Por Ramón Salas, director regional NOLA de Dynatrace.
¿Por qué la seguridad en nuestras aplicaciones es importante? Cuanto más rápido y menor el tiempo que se dedique al proceso de desarrollo de software en el que se puedan encontrar y solucionar los problemas de seguridad, más segura estará su empresa.
A pesar de haber invertido en múltiples herramientas para administrar las amenazas a la seguridad, las organizaciones continúan teniendo puntos ciegos e incertidumbre sobre las exposiciones y su impacto en las aplicaciones nativas de la nube. Cuando se detectan vulnerabilidades, los enfoques actuales requieren procesos manuales que entreguen análisis de riesgo e impacto imprecisos y obliguen a los equipos a perder el tiempo persiguiendo falsos positivos.
De acuerdo a las cifras presentadas por el IDC en su estudio “Predicciones del 2020 de la industria TI en Latinoamérica”, se estima que para el 2022 más del 50% de las empresas en la región contarán con gestión de funciones y aplicaciones en la nube, lo que las conducirá a integrar tecnologías, herramientas y procesos de gestión unificados y 360. Mientras que para el año siguiente, 2023, se estima que el número de aplicaciones y servicios digitales con enfoque nativo desde la nube sobrepase los 15 millones. Asimismo, se espera que para el 2025 más de la mitad del sector empresarial de América Latina sea productor de software y, de ahí que el 90% de las aplicaciones sean nativas en la nube.
La importancia de implementar mecanismos y procesos de seguridad en las aplicaciones nativas en la nube, figura como otro aspecto que irá a la alza en los años venideros ya que, el entorno nativo desde la nube, los contenedores, microservicios y plataformas como los Kubernets son altamente dinámicos y ágiles; de ahí que las organizaciones ya están apostando por la integración de stacks de aplicaciones nativas en la nube para conseguir agilidad en sus procesos, adoptando nuevas tecnologías e incrementando su desarrollo de código, sin embargo, los equipos de IT se ven aventajados. Los enfoques manuales existentes no son suficientes para atender el alto dinamismo del ecosistema de la nube, el cual, supera indiscutiblemente la capacidad humana al tener miles de interacciones, como consecuencia de ello, se da a lugar la la irrupción de intrusos o la falla de los escáneres de seguridad al no detectar vulnerabilidades debido a la enorme cantidad de actividades, interacciones e intercambios que experimentan las aplicaciones.
Cuando se detectan vulnerabilidades en la seguridad de las aplicaciones, los enfoques actuales requieren procesos manuales que entreguen análisis de riesgo e impacto imprecisos y obliguen a los equipos a perder el tiempo persiguiendo falsos positivos.
Las aplicaciones nativas de la nube están rompiendo los viejos modelos de seguridad centrados en solo la protección del perímetro. Dichas herramientas de seguridad fueron construidas a fin de desarrollar cascadas de respuesta, y por lo tanto atascan a DevOps. Aunado a eso, su implementación y mantenimiento consumen mucho tiempo, son complicadas de desarrollar y particularmente están llenos de falsos positivos, orillando a que las organizaciones tengan que elegir entre lento y seguro o rápido pero peligroso. Como resultado, un número cada vez mayor de vulnerabilidades introducidas por las bibliotecas de código abierto y de terceros pueden pasar fácilmente desapercibidas sin un equipamiento fiable o actualizado.
Los enfoques tradicionales y arcaicos de seguridad son incapaces de dar respuesta al dinamismo del entorno de la nube, asimismo ciertos escáneres fallan al detectar las vulnerabilidades y amenazas. Hoy por hoy, las DevSecOps deben adaptarse y desarrollar nuevas soluciones adecuadas al ecosistema de la nube, contenedores, microservicios, plataformas y kubernetes, a fin de que las organizaciones puedan hacer frente a los retos que se aproximan para los próximos años.
Los equipos de IT no cuentan con el tiempo suficiente para hacer los análisis, evaluaciones y gestiones de riesgos de la tradicional forma manual basándose solamente en los resultados de muestras o escaneos programados. Por el contrario, ante el inminente crecimiento del uso de aplicaciones nativas desde la nube y de la penetración del entorno digital en todos los sectores empresariales, es necesario implementar soluciones que proporcionan una visibilidad en tiempo real, un análisis continuo de los servicios y funcionalidades, así como una búsqueda de las probables vulnerabilidades y amenazas.
Al respecto, Bernd Greifeneder, fundador y CTO de Dynatrace, dijo: “Las metodologías de entrega ágiles y continuas también han aumentado el desafío. Los despliegues escalonados, las pruebas A/B, las pruebas Beta, los despliegues azul-verde, los retrocesos y los programas de acceso temprano ayudan a asegurar la implementación y adopción sin problemas de nuevo software, pero también significan que las organizaciones a menudo están ejecutando múltiples versiones concurrentes en producción, perdiendo la supervisión y dejando exposiciones si no se escanean continuamente en la producción. El uso de Kubernetes también significa que la orquestación de todo esto a menudo se cruza con los sistemas de producción, lo que aumenta el riesgo de que las vulnerabilidades puedan colarse y ser explotadas”.
“En 2021, las organizaciones comenzarán a buscar capacidades de observación continua y autoprotección de las aplicaciones en tiempo de ejecución para hacer frente a estos desafíos, permitiendo a sus equipos gestionar y resolver proactivamente las vulnerabilidades de manera más eficaz tanto en los entornos de producción como en los de preproducción”.
Con una sola plataforma, como Dynatrace Application Security, se impulsa la colaboración eficaz de DevSecOps y la gestión automatizada de la vulnerabilidad con lo que se logra un enfoque totalmente automático para la detección de vulnerabilidades sin necesidad de configuración. El ecosistema de las aplicaciones nativas desde la nube tiende a la alza para los próximos años y con ello la seguridad en esos mismos entornos.
Ante el dinamismo y los retos que la implementación de códigos y funcionalidades sugiere, las vulnerabilidades y amenazas cambian, los mecanismos tradicionales de defensa y seguridad deben a su vez automatizarse a fin de hacer frente a los retos de los próximos años.
