Por qué todos los organismos federales necesitan una estrategia de aplicaciones empresariales y cómo crearla

Introducción

Los responsables de TI de las agencias federales estadounidenses deben mantener un delicado equilibrio para aportar más valor y, al mismo tiempo, reducir el despilfarro y minimizar las pérdidas derivadas de los ciberataques. Por un lado, deben adoptar las tecnologías más recientes para mejorar la eficiencia, aportar más valor y ahorrar dinero a los contribuyentes. Por otro, se enfrentan a un panorama de amenazas en constante evolución y expansión, cuya mitigación exige importantes recursos. En definitiva, en cada iniciativa y cada decisión deben innovar y proteger a la vez. Para conciliar estos objetivos aparentemente contrapuestos, los responsables federales de TI deberían desarrollar una estrategia de aplicaciones empresariales adaptada a la misión de su organización.

Dando paso a la era de las aplicaciones

El 65 % de los encuestados en el informe Estado de los servicios de aplicaciones de F5 de 2019 afirmó que sus organizaciones se encuentran inmersas en un proceso de transformación digital. La transformación digital es una nueva forma de que las organizaciones utilicen la tecnología para lograr mejoras sustanciales en el rendimiento y la productividad de los usuarios.

En resumen, las aplicaciones se están convirtiendo en el propio negocio o en la propia misión.

Para aprovechar este cambio radical, las organizaciones están llevando a cabo transformaciones de gran calado con el objetivo de adoptar nuevos modelos operativos empresariales y de TI, como:

• Depender de servicios SaaS, como el correo electrónico y las herramientas de productividad en la nube
• Contenerización de aplicaciones personalizadas para simplificar la gestión y reducir costes
• Uso de servicios de seguridad en la nube para detectar ataques rápidamente y aplicar políticas en función de las normas de la organización.

Las aplicaciones se distribuyen a distintos tipos de dispositivos. Los usuarios que acceden a ellas ya no se encuentran en entornos empresariales tradicionales, sino que utilizan dispositivos móviles o trabajan desde casa. La prestación de funciones esenciales para el negocio, como CRM, ERP y todas las demás, debe permitir el acceso desde fuera de la red empresarial tradicional.

El Informe de protección de aplicaciones de F5 Labs de 2018 reveló que una organización media del sector público utiliza 680 aplicaciones, de las cuales el 32 % se consideran esenciales para su misión.

Además de este enorme crecimiento de las aplicaciones, las organizaciones las están implementando en nuevas arquitecturas y servicios. El estudio State of Application Services de 2019 indica que el 14 % de las organizaciones encuestadas han adoptado los contenedores como método predeterminado de aislamiento de las cargas de trabajo de las aplicaciones y que el 87 % de los encuestados están adoptando una arquitectura multinube. La propia Oficina de Administración y Presupuesto (OMB) promueve una «estrategia inteligente para la nube»¹ para migrar a una red en la nube segura y protegida.

Comprenda la superficie de ataque en rápida expansión

Las organizaciones gubernamentales y comerciales no son las únicas que utilizan la tecnología para agilizar procesos, ofrecer nuevos servicios y aportar más valor. Los ciberdelincuentes, los grupos militantes y los agentes de amenazas vinculados a Estados también están innovando a un ritmo vertiginoso en sus capacidades de ciberataque. A medida que hemos mejorado la protección de nuestras redes e infraestructuras, los ciberatacantes han empezado a centrar su atención en objetivos más vulnerables.

Los objetivos vulnerables se utilizan para infiltrarse en activos de gran valor que pueden almacenar información sobre el personal o información clasificada. Los estudios de F5 Labs muestran que el 86 % de los ciberatacantes atacan directamente las aplicaciones o roban identidades de usuario, normalmente mediante phishing.²

Los atacantes están descubriendo que, a veces, es más fácil atacar de forma indirecta. Una manera de hacerlo es dirigirse a aplicaciones menos importantes, como los dispositivos IoT, y utilizarlas para ampliar sus privilegios de acceso. Así ocurrió cuando unos delincuentes piratearon un casino estadounidense a través del termómetro de un acuario situado en el vestíbulo y lo utilizaron como punto de entrada a la base de datos de grandes apostadores.³ Del mismo modo, la devastadora brecha de seguridad que sufrió Target en 2013 comenzó con la explotación de una vulnerabilidad de su proveedor de sistemas de climatización y terminó con el acceso ilícito al sistema de punto de venta y el robo de los datos de 40 millones de tarjetas de crédito.⁴

Si no se gestionan adecuadamente, el código abierto y otros componentes y servicios de terceros también pueden entrañar riesgos. El informe «State of the Software Supply Chain 2018» de Sonatype señala que una de cada ocho descargas de componentes de código abierto contiene una vulnerabilidad de seguridad conocida.⁵ Las organizaciones, incluidas las del sector público, aprovechan el código abierto porque agiliza el desarrollo y la entrega. Sin embargo, estas mismas organizaciones a menudo no incluyen los componentes de código abierto en los análisis de seguridad ni en los procesos de revisión. Estos componentes pasan a formar parte de la cartera de aplicaciones y deben someterse al mismo nivel de escrutinio que el código personalizado. Esto incluye tanto los componentes del lado del servidor (p. ej., paquetes NPM y bibliotecas) como los del lado del cliente.

Ahora que las aplicaciones desempeñan un papel cada vez más importante en la consecución de los objetivos de las organizaciones, su crecimiento está superando la capacidad de la mayoría de ellas para ampliar sus operaciones. El modelo tradicional de seguridad perimetral no es escalable y tiene una eficacia limitada a la hora de prevenir amenazas. Una vez que se vulnera un objetivo fácil, los activos de gran valor quedan expuestos. Las nuevas arquitecturas y modelos de despliegue plantean aún más dificultades a las medidas de seguridad tradicionales. Las aplicaciones se despliegan en ubicaciones dispersas y utilizan servicios de aplicaciones multinube para mejorar el rendimiento. Mientras tanto, la superficie de ataque asociada a las aplicaciones crece exponencialmente.

La supervisión continua cerca de las aplicaciones y los objetivos vulnerables es importante para garantizar la seguridad sin sacrificar el rendimiento. La integración de soluciones inteligentes de seguridad en la nube puede funcionar conjuntamente con la aplicación para mitigar rápidamente las amenazas y proteger los datos confidenciales. Se pueden enviar pequeños conjuntos de datos a la nube para identificar posibles amenazas comparándolos con millones de artefactos almacenados en ella. Esto permite determinar si un cliente es un bot o un usuario real.

Un servicio de reducción del fraude puede trabajar con una aplicación para interactuar con actores maliciosos, obtener más tipos de datos y prevenir el fraude a gran escala. El perfil completo del fraude puede enviarse al sistema de supervisión continua de la organización para tomar medidas, evitar la propagación del ataque, determinar la ubicación de los sistemas comprometidos y proporcionar instrucciones para eliminar la amenaza de los equipos infectados. Los analistas pueden facilitar la información al equipo de operaciones para que la analice en mayor profundidad.

Aproveche la multinube y el SaaS en su beneficio

Por si la situación no fuera ya lo bastante compleja, las agencias federales están adoptando implementaciones multinube y SaaS para disfrutar de una mayor flexibilidad y disponibilidad, reducir la dependencia de un proveedor y, en algunos casos, aprovechar unos costes más bajos. La cuestión es: ¿cómo pueden ofrecer una experiencia de aplicaciones estandarizada, segura y fluida en arquitecturas híbridas, multinube y SaaS sin superar el presupuesto asignado?

Las agencias pueden utilizar su solución perimetral en puntos de conexión de confianza a Internet para proteger la conectividad con entornos SaaS y multinube. Esto puede causar problemas de rendimiento, ya que las agencias disponen de un número limitado de puntos de conexión. Por motivos de seguridad, las aplicaciones de acceso público deben pasar por estos puntos, lo que introduce latencia. Las ventajas de contar con aplicaciones escalables y de alto rendimiento desaparecen, puesto que el tráfico debe seguir una ruta de «trombón» para garantizar la seguridad.

Las soluciones perimetrales también se basan en firmas estáticas. Si surge una nueva amenaza y un proveedor de seguridad en la nube ya la ha analizado, la información no se transmitirá al sistema perimetral para impedir el ataque. Las firmas pueden tardar entre un día y una semana en actualizarse. Para cuando la firma se haya creado y actualizado en el sistema de seguridad perimetral, es posible que los activos de alto valor ya se hayan visto comprometidos.

Estandarización de los servicios de aplicaciones

La estandarización de los servicios de aplicaciones multinube y SaaS —las soluciones implementadas para proteger, gestionar y optimizar sus aplicaciones— reduce la complejidad operativa asociada a una arquitectura multinube.

Por ejemplo, es más fácil de gestionar —y resulta más eficaz disponer de— un servicio que funcione en el ámbito de las aplicaciones empresariales, como la invocación de API mediante código y los sistemas basados en eventos, que uno específico de una plataforma, como tener que utilizar un servicio de colas de mensajes propio de un proveedor. Habilitar un mismo conjunto de funcionalidades en todas las aplicaciones reduce la carga operativa. Al adoptar una plataforma estándar para el mayor número posible de servicios de aplicaciones, las organizaciones pueden aprovechar una mayor automatización y reutilizar más código para lograr procesos operativos coherentes, predecibles y repetibles.

Desarrollo de una estrategia de aplicaciones empresariales

En una época en la que muchas organizaciones nacidas en la nube ni siquiera cuentan con un departamento de TI, las arquitecturas de TI y los procesos operativos tradicionales distan mucho de satisfacer las expectativas de los desarrolladores de aplicaciones y los equipos de DevOps. El deseo de lanzar aplicaciones con mayor rapidez suele llevar a prescindir de los equipos tradicionales de redes y seguridad, así como de los procesos operativos y de seguridad asociados. De hecho, proteger la cartera de aplicaciones empresariales depende tanto de las personas y los procesos como de la tecnología.

Para gestionar el rendimiento y, lo que es más importante, los riesgos en este entorno multinube tan disperso, las organizaciones necesitan soluciones con urgencia. Independientemente de dónde se alojen las aplicaciones, las soluciones deben permitir la implementación de políticas coherentes, gestionar las amenazas, proporcionar visibilidad y facilitar la supervisión del estado y el rendimiento de las aplicaciones. Una solución inadecuada podría reducir fácilmente los beneficios de una transformación digital si obstaculiza la innovación y la agilidad de los equipos de desarrollo de aplicaciones y DevOps.

Dado el creciente valor —y perfil de riesgo— de las aplicaciones, todos los organismos federales deben desarrollar una estrategia de aplicaciones empresariales que aborde cómo se crean o adquieren, implementan, gestionan y protegen las aplicaciones de la cartera empresarial.

Paso 0: Alinear los objetivos de la estrategia de aplicaciones con la misión de la organización

Resumen: Aproveche esta oportunidad para crear una estrategia de aplicaciones empresariales que esté en consonancia con la misión y los objetivos de su organismo federal.

El objetivo fundamental de la transformación digital es sustituir los procesos engorrosos y manuales por aplicaciones eficientes y con abundantes datos. Por tanto, el objetivo general de una estrategia de aplicaciones empresariales debe ser mejorar, agilizar y proteger directamente las capacidades digitales de la organización relacionadas con el cumplimiento de su misión. Se debe reducir la prioridad de cualquier aplicación o servicio de aplicaciones asociado que no sea coherente con este objetivo. Las aplicaciones de alta prioridad deben recibir recursos y medidas de seguridad adicionales, mientras que los activos de menor prioridad pueden utilizar recursos compartidos.

Esta alineación también implica tener en cuenta la situación actual, lo que incluye analizar detenidamente la estrategia de datos vigente de la empresa, los requisitos de cumplimiento normativo y el perfil de riesgo general de la organización.

En muchos casos, es probable que no se comprendan bien las limitaciones impuestas por estas distintas fuentes ni su impacto en la agilidad de los equipos de desarrollo de aplicaciones. La estrategia de aplicaciones empresariales debe aclarar el equilibrio que su organismo está dispuesto a alcanzar entre las fuerzas, a menudo contrapuestas, de la innovación, la agilidad y el riesgo.

Paso 1: Cree un inventario de aplicaciones

Resumen: Antes de empezar a modernizar, debe elaborar un inventario completo de aplicaciones.

Cuando se trata de definir una estrategia de aplicaciones empresariales, la mayoría de los equipos no tienen la suerte de poder empezar de cero. Casi todos los profesionales del sector de las TI heredan una arquitectura tecnológica fruto de décadas de sistemas dispares superpuestos a sistemas heredados que se han mantenido en funcionamiento a duras penas. Este problema puede ser especialmente grave en el Gobierno federal de Estados Unidos, en comparación con el sector comercial. Rara vez resulta sencillo migrar de forma ordenada estos componentes tecnológicos incongruentes al estado objetivo deseado. Por tanto, es necesario llevar a cabo un análisis y una investigación más exhaustivos.

Aunque pueda parecer demasiado simple, para proteger algo adecuadamente, primero hay que saber que existe y, después, poder supervisar con precisión su estado. Sin embargo, salvo contadas excepciones, la mayoría de las organizaciones no pueden indicar con certeza cuántas aplicaciones tienen en su cartera, y mucho menos si dichas aplicaciones están en buen estado y son seguras. El Informe de protección de aplicaciones de F5 Labs de 2018 reveló que el 62 % de los responsables de seguridad de TI tienen poca o ninguna confianza en conocer todas las aplicaciones de su organización.

Qué incluir en el inventario de aplicaciones

Un inventario de aplicaciones es el elemento más básico de cualquier estrategia de aplicaciones. Se trata de un catálogo de todas las aplicaciones, tanto si se ofrecen internamente como a otras entidades (por ejemplo, a otros organismos públicos) o externamente (por ejemplo, al público), que incluye:

• Una descripción de la función que desempeña la aplicación o el servicio digital
• El origen de la aplicación (p. ej., desarrollo a medida, software comercial o servicio de terceros)
• Los elementos de datos clave a los que la aplicación necesita acceder o que necesita manipular
• Otros servicios con los que se comunica la aplicación
• Componentes de código abierto y otros componentes de terceros que forman parte de la aplicación
• La persona o personas, o el grupo o grupos, responsables de la aplicación

Cómo elaborar el inventario

Crear por primera vez el inventario de aplicaciones suele ser una tarea laboriosa que requiere mucho tiempo. Una forma sencilla de detectar aplicaciones no autorizadas consiste en convertir el inventario de aplicaciones en una lista de permitidas; las aplicaciones que no figuren en ella simplemente no podrán acceder a los recursos de la empresa (por ejemplo, la red). Para localizar aplicaciones externas a su organización, puede resultar muy útil una herramienta como un agente de seguridad de acceso a la nube (CASB). Los CASB se sitúan entre los usuarios e Internet para supervisar y registrar toda la actividad de las aplicaciones. No solo permiten saber qué aplicaciones utilizan más sus empleados (y cómo acceden a ellas), sino que también ofrecen información sobre el uso de aplicaciones de TI en la sombra.

Al adoptar un modelo de arquitectura DevOps e integrar en él sus aplicaciones, puede simplificar el proceso de inventario de cara al futuro. Una vez determinada la prioridad de una aplicación y tras incorporarla a su entorno multinube o SaaS, los desarrolladores pueden empaquetar el despliegue mediante herramientas de código abierto (por ejemplo, Ansible o GitHub). A continuación, estas herramientas gestionan el despliegue, incluidos los servicios de seguridad, la gestión de parches y el código. La información del inventario se centraliza y puede facilitarse rápidamente. De este modo, la aplicación puede estar alojada en un entorno de nube o SaaS y, aun así, seguir estando identificada por la organización.

Consideraciones sobre FedRAMP

Cada momento dedicado a garantizar la precisión de su inventario de aplicaciones repercute directamente de forma positiva en su capacidad para definir rápidamente los límites del sistema FedRAMP. También le permite localizar de forma mucho más fiable, rápida y precisa a la parte responsable de la infraestructura de una aplicación —o incluso de un componente concreto de esta— cuando el organismo certificador se lo solicite.

Por último, sus iniciativas de FedRAMP requieren que este sea un ejercicio continuo, posiblemente más de una vez al año. Se trata de un proceso constante que implica estar al tanto de las aplicaciones y los repositorios de datos que se utilizan, supervisar las necesidades de los usuarios y evaluar cómo evolucionan sus entornos de desarrollo.

Paso 2: Evalúe el riesgo cibernético de cada aplicación

Resumen: Analice el nivel de riesgo individual de cada aplicación y combínelo con todas las consideraciones de cumplimiento normativo aplicables a la hora de determinar las medidas de seguridad.

El riesgo cibernético es una preocupación importante y creciente para los responsables de TI del Gobierno de Estados Unidos. Para combatirlo, debe comenzar por evaluar el riesgo cibernético de cada una de sus aplicaciones.

Cada aplicación de su inventario debe evaluarse en función de cuatro tipos principales de riesgo cibernético:

1. Filtración de información interna confidencial (p. ej., secretos militares)
2. Filtración de información confidencial de clientes/usuarios (p. ej., expedientes de personal, historial fiscal)
3. Manipulación de datos o aplicaciones
4. Denegación de servicio a datos o aplicaciones

En el ámbito del riesgo cibernético, la importancia de un servicio digital debe medirse teniendo en cuenta el impacto financiero o reputacional que un ciberataque podría tener sobre dicho servicio, conforme a las categorías anteriores. Las organizaciones atribuirán distintos niveles de pérdidas potenciales a unos servicios y a otros, por lo que cada una deberá realizar sus propias estimaciones en función de la misión que haya definido. Por ejemplo, la FISMA exige determinar el riesgo que existe para la misión o el caso de negocio a nivel de la agencia. Sin embargo, también suele ser práctico analizar los riesgos a nivel de aplicación para estar preparados cuando los requisitos de cumplimiento de la misión se vuelvan inevitablemente más estrictos.

Consideraciones de cumplimiento normativo

En ocasiones, los cálculos de riesgos organizativos incluyen los riesgos derivados del incumplimiento de las normas, directrices y contratos aplicables. Las entidades federales están sujetas a numerosas normativas y estándares, que deben tenerse en cuenta al evaluar aplicaciones y servicios digitales. Establecer un modelo vinculado a las aplicaciones para evaluar el riesgo cibernético facilita el cumplimiento de los requisitos de CDM/ConMon y FedRAMP, ya que permite acotar el ámbito a grupos de servicios manejables y con un nivel de granularidad adecuado.

Simplificación del cumplimiento normativo con SaaS

El uso de servicios SaaS puede ayudar a reducir las preocupaciones de una organización en materia de cumplimiento normativo. Los riesgos de las aplicaciones y las cuestiones relacionadas con el cumplimiento son responsabilidad del proveedor de SaaS. Esto permite a la organización centrarse en las aplicaciones personalizadas.

Considere la posibilidad de integrar servicios de seguridad en la nube en la aplicación para proteger las cuentas de usuario, los datos financieros y la información personal. Los servicios de seguridad en la nube disponen de millones de puntos de datos que la aplicación puede utilizar para determinar si un cliente actúa de forma maliciosa o si se trata de un usuario legítimo. Dado que los puntos de datos se actualizan continuamente, es posible identificar nuevas amenazas. Las reglas pueden aplicarse a la aplicación en tiempo real y funcionar con una estrategia de seguridad empresarial existente.

Paso 3: Determine qué servicios de aplicaciones son necesarios

Resumen: Haga un inventario de los servicios de aplicaciones —las soluciones que ejecutan sus aplicaciones entre bastidores— que necesita su organización.

Las aplicaciones rara vez funcionan de forma aislada, por lo que, además de mantener un inventario de las aplicaciones, también deben gestionarse y supervisarse los servicios de aplicaciones que las ejecutan. Los servicios de aplicaciones son soluciones empaquetadas para desarrolladores de aplicaciones que mejoran la velocidad, la movilidad, la seguridad y la operatividad de una aplicación. Estos servicios aportan varias ventajas importantes a la carga de trabajo de la aplicación:

• Velocidad: El rendimiento de una carga de trabajo de una aplicación y la capacidad de ofrecerla rápidamente.
• Movilidad: El traslado sencillo de la carga de trabajo de una aplicación de un entorno de alojamiento físico o lógico a otro.
• Seguridad: La protección de la carga de trabajo de la aplicación y de los datos asociados a ella.
• Operabilidad: La garantía de que una carga de trabajo de una aplicación sea fácil de implementar y mantener en funcionamiento, y que resulte sencillo solucionar los problemas si se produce algún fallo.

Una buena forma de localizar los servicios de aplicaciones dependientes es examinar la sección Controles del Plan de Seguridad del Sistema FISMA o FedRAMP de su entorno. Esto suele revelar la presencia tanto de servicios de aplicaciones centrados en la seguridad como de otros servicios que dependen de ellos.

Aunque todas las aplicaciones pueden beneficiarse de los servicios de aplicaciones, no todas requieren los mismos servicios.

Entre los servicios de aplicaciones más habituales se incluyen:

• Equilibrado de carga
• Entrega de DNS
• Equilibrado de carga global de servidores
• Firewalls de aplicaciones web
• Prevención/protección contra ataques DDoS
• Monitorización y análisis de aplicaciones
• Gestión de identidades y accesos
• Autenticación de aplicaciones
• Puertas de enlace de API
• Control del tráfico de entrada y salida de contenedores
• Cifrado SSL

Equilibrio entre coste, seguridad y rendimiento

Todos los servicios de aplicaciones conllevan algún tipo de coste, tanto directo (por el propio servicio) como indirecto (por su mantenimiento operativo). Las aplicaciones de baja prioridad pueden utilizar capacidades compartidas para ayudar a reducir costes. Estas capacidades compartidas aportan seguridad y mantienen el rendimiento. Los activos de gran valor requieren más recursos, ya que son muy importantes para la productividad de la organización.

Cabe señalar que muchos servicios de aplicaciones están diseñados específicamente para admitir categorías muy concretas de aplicaciones. Por ejemplo, solo las aplicaciones diseñadas para prestar servicio a aplicaciones de IoT necesitan una puerta de enlace de IoT. Las aplicaciones implementadas con una arquitectura tradicional no requieren servicios de aplicaciones orientados a entornos en contenedores, por lo que es posible que los servicios de aplicaciones de control de entrada y malla de servicios no sean aplicables.

En algunos casos, puede ser necesario adquirir nuevos servicios de aplicaciones para garantizar el cumplimiento normativo o reducir el riesgo. Aunque técnicamente pueda cumplir las normas aplicables, siempre debe resistir la tentación de seleccionar los controles mínimos de referencia e insistir en elegir servicios de aplicaciones que mejoren su capacidad para hacer frente al riesgo cibernético.

Paso 4: Definir las categorías de aplicaciones

Resumen: Agrupe las aplicaciones de forma lógica según su tipo, prioridad y requisitos.

Una vez completado el inventario de aplicaciones, el siguiente paso consiste en agruparlas en categorías lógicas según las características que requieran distintos enfoques de gestión y de servicios de aplicaciones (por ejemplo, acceso a datos confidenciales o exposición a un mayor número de amenazas).

Una vez categorizadas, la política de aplicaciones empresariales debe especificar los perfiles de rendimiento, seguridad y cumplimiento que se aplicarán a los distintos tipos de aplicaciones, en función de la criticidad y la clasificación empresarial de cada aplicación.

Recomendamos empezar con cuatro niveles básicos.

Nivel 1

Características de la aplicación
Aplicaciones que considera activos de gran valor y que, además, son servicios digitales esenciales para la misión que recopilan y transforman datos sensibles

Servicios de aplicaciones necesarios
Equilibrio de carga, equilibrio de carga global de servidores, cortafuegos de aplicaciones web, protección/prevención frente a ataques DDoS, detección de bots, cifrado y descifrado SSL, gestión de identidades y accesos de usuarios, identidad y autenticación de aplicaciones/servicios, visibilidad y supervisión de aplicaciones

Características adicionales
Los servicios de aplicaciones se sitúan cerca de la aplicación y se integran en su despliegue. Proteja los datos confidenciales mediante servicios inteligentes en la nube para proteger las cuentas de usuario, los datos de tarjetas de crédito y la información personal.

Nivel 2

Características de la aplicación
Servicios digitales esenciales que proporcionan acceso a datos confidenciales

Servicios de aplicaciones necesarios
Equilibrio de carga, equilibrio de carga global de servidores, firewall de aplicaciones web, protección y prevención frente a ataques DDoS, detección de bots, cifrado y descifrado SSL, gestión de identidades y accesos de usuarios, identidad y autenticación de aplicaciones y servicios, visibilidad y supervisión de aplicaciones

Características adicionales
Proteja los datos confidenciales mediante servicios inteligentes en la nube para proteger las cuentas de usuario, la información de las tarjetas de crédito y los datos personales.

Nivel 3

Características de la aplicación
Servicios digitales esenciales que no recopilan datos sensibles ni proporcionan acceso a ellos

Servicios de aplicaciones necesarios
Balanceo de carga, balanceo de carga global de servidores, protección/prevención frente a ataques DDoS, visibilidad/supervisión de aplicaciones

Características adicionales
Puede utilizar servicios compartidos para reducir costes. Proteja los datos confidenciales mediante servicios inteligentes en la nube que protejan las cuentas de usuario, la información de las tarjetas de crédito y los datos personales.

Nivel 4

Características de la aplicación
Otros servicios digitales

Servicios de aplicación necesarios
Equilibrio de carga, visibilidad/supervisión de aplicaciones

Características adicionales
Puede utilizar servicios compartidos para ayudar a reducir los costes.

El valor de la categorización

Dado que las amenazas a las que se enfrentan las aplicaciones varían en función del entorno en el que están alojadas, esta categorización puede ampliarse para establecer diferencias según el entorno de implementación (p. ej., infraestructura local o nube pública).

Priorizar sus objetivos de esta manera también le ayuda a clasificar previamente y con facilidad las aplicaciones que implemente en los niveles FISMA/FedRAMP adecuados. Dedicar un poco de tiempo a estructurar los objetivos de su misión le permitirá invertir mucho menos tiempo en hablar con un auditor más adelante.

Ninguna organización dispone de recursos suficientes para hacer todo lo que desea en un plazo aceptable. Al priorizar sus aplicaciones, puede adoptar un enfoque de triaje para determinar qué aplicaciones necesitan reforzarse con servicios de aplicaciones, cuáles deben modernizarse o sustituirse y cuáles no merecen el esfuerzo. En el caso de las aplicaciones de esta última categoría, asegúrese de que estén aisladas del resto de la red para evitar que un termostato IoT aparentemente inofensivo provoque una brecha de seguridad en toda la red. Este proceso también incluye evaluar nuevas aplicaciones que podrían generar nuevas fuentes de valor y que, por tanto, deberían desarrollarse internamente o adquirirse a un tercero.

Paso 5: Defina los parámetros para el despliegue y la gestión de aplicaciones

Resumen: Defina los parámetros de implementación y consumo.

Una parte fundamental de cualquier estrategia de TI siempre ha sido el despliegue y la gestión operativa, y una estrategia moderna de aplicaciones empresariales añade algunos aspectos nuevos (por ejemplo, la importancia de la experiencia del usuario final). Esto incluye analizar:

• Qué arquitecturas de implementación son compatibles (p. ej., nube híbrida, multinube)
• Opciones de modelo de despliegue para cada una de las categorías de aplicaciones
• Qué nubes públicas pueden servir como puntos de acceso para las aplicaciones
• Hasta qué punto se pueden aprovechar los servicios nativos de la nube pública frente a los de terceros

Las distintas aplicaciones tienen necesidades diferentes en cuanto a los modelos de implementación y consumo. Durante esta fase de desarrollo de su estrategia de aplicaciones, debe procurar comprender claramente las distintas opciones de implementación, cada una de las cuales puede tener diferentes modelos de consumo, repercusiones en los costes y perfiles de cumplimiento/certificación.

A la hora de seleccionar modelos de despliegue, también conviene hacer un inventario de las competencias y el talento disponibles para tenerlos en cuenta en la decisión. Por ejemplo, optar por un despliegue en AWS cuando no se dispone de suficiente personal interno cualificado para gestionarlo ni se tiene acceso a profesionales externos puede ralentizar el proceso e introducir riesgos.

No olvide nunca que sus propios mecanismos de despliegue y gestión pueden estar sujetos a una autorización, ya sea conforme a FISMA o a FedRAMP ATO/P-ATO, según cuál utilice su organismo como estándar para su misión.

Paso 6: Aclare las funciones y responsabilidades

Resumen: Establezca líneas claras de responsabilidad para cada elemento de su estrategia de aplicaciones empresariales.

Además de definir sus objetivos y prioridades, la estrategia de aplicaciones empresariales también debe incluir aspectos relacionados con las funciones y responsabilidades.

Debes saber lo siguiente:

• ¿Quién tiene la autoridad para tomar decisiones sobre la optimización y la protección de la cartera de aplicaciones (p. ej., selección de tecnologías, retirada de aplicaciones y gestión del acceso de los usuarios)?
• ¿Quién tiene acceso de usuario privilegiado a cada aplicación?
• ¿Quién es responsable del despliegue, las operaciones y el mantenimiento de cada aplicación en los distintos entornos?
• ¿Quién es responsable de garantizar el cumplimiento de la política de aplicaciones empresariales?
• ¿Quién va a supervisar el cumplimiento de los objetivos de la estrategia de aplicaciones empresariales? ¿Y a quién informará de las métricas?
• ¿Quién va a supervisar que los proveedores —incluidos los proveedores de componentes o servicios de código abierto y de terceros— cumplan la normativa?
• ¿Quién se encargará de garantizar que se tengan en cuenta todas las aplicaciones y servicios de aplicaciones (a medida que estos sigan cambiando y se añadan o eliminen)?

Estas responsabilidades podrían recaer en una persona, en comités interdepartamentales o incluso en departamentos enteros. En cualquier caso, deben especificarse claramente. De hecho, puede que sea necesario definirlas con mayor precisión de la que exige su régimen de cumplimiento normativo.

Las organizaciones más avanzadas adoptarán procesos operativos y soluciones de automatización para asignar estas responsabilidades en una fase temprana del proceso de desarrollo, desde la concepción de la aplicación. En un entorno multinube con cientos o incluso miles de aplicaciones que sustentan funciones críticas, la estrategia de aplicaciones y las políticas correspondientes deben establecer líneas claras de responsabilidad.

Aplicación de la estrategia de aplicaciones empresariales

Una vez desarrollada la estrategia de aplicaciones empresariales, es necesario aplicarla para que cumpla su propósito. Los mecanismos de aplicación deben incluir medidas de protección «rígidas» integradas en la automatización de los procesos (por ejemplo, el control de acceso de los usuarios y el análisis de vulnerabilidades del código al registrarlo), así como medidas «flexibles», como la formación de los empleados y el desarrollo de capacidades o la concienciación.

Implemente controles de acceso sólidos

Su política de control de acceso debe respaldar las funciones y responsabilidades operativas definidas en la estrategia de aplicaciones empresariales y abarcar todas las aplicaciones, tanto locales como en la nube. Debe prestarse especial atención al acceso de los usuarios con privilegios debido al riesgo que suponen para la aplicación, incluido el hecho de que pueden ser objetivo de amenazas persistentes avanzadas (APT) por disponer de permisos administrativos o de superusuario en la aplicación.

Entre las medidas especiales recomendadas para los usuarios con privilegios se incluyen:

• Los usuarios con privilegios deben estar siempre en grupos separados. Deben definirse como usuarios de «alto riesgo» en su solución de control de acceso, de modo que estén sujetos a controles de seguridad que quizá no desee aplicar a todos los usuarios ni a todos los niveles de clasificación de las aplicaciones.
• Se deben exigir varios factores de autenticación remota. Si se producen intentos de acceso con credenciales válidas que no superan el segundo requisito de autenticación (en caso de que los atacantes hayan obtenido credenciales válidas a raíz de una filtración en la que se compartieron credenciales), o desde una ubicación físicamente incompatible con el último inicio de sesión válido (por ejemplo, un inicio de sesión correcto en Estados Unidos dos horas antes de que el mismo usuario intente iniciar sesión en Europa del Este), la cuenta debe bloquearse hasta que se complete una revisión de seguridad adicional.
• El acceso administrativo solo debe autorizarse al personal adecuado y debidamente formado que necesite este nivel de acceso de forma habitual para desempeñar su trabajo. Cualquier acceso temporal concedido para emergencias o proyectos especiales debe asignarse a un grupo de usuarios distinto, configurado con un sistema automatizado de supervisión del uso que avise a los administradores del sistema si olvidan retirar dicho acceso. La idoneidad de los accesos debe revisarse periódicamente y de forma independiente al equipo responsable de la aplicación o de conceder acceso a ella, a fin de evitar posibles conflictos de intereses. Si un usuario con privilegios no accede a una cuenta durante un periodo prolongado, debe evaluarse si realmente necesita dicho acceso.
• Se debe registrar debidamente todo acceso de usuarios con privilegios a las aplicaciones. Esto incluye cualquier cambio realizado por la cuenta de usuario.

Conseguir este nivel de visibilidad y automatización en torno al control de acceso en la nube puede resultar complicado y costoso, ya que estas funciones no suelen estar disponibles de forma nativa. Sin embargo, es posible obtenerlas mediante licencias de terceros y, dada su importancia, es una inversión que merece mucho la pena.

Forme continuamente a los empleados y a las partes interesadas pertinentes

Con el crecimiento constante del número de aplicaciones y la abundancia de datos disponibles en los medios que los atacantes utilizan para determinar qué aplicaciones atacar y quién tiene acceso a ellas, la formación en concienciación sobre seguridad nunca ha sido tan importante.

Dado que el spear phishing es el modus operandi de los adversarios, la formación contra el phishing debe ser una prioridad. El Informe de 2018 sobre phishing y fraude de F5 Labs reveló que formar a los empleados más de 10 veces puede reducir la tasa de éxito del phishing del 33 % al 13 %. Sin embargo, rara vez se imparte formación sobre concienciación en materia de seguridad con la frecuencia suficiente y los contenidos adecuados. Los servicios de formación genéricos, diseñados para limitarse a cumplir los requisitos normativos, conllevan el riesgo de que los empleados no comprendan su papel en la seguridad de la información ni sientan que tienen una responsabilidad personal al respecto. Si el objetivo es reducir el riesgo de una brecha de seguridad, la mejor opción es impartir formación frecuente y adaptada a su organización.

Los atacantes no se toman descansos, por lo que los empleados deben mantenerse siempre alerta. Todas las organizaciones deberían fomentar una cultura permanente de curiosidad, especialmente en el ámbito federal o entre las empresas que suministran productos y servicios al Gobierno federal. Los empleados deben ser conscientes de que son un objetivo debido a su acceso a aplicaciones y datos. También deben saber cómo utilizan ese acceso o esos datos los Estados nación hostiles, o cómo los venden ciberdelincuentes con ánimo de lucro (para que posteriormente los compren los adversarios).

Conclusión

Para garantizar el éxito de sus transformaciones digitales, todas las organizaciones deben adoptar una estrategia de aplicaciones empresariales y la política correspondiente, así como formar a sus empleados al respecto. Esto resulta especialmente crucial en el ámbito federal, dada su amplia combinación de aplicaciones heredadas, híbridas y modernas. Es un requisito indispensable para prestar con éxito un servicio digital fiable, seguro y autorizado.

Las aplicaciones son el núcleo de la transformación digital de cualquier organización y, ante la rápida evolución de la forma en que se desarrolla e implementa el software, constituyen tanto su mayor fuente de valor como su principal fuente de vulnerabilidad. Los componentes de la estrategia y la política de aplicaciones que se describen aquí proporcionan las bases esenciales para proteger las aspiraciones digitales de cualquier organización. Dado que el perfil de riesgo de su cartera de aplicaciones aumenta cada día, las organizaciones deben actuar con rapidez para formalizar su estrategia y su política.

_{¹ Estrategia Cloud Smart de la Oficina de Administración y Presupuesto
² F5 Labs: Lecciones aprendidas de una década de filtraciones de datos
³ Unos delincuentes piratean una pecera para robar datos de un casino, Forbes
⁴ La brecha de seguridad de Target se produjo por un error básico de segmentación de red, ComputerWorld
⁵ Estado de la cadena de suministro de software en 2018, Sonatype}

PUBLICADO EL 11 DE ENERO DE 2021