Seguridad de las aplicaciones: por qué la prevención supera a la reparación

La prevención de riesgos en la cloud es una de las medidas más importantes y se ha vuelto más cierta que nunca, no sólo con la pandemia de ciberdelincuentes, sino también con la proliferación de vectores de ataque dirigidos a nuestra información personal y empresarial. La pregunta que se plantea ahora es cómo considerar el enfoque de “más vale prevenir que curar” a la hora de pensar en la seguridad de las aplicaciones como la cloud. En general, la seguridad en tiempo de ejecución implica el despliegue de aplicaciones que pueden o no estar en riesgo, mientras se ejecutan simultáneamente programas complejos y costosos en un intento de (posiblemente) mitigar los riesgos. ¿Qué pasaría si los equipos de seguridad y desarrollo cambiaran su mentalidad para abordar la posibilidad de desplegar aplicaciones configuradas para minimizar los riesgos? ¿Y si configuráramos las apps de forma que se eliminan los paquetes defectuosos y la necesidad de filtrarlos? Estos conceptos existen desde hace años, pero no todas las empresas se han sumado a ellos. He aquí cuatro razones por las que es recomendable que una organización adopte una práctica de seguridad basada en la prevención y no en la detección:

Mario García, director general de Check Point Software para España y Portugal.

El modelo tradicional de “detectar y remediar” es bastante limitante porque hay un desfase inherente entre el despliegue de una aplicación y la corrección de cualquier vulnerabilidad detectada. Aunque muchas empresas de ciberseguridad son lo suficientemente sofisticadas como para detectar vulnerabilidades o brechas, se necesita un elevado nivel de experiencia adicional para remediarlas. Con tantas herramientas en el mercado, las distintas compañías a menudo carecen de empleados que dominen una plataforma o herramienta específica.

En el modo de prevención, una empresa no puede desplegar una aplicación sin que se configure teniendo en cuenta la seguridad. La prioridad al código centrado en la seguridad es para todos. Esto contrasta totalmente con el enfoque “detectar y remediar”, en el que una vez que se ha desplegado una aplicación, es responsabilidad de la empresa de seguridad reunir a las partes interesadas necesarias para planificar y ejecutar el proceso de remediación. La prevención permite el compromiso y la alineación de todas las partes interesadas (es decir, la seguridad, el cumplimiento, el desarrollo) dentro de una empresa antes del despliegue.

Hay que imaginar el trastorno que supone arreglar algo que ya ha sido desplegado: el tiempo y los recursos que se necesitan para hacer pruebas, volver a implementar y comunicar la reparación a sus clientes. A fin de cuentas, la restauración siempre implica una interrupción y eso no es bueno para un negocio. Al reducir la alteración general que sufren las empresas y los clientes, un enfoque de prevención permite a las empresas optimizar todos sus recursos. Demasiadas empresas de seguridad han tenido que elegir sus batallas en el statu quo actual, configurando umbrales de seguridad para mantener los niveles de producción. Es más rápido y más rentable escribir un código que sea seguro desde el principio. En lugar de hacer que un programador arregle algo después del despliegue, es mucho más eficiente para el equipo de DevOps ajustar el código para que la aplicación pase las comprobaciones de seguridad.

Cuando se aplica la lógica a la aplicación en la fase de preparación, los clientes no se ven afectados. Esto se debe a que el bloqueo ha cesado, lo que reduce el número de falsas alertas (más conocí-das en el sector como “falsos positivos”) y sus costes asociados. Si se bloquea excesivamente una aplicación en vivo, demasiados clientes se verán afectados con suspensiones hasta que un miembro de los servicios de seguridad cree una nueva excepción a las reglas. Con lógica, la Inteligencia Artificial y el Aprendizaje Automático se combinan con las excepciones de los clientes para proporcionar mejores resultados y destacar las alertas de seguridad y cumplimiento que importan.

No es ningún secreto que en el entorno de la nube la mayor parte del riesgo proviene de los errores de configuración, como por ejemplo el uso incorrecto de código o las configuraciones de red. Muchas vulnerabilidades existen debido a la falta de sinergia, y los consiguientes errores de configuración, entre DevOps y seguridad. Es importante que estos equipos se pongan en marcha y desarrollen herramientas y plantillas que apliquen los parámetros de seguridad y cumplimiento necesarios en las primeras fases del desarrollo, que los analicen a lo largo de todo el ciclo de vida y que corrijan cualquier laguna de forma automática.