Estado de la entrega de aplicación 2016: El auge de la identidad y el acceso a las aplicación

En el pasado, existía una relación cercana a 1:1 entre los puertos de red y las aplicaciones. ¿Puerto 53? Eso es DNS. ¿Puerto 22? SSH. ¿Puerto 23? Telnet. ¿Puerto 80? Ese es el sitio web.

Nótese el singular, allí. “El” sitio web. No es “una de las aproximadamente doscientas aplicaciones web distribuidas vía HTTP”.

Esa es una distinción importante, ya que ayuda a entender el desplazamiento del perímetro de la aplicación desde el borde (el firewall de la red) a un lugar más cercano a la aplicación, en el interior del centro de datos (ese es el pabellón interno para aquellos de ustedes que todavía trabajan en la analogía del "castillo" para la seguridad).

Nuestros últimos datos muestran que el 65% de las aplicaciones entregadas se basan en HTTP. El resto incluye a los sospechosos típicos: SSH, FTP, SMTP y DNS, entre otros protocolos quizás menos conocidos. ¿Y cuántas aplicaciones hay en una empresa típica? Nuestro Informe sobre el estado de la entrega de aplicación de 2016 dice mucho. Casi la mitad tiene entre 1 y 200 aplicaciones implementadas. ¿La otra mitad? Bueno, más de 200. Un sorprendente 10% tiene más de 3000 aplicaciones ejecutándose actualmente.

Más de la mitad de esas aplicaciones son HTTP. Todos ellos atravesando el mismo puerto en el fiel defensor del centro de datos: el firewall de la red. Un firewall de red que, muy probablemente, no puede diferenciar entre esas aplicaciones. A esto no le importa en lo más mínimo si se trata de JSON o HTML, si está orientado a la empresa o al consumidor, si se debe acceder a él desde un dispositivo móvil mientras estás en casa o no.

Estos son cada vez más importantes para proteger las aplicaciones. Ya sea que se trate de comprender cómo determinar si la carga útil de una aplicación está comprometida o no (JSON no es HTML ni XML) y si se debe permitir o no el acceso desde una ubicación o dispositivo determinados.

Éste es el tipo de preguntas que preocupan (mucho más que un ápice) a los servicios de control de acceso de aplicación . Al igual que otros servicios afines a las aplicaciones , los servicios de control de acceso a aplicación son cada vez más importantes en la estrategia de seguridad general precisamente porque pueden diferenciar entre aplicaciones y aplicar las políticas adecuadas. No solo están mirando protocolos y puertos, están profundizando en toda la conversación, evaluando una variedad de variables (lo llamamos contexto) para tomar una decisión sobre si realmente se le debería permitir a Bob acceder a esa aplicación altamente sensible desde su sala de estar.

Las organizaciones son conscientes de ello, según nuestra investigación. El 87% tiene 4 o más servicios de identidad y acceso implementados actualmente. Y como era de esperar (al menos para mí), es la categoría de servicios de aplicaciones que más rápido crece en 2016: el 50 % planea implementar uno de ellos en los próximos 12 meses. Digo que no es sorprendente, porque el acceso a las aplicaciones hoy en día incluye necesariamente la nube, donde los firewalls de red no son capaces de extender el control sobre el acceso a las aplicaciones. Pero los servicios de identidad y acceso sí pueden hacerlo.

Ahora bien, es cierto que los firewalls de red siguen siendo el principal servicio implementado por las organizaciones, y no espero que eso cambie pronto. Han desempeñado y seguirán desempeñando un papel importante en la estrategia de seguridad de todas las organizaciones. Pero a medida que la nube, los dispositivos móviles y la Internet de las cosas continúan expandiendo el panorama de aplicación que deben protegerse, seguiremos viendo un aumento en el rol y la importancia del control de acceso a las aplicación . No sólo porque los firewalls de red ya no tienen la visibilidad necesaria para diferenciar entre aplicaciones distribuidas a través del mismo protocolo (HTTP), sino porque ya no son el único punto de entrada a esas aplicaciones cuando una cantidad significativa de ellas se implementan allí, en la nube.

Para obtener más detalles, no olvide consultar el informe completo sobre el estado de la entrega de aplicación de 2016.