Estrategia sobre el estado de la aplicação 2022: La seguridad se transforma en identidad
En los ocho años transcurridos desde que lanzamos por primera vez la investigación anual que se convertiría en el Informe sobre el estado de la estrategia de aplicação , hemos visto el aumento constante de la seguridad a la cima de la pila de servicios de seguridad y entrega de aplicaciones.
La disponibilidad como categoría general, que abarca tecnologías como el equilibrio de carga, el almacenamiento en caché y las CDN, mantuvo la máxima prioridad durante aproximadamente el mismo tiempo que tardó un servidor web recién lanzado en sobrevivir sin interrupciones en Internet en 2003. Lo cual, para quienes no lo saben, no fue mucho tiempo.
La seguridad pasó casi inmediatamente a la cima de la jerarquía y se ha mantenido allí, sin oposición, desde aproximadamente 2017.
Hasta ahora.
Este año, por primera vez, vimos un servicio de seguridad no esencial ascender al primer puesto de los “más implementados”. Ese servicio es identidad .
Pero no es sólo que la identidad y el acceso se han convertido en las tecnologías más implementadas. Hay amplia evidencia a lo largo de nuestra investigación que apunta a un cambio significativo hacia la seguridad basada en la identidad.
Considere la seguridad de la API. Sí, la gente lo está utilizando. Pero profundizamos en los detalles y preguntamos sobre tipos específicos de protecciones que los encuestados consideraron valiosas. Los agrupamos libremente en tres categorías:
- Tradicional. Estas protecciones se derivan en gran medida de las protecciones basadas en web incluidas en los firewalls de aplicação web durante años. Limitación de velocidad, OWASP Top Ten y, por supuesto, cifrado/descifrado.
- Moderno. Estas protecciones han surgido en los últimos años y se han convertido en una fuente importante de seguridad para las API. Este grupo incluye la inspección de carga útil (contenido), como la búsqueda de malware y contenido malicioso, y la autenticación/autorización. Spoiler: esa es la parte de la identidad.
- Adaptado. Las protecciones adaptativas son una nueva categoría, impulsada por la capacidad de aprovechar la IA y el aprendizaje automático para realizar análisis de comportamiento que puedan diferenciar entre usuarios humanos y no humanos. Estas técnicas tienden a formar la base de los servicios de protección contra bots y fraudes.
Preguntamos a los encuestados qué consideraban las protecciones más “valiosas” en esta lista. Los resultados mostraron un alto grado de sofisticación en seguridad, especialmente entre aquellos que habían implementado protecciones de API en el último año. Al igual que con la implementación de servicios, la identidad encabezó la lista de protecciones más valiosas para las API.
Prometedor es el valor que se da a los métodos adaptativos. Esto no es del todo sorprendente dada la entusiasta adopción de la IA y el aprendizaje automático para impulsar los servicios de seguridad. Dado el volumen de datos y el impacto que puede tener pasar por alto un ataque, no sorprende que toda la industria esté recurriendo a métodos de seguridad más avanzados y adaptables para proteger todo, desde la infraestructura hasta las aplicações y el negocio mismo.
Tanto el análisis de identidad como el del comportamiento son partes importantes de una estrategia de seguridad integral, especialmente para las API, dado el papel que desempeñan cada vez más en el impulso de la economía digital. La inspección también sigue siendo clave, ya que muchos ataques (en particular, malware y contenido malicioso) suelen identificarse fácilmente mediante una firma única que puede compararse con la carga útil de una transacción de API. La velocidad de identificación es tan importante como la confianza en identificar un posible ataque, y la inspección sigue siendo un método rápido y confiable para identificar contenido malicioso.
Por último, vemos la implementación de tecnología relacionada con la identidad como resultado de la transformación digital acelerada por la COVID. Preguntamos a los encuestados qué tipo de cambios se estaban implementando en sus estrategias de seguridad tras la COVID-19. Más de una cuarta parte (26 %) ha implementado una solución de credential stuffing y el 34 % ha implementado marcos de seguridad de API.
El primer número es el relevante para este tema, ya que el credential stuffing tiene como objetivo proteger la identidad (credenciales) de las personas en un mundo digital. Dado el increíble aumento de las opciones digitales para todo tipo de empresas a lo largo de la pandemia, es alentador ver que al menos algunas toman en serio su responsabilidad de proteger la identidad.
Esta es una tendencia en seguridad que avanza con relativa rapidez y esperamos que siga volviéndose más generalizada a medida que las organizaciones amplíen aún más su presencia en la economía digital. La importancia de las API predice la necesidad de identificar con mayor precisión al "usuario" de las API, especialmente con la creciente importancia de las API en la automatización, las arquitecturas de aplicação nativas de la nube, los ecosistemas digitales y, por supuesto, la IoT. Proteger las API en una economía digital no es sólo una preocupación tecnológica, sino también comercial.
Pero la tendencia también indica cuán importante es la identidad en un mundo digital, y por qué es sorprendente ver que los servicios relacionados con la identidad ocupen el primer lugar entre las tecnologías de seguridad y entrega de aplicação más implementadas en 2022.
Este cambio hacia la identidad revelado por nuestra investigación también es significativo a medida que el mercado adopta la confianza cero como un enfoque fundamental para la seguridad. El 40% de los encuestados calificó la confianza cero como la tendencia o tecnología “más emocionante”. Como modelo arquitectónico, la confianza cero se centra en proteger las aplicações y la infraestructura mediante el diseño de redes con microperímetros seguros y la limitación de riesgos al restringir los privilegios y el acceso de los usuarios.
En el centro de la confianza cero hay una pregunta simple: ¿quién debería tener acceso a un recurso? Si bien es cierto que se necesita mucho más para responder esa pregunta y aplicar las políticas resultantes en el núcleo, la nube y el perímetro, sin identidad todo el enfoque se desmorona.
Todavía queda por ver si la identidad seguirá siendo una prioridad, pero dado que tendencias emergentes como Web3 también ponen un gran énfasis en la identidad como un concepto central, creemos que es probable que el cambio en seguridad hacia la identidad recién esté comenzando.
Consulte blogs adicionales para profundizar en temas seleccionados:
Estrategia sobre el estado de la aplicação 2022: Desempacando 8 años de tendencias ›
Estrategia sobre el estado de la aplicação 2022: La complejidad de las nubes múltiples continúa ›
Estrategia sobre el estado de la aplicação 2022: Tendencias de rendimiento ›
Estrategia sobre el estado de la aplicação 2022: Es hora de modernizar las operaciones ›
Estrategia sobre el estado de la aplicação 2022: El futuro de los negocios es adaptativo ›