Para lograr una seguridad consistente para la nube híbrida, mire hacia la nube
Ya en 2009, cuando la nube apenas empezaba a cobrar importancia como la tecnología con más probabilidades de revolucionar, bueno, todo, muchos de nosotros empezamos a considerar el problema de la consistencia a nivel de infraestructura. Bajo el nombre de “infraestructura 2.0”, analizamos el papel de la programabilidad (API, plantillas, modelos de configuración) y la cuestión de lograr un suministro y una aplicación de políticas consistentes en lo que entonces llamamos un mundo “intercloud” .
Hoy lo llamamos híbrido o multi-nube, y la pregunta sigue siendo: ¿cómo logramos consistencia de políticas en un entorno que incorpora modelos de infraestructura tradicionales con computación en la nube?
Y sigue siendo un problema. CloudPassage, un proveedor de seguridad en la nube administrada, encargó una encuesta que obtuvo más de 1000 respuestas sobre el tema de la nube y la seguridad, y descubrió que la "coherencia en toda la infraestructura de TI" y la "protección continua" eran los factores más importantes para proteger la infraestructura en la nube, con un 60% y un 58% de los encuestados de acuerdo, respectivamente. Cuando se preguntó sobre los métodos para cerrar la brecha de seguridad en la nube que sigue afectando a las organizaciones, el método número uno citado fue la "capacidad de aplicar políticas de seguridad consistentes y continuas".
Este deseo de paridad de políticas entre la nube y las instalaciones locales se mostró nuevamente cuando Nosotros (el Nosotros corporativo) realizamos nuestra encuesta anual sobre el estado de la entrega de aplicação este año, en la que el 48 % de los más de 3000 encuestados citó "la paridad de seguridad y auditoría con las instalaciones locales" como uno de los tres principales requisitos de seguridad para la adopción de la nube.
El problema que intentamos abordar en 2009 sigue siendo: ¿cómo logramos la paridad de políticas en la infraestructura local y en la nube sin reducir la seguridad a su mínimo indispensable para poder admitir el conjunto más amplio de opciones posible? Después de todo, los modelos de configuración de los distintos proveedores ya varían ampliamente. Añadir la computación en la nube a la combinación solo aumenta la variedad de modelos y métodos utilizados para gestionar y controlar la seguridad. Una política de seguridad de aplicación estándar utilizada para implementar una política de firewall de aplicação web (WAF) en las instalaciones, por ejemplo, no puede ser simplemente reutilizada por un proveedor de nube. Se debe crear una política distinta, que luego debe mantenerse, gestionarse y auditarse. Para lograr la paridad en tales situaciones es necesario prestar mucha atención a garantizar que ambas políticas apliquen la misma seguridad en ambos entornos.
Esto es insostenible. Es operativamente difícil, administrativamente costoso y está plagado de potenciales errores. Errores costosos.
Una de las formas de lograr la consistencia deseada es precisamente mirar a la nube misma, a aquellos servicios de seguridad que se pueden ofrecer como servicio , en la nube. Por lo general, estos servicios se pueden identificar como ascendentes respecto de la aplicação y responsables de la inspección y limpieza antes de que se permita que las solicitudes de la aplicação lleguen a la aplicação. La prevención de DDoS, los servicios WAF, la mitigación de SPAM y la detección de malware se encuentran todos en la categoría de servicios de aplicação ascendentes que se pueden descargar de manera efectiva a un servicio basado en la nube para garantizar la coherencia de las políticas en todas las aplicações, independientemente de si están en la nube o en las instalaciones. De la misma manera que una CDN descarga los servicios de almacenamiento en caché, estas opciones de seguridad como servicio brindan consistencia para entornos de múltiples nubes porque pueden usar las mismas políticas o políticas base en múltiples aplicações y entornos.
La necesidad de una aplicación coherente de políticas, en particular las relacionadas con la seguridad, sólo crecerá a medida que la Internet de las cosas se vuelva más frecuente y las organizaciones sigan expandiendo su presencia no sólo en la nube, sino en muchas nubes. La variedad puede ser la sal de la vida, pero por seguridad, muchos cocineros arruinan la sopa. Y si pudiera encontrar un modismo más para mezclar con mis metáforas, lo haría porque ilustra existencialmente el desafío que necesita abordarse.
La seguridad ya es bastante difícil de por sí. Agregar más entornos, más sistemas y más políticas diferentes a la mezcla solo hace que sea más difícil. Y en un mundo donde hay escasez de talento en seguridad, tiene sentido buscar y aprovechar cualquier solución que facilite no solo la implementación y gestión, sino también la aplicación de políticas de seguridad en un mundo cada vez más multifacético.