En los ocho años transcurridos desde que pusimos en marcha por primera vez el estudio anual que acabaría convirtiéndose en el informe State of Application Strategy, hemos observado cómo la seguridad ha ido ascendiendo de forma constante hasta situarse a la cabeza del conjunto de servicios de seguridad y entrega de aplicaciones.
La disponibilidad como categoría general, que engloba tecnologías como el balanceo de carga, el almacenamiento en caché y las CDN, mantuvo la máxima prioridad durante aproximadamente el mismo tiempo que un servidor web recién puesto en marcha podía sobrevivir sin sufrir ataques en Internet en 2003. Lo cual, para quienes no lo sepan, no era mucho tiempo.
La seguridad pasó casi de inmediato a ocupar el primer puesto de la lista de prioridades y se ha mantenido ahí, sin rival, desde aproximadamente 2017.
Hasta ahora.
Este año, por primera vez, vimos cómo un servicio de seguridad no esencial se situaba a la cabeza de los «más implementados». Ese servicio es la identidad.
Pero no se trata solo de que las tecnologías de identidad y acceso se hayan convertido en las más implementadas. A lo largo de nuestra investigación, existen numerosas pruebas que apuntan a un cambio significativo hacia la seguridad basada en la identidad.
Pensemos en la seguridad de las API. Sí, se está implementando. Pero profundizamos en los detalles y preguntamos por los tipos específicos de protección que los encuestados consideraban valiosos. Los agrupamos, a grandes rasgos, en tres categorías:
- Tradicionales. Estas protecciones proceden en gran medida de las protecciones web que llevan años incluidas en los cortafuegos de aplicaciones web: limitación de solicitudes, el Top 10 de OWASP y, por supuesto, cifrado y descifrado.
- Modernas. Estas protecciones han surgido en los últimos años y se han convertido en una importante fuente de seguridad para las API. Este grupo incluye la inspección de la carga útil (contenido), por ejemplo, para detectar malware y contenido malicioso, así como la autenticación y la autorización. Spoiler: esa es la parte relativa a la identidad.
- Adaptativas. Las protecciones adaptativas constituyen una nueva categoría, impulsada por la capacidad de aprovechar la IA y el aprendizaje automático para realizar análisis de comportamiento que permiten diferenciar entre usuarios humanos y no humanos. Estas técnicas suelen sentar las bases de los servicios de protección contra el fraude y los bots.
Preguntamos a los encuestados qué protecciones de esta lista consideraban más «valiosas». Los resultados mostraron un alto grado de sofisticación en materia de seguridad, especialmente entre quienes habían implementado protecciones para API durante el último año. Al igual que en el despliegue de servicios, la identidad encabezó la lista de las protecciones más valiosas para las API.
Resulta prometedor el valor que se concede a los métodos adaptativos. No es del todo sorprendente, dado el entusiasmo con el que se han adoptado la IA y el aprendizaje automático para impulsar los servicios de seguridad. Teniendo en cuenta el volumen de datos y las consecuencias de no detectar un ataque, no sorprende que todo el sector esté recurriendo a métodos de seguridad más avanzados y adaptativos para protegerlo todo, desde la infraestructura y las aplicaciones hasta la propia empresa.
Tanto el análisis de la identidad como el del comportamiento son componentes importantes de una estrategia de seguridad integral, especialmente en el caso de las API, dado el papel cada vez más relevante que desempeñan como motor de la economía digital. La inspección también sigue siendo fundamental, ya que muchos ataques —en particular, el malware y el contenido malicioso— suelen identificarse fácilmente mediante una firma única que puede compararse con la carga útil de una transacción de API. La rapidez de identificación es tan importante como la certeza a la hora de detectar un posible ataque, y la inspección sigue siendo un método rápido y fiable para identificar contenido malicioso.
Por último, observamos que la implantación de tecnologías relacionadas con la identidad es consecuencia de la transformación digital acelerada por la COVID-19. Preguntamos a los encuestados qué cambios estaban realizando en sus estrategias de seguridad tras la pandemia. Más de una cuarta parte (26 %) ha implantado una solución contra el relleno de credenciales y el 34 % ha implementado marcos de seguridad para API.
La primera cifra es la relevante para este tema, ya que el relleno de credenciales consiste precisamente en proteger la identidad (las credenciales) de las personas en un mundo digital. Dado el increíble aumento de las opciones digitales para todo tipo de empresas durante la pandemia, resulta alentador ver que al menos algunas se toman en serio su responsabilidad de proteger la identidad.
Esta es una tendencia de seguridad que evoluciona con relativa rapidez y esperamos que siga extendiéndose a medida que las organizaciones amplíen aún más su presencia en la economía digital. La importancia de las API anticipa la necesidad de identificar con mayor precisión al «usuario» de las API, especialmente ante su creciente relevancia en la automatización, las arquitecturas de aplicaciones nativas de la nube, los ecosistemas digitales y, por supuesto, el IoT. Proteger las API en una economía digital no es solo una cuestión tecnológica, sino también empresarial.
Pero esta tendencia también pone de manifiesto la importancia de la identidad en un mundo digital y explica por qué resulta solo relativamente sorprendente que los servicios relacionados con la identidad encabecen la lista de las tecnologías de seguridad y entrega de aplicaciones más implementadas en 2022.
Este cambio hacia la identidad que revela nuestra investigación también es significativo, ya que el mercado está adoptando la confianza cero como enfoque fundamental de la seguridad. El 40 % de los encuestados señaló la confianza cero como la tendencia o tecnología «más interesante». Como modelo arquitectónico, la confianza cero se centra en garantizar la seguridad y protección de las aplicaciones y la infraestructura mediante el diseño de redes con microperímetros seguros y la reducción de los riesgos al restringir los privilegios y el acceso de los usuarios.
En el centro de la confianza cero hay una pregunta sencilla: «quién debe tener acceso a un recurso?». Aunque responder a esa pregunta y aplicar las políticas resultantes en el núcleo, la nube y el perímetro implica, sin duda, muchos más aspectos, sin la identidad todo el enfoque se viene abajo.
Está por ver si la identidad seguirá siendo una prioridad, pero, dado que tendencias emergentes como la Web3 también hacen especial hincapié en la identidad como elemento fundamental, creemos que es probable que el giro de la seguridad hacia la identidad no haya hecho más que empezar.
Consulta otros artículos del blog para profundizar en temas específicos:
Estado de la estrategia de aplicaciones 2022: análisis de 8 años de tendencias ›
Estado de la estrategia de aplicaciones 2022: La complejidad de la multinube persiste ›
Estado de la estrategia de aplicaciones 2022: tendencias de rendimiento ›
Estado de la estrategia de aplicaciones 2022: Es hora de modernizar las operaciones ›
Estado de la estrategia de aplicaciones 2022: El futuro de las empresas es adaptativo ›
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.