Políticas comunes o servicios nativos: cómo abordar la seguridad multinube
“Los servicios nativos de la nube funcionan, hasta cierto punto. Agilizan el desarrollo de aplicaciones que satisfacen las necesidades de la mayoría de los clientes. Sin embargo, estos servicios son específicos de un único proveedor de nube y carecen de la flexibilidad necesaria para adaptarse a aquellos clientes cuyas necesidades no coinciden con las de la mayoría. Integrar proveedores externos que ofrezcan funciones y políticas de seguridad comunes para varios proveedores de nube puede ayudarle a dar cabida a aplicaciones que hayan superado las capacidades de los servicios nativos. De este modo, podrá seguir utilizando varios servicios nativos en un entorno multinube y, al mismo tiempo, garantizar una postura de seguridad coherente y conforme con la normativa en todas sus aplicaciones.”
Políticas comunes o servicios nativos: cómo abordar la seguridad multinube
Los servicios de seguridad nativos de la nube reducen la eficiencia operativa en entornos multinube.
La seguridad de las aplicaciones se está desplazando hacia las primeras fases del desarrollo. Como resultado, los equipos de DevOps asumen cada vez más responsabilidades en materia de seguridad. Aunque su experiencia en los procesos del ciclo de vida del desarrollo les permite incorporar eficazmente los requisitos de seguridad en las primeras etapas del ciclo de vida del software, es posible que estos equipos no dispongan de los recursos necesarios para anticiparse a las amenazas ni de conocimientos suficientemente amplios para implementar las distintas soluciones y políticas de seguridad necesarias para proteger las aplicaciones modernas.
Los servicios de seguridad nativos de la nube ofrecen a los equipos de DevOps y a los desarrolladores de las unidades de negocio opciones específicas para cada plataforma que se adaptan bien a muchos requisitos de las aplicaciones. Sin embargo, a medida que las organizaciones adoptan cada vez más soluciones multinube, los costes de estos servicios nativos empiezan a superar sus ventajas. Si en una única plataforma en la nube bastaban unos pocos servicios de seguridad, para proporcionar la misma protección en dos o más plataformas se necesitan muchos más. Cada plataforma tiene sus propios requisitos de gestión de identidades, políticas de seguridad, API y procedimientos de gestión, lo que reduce la eficiencia general. Aumentar la eficiencia operativa y la seguridad es una prioridad absoluta para las iniciativas de transformación digital y los objetivos de liderazgo de las empresas.
Menor eficiencia debido a la sobrecarga de gestión
La complejidad de implementación y gestión asociada a los servicios de seguridad nativos constituye la primera fuente importante de ineficiencia operativa. Las dificultades que conlleva gestionar todos los componentes de varios servicios de seguridad nativos pueden tener graves consecuencias negativas para una empresa. Brechas de seguridad debidas a errores de configuración se aprovecharon en el 66 % de los ataques (ya fuera explotando un fallo en el cortafuegos de aplicaciones web para acceder a las credenciales de las cuentas o aprovechando un recurso mal configurado). Los ingenieros de DevOps tienen la misión de lograr la comercialización en el menor tiempo posible. Reducir la carga asociada al mantenimiento y la comprensión de las políticas de seguridad de varios proveedores de servicios en la nube permite a los equipos de DevOps centrar mejor su atención y sus recursos en ese objetivo.
“Retos para las operaciones de seguridad: encontrar personal cualificado (39 %), garantizar el cumplimiento normativo (38 %), obtener visibilidad de la infraestructura (36 %) e implementar políticas de seguridad coherentes (33 %).”
Recurrir a un proveedor externo que pueda aplicar una política de seguridad coherente en todas las aplicaciones de un entorno multinube puede reducir significativamente la carga de trabajo asociada a la implementación de la seguridad que recae sobre los equipos de DevOps. El uso de este tipo de servicio puede reducir la frecuencia con la que las configuraciones de seguridad incorrectas llegan a los entornos de producción. Además, simplifica la integración de políticas y configuraciones en las canalizaciones de CI/CD al proporcionar a los equipos de DevOps un conjunto de herramientas de automatización que pueden utilizarse para la estandarización, lo que, a su vez, permite integrar los servicios de seguridad en las cadenas de herramientas de automatización empresarial existentes.
Reducción de la eficiencia debido a una menor visibilidad de la seguridad de la infraestructura en la nube
La escasa visibilidad de la seguridad de la infraestructura en la nube es otra causa de la reducción de la eficiencia operativa derivada del uso de servicios de seguridad nativos. Aunque las organizaciones se benefician de una implementación más rápida al utilizar servicios nativos, el 36 % de los encuestados reconoce que estos servicios nativos no ofrecen una visibilidad adecuada de la infraestructura de seguridad en la nube. Aunque los equipos de DevOps asumen cada vez más la implementación y la gestión de la seguridad de las aplicaciones, la supervisión de la seguridad empresarial y la elaboración de informes siguen siendo responsabilidad de los equipos de SecOps. El uso de servicios de seguridad en la nube distribuidos y nativos implica que, de forma predeterminada, los informes y análisis de seguridad también estarán distribuidos y serán específicos de cada nube. La naturaleza distribuida de los análisis dificulta la comprensión del panorama de seguridad del sistema en su conjunto. Como resultado, es posible que los equipos de SecOps solo puedan ofrecer recomendaciones aisladas y específicas para cada proveedor. El uso de servicios de seguridad comunes, implementados mediante un proveedor estandarizado de seguridad multinube, garantiza que se apliquen las mismas políticas de seguridad en todas las aplicaciones. Esto permite a los equipos de SecOps formular recomendaciones basadas en análisis de seguridad compartidos que beneficien a todo el sistema.
Reducción de la eficiencia debido al aumento de la carga de cumplimiento normativo
La necesidad de adoptar una estrategia de seguridad multinube que garantice el cumplimiento normativo entre distintos proveedores de servicios en la nube es otra fuente de ineficiencia operativa de los servicios de seguridad nativos. Los equipos de DevOps deben cumplir tanto los requisitos de seguridad internos como los del sector. Tradicionalmente, los equipos centralizados de seguridad de la información ayudan a establecer y auditar los controles de seguridad de las aplicaciones, especialmente en organizaciones como las de los sectores sanitario y financiero, que trabajan con información personal sensible o protegida. Con el desplazamiento de la seguridad de las aplicaciones hacia fases más tempranas, DevOps tiene ahora tanta responsabilidad como SecOps a la hora de mantener la conformidad con los requisitos de seguridad de la empresa. Resulta difícil mantener dichos requisitos cuando las políticas de seguridad nativas son específicas de un proveedor de servicios en la nube concreto, ya sea AWS, Azure o Google Cloud. Las auditorías también pierden eficiencia. La implementación de políticas de seguridad comunes para entornos multinube reduce el tiempo dedicado a auditar las configuraciones de seguridad. La incorporación de soluciones de visibilidad puede permitir a una organización crear un punto único de gestión que reduzca la complejidad de las pruebas de cumplimiento normativo y mejore la colaboración entre equipos.
“El 96 % de las organizaciones están preocupadas por su nivel actual de seguridad en la nube. La pérdida de datos, la detección y respuesta ante amenazas y la gestión multinube encabezan la lista de sus principales preocupaciones.”
La adopción de políticas de seguridad comunes mejora la eficiencia de DevSecOps
Los cambios en las prácticas de desarrollo de aplicaciones han ampliado las responsabilidades relacionadas con la seguridad que recaen en el ámbito de DevOps. Por ello, resulta más preciso denominar a estos equipos DevSecOps y reconocerlos como parte del modelo operativo de seguridad SecOps. El uso continuado de políticas de seguridad nativas y específicas de cada proveedor añade una importante carga de gestión, lo que elimina gran parte de las ventajas del modelo DevOps. La estandarización en torno a una solución de seguridad empresarial multinube aumenta la eficiencia operativa y brinda oportunidades para colaborar con nuevos socios estratégicos de seguridad, reduciendo el riesgo de pérdida de eficiencia operativa al adoptar un entorno multinube.
Contenido relacionado
El laboratorio de F5 Cloud Services ya está en GitHub
Descubre cómo los profesionales de DevOps se están adaptando a un mundo centrado en las aplicaciones.
Explora DevCentral