de todo el ciclo de vida del desarrollo de aplicaciones
Las tácticas proactivas que constituyen la base del enfoque «shift-left» permiten identificar con mayor rapidez y precisión las discrepancias, las API en la sombra y otros problemas. Este método es muy superior a los enfoques improvisados, que pueden omitir documentación o carecer de una visión integral desde el principio.
Adoptar la estrategia shift-left con las tecnologías adecuadas no solo mejora la seguridad, sino que también agiliza todo el ciclo de vida del desarrollo, beneficiando tanto a los equipos de aplicaciones como a los de riesgos y convirtiéndola en una práctica esencial para las organizaciones de servicios financieros con visión de futuro.
Obtenga más información sobre cómo el enfoque shift-left puede ayudar a su organización.
Este blog comparte contenido seleccionado con otros artículos centrados en otros sectores de la industria.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.