En un momento en que la infraestructura está migrando masivamente a la nube, la capacidad de innovar rápidamente y con agilidad se ha convertido en una verdadera ventaja competitiva. Se requieren empresas, a menudo bajo presión, para entregar aplicaciones más rápido, con seguridad reforzada y entornos en la nube cada vez más diseminados. Al mismo tiempo, los equipos responsables de la infraestructura y la seguridad de la nube están luchando por mantenerse al día con la tasa de la creciente diversidad de recursos desplegados en entornos de nubes multicloudes y híbridos. Esta velocidad impuesta al desarrollo de software a menudo rima con complejidad, riesgos de seguridad y sobrecarga operativa.
Para los seguidores de DevSecops, la seguridad a veces se percibe como un obstáculo para el desarrollo, mientras que entregar demasiado rápido puede abrir la puerta a nuevos defectos. Es necesario recurrir a una plataforma unificada que ofrece la visibilidad final para rendir y facilita la integración en cada etapa del ciclo de vida de la aplicación.
La adopción de aplicaciones nativas de nubes debe ser simple. Las tres estrategias presentadas a continuación Para simplificar el desarrollo de aplicaciones, para controlar los riesgos vinculados a la nube e integrar las mejores prácticas de la seguridad de la nube y los DevSecops en cada fase de la tubería de la aplicación.
1 – Seguridad unificada para toda la pila de aplicaciones nativas de nubes
La forma de crear y producir aplicaciones se ha transferido fundamentalmente. Los contenedores, microservicios y funciones sin servidor han tenido prioridad sobre las aplicaciones monolíticas. Todos están conectados a través de API y se implementan de manera dinámica a través de tuberías CI/CD. Sin embargo, cada capa introduce nuevos riesgos, extiende la superficie de ataque y conduce a nuevos desafíos operativos.
Gestión de estos riesgos mediante el uso de herramientas de seguridad separadas (una para la seguridad del contenedor, otro para la protección de las API y un tercero para la seguridad del entorno de producción), da lugar a flujos de trabajo fragmentados y áreas grises. Y cuando los ciclos de desarrollo se miden en horas en lugar de semanas, la seguridad debe mantener este ritmo sin obstaculizar la innovación.
Es en este contexto que una plataforma unificada es esencial. Una estrategia efectiva de plataforma de protección unificada para aplicaciones nativas de nubes (CNAPP para la plataforma de aplicación nativa de nube) reúne características previamente divididas, como la protección de las instancias de la nube, el control de la infraestructura de la nube (CIEM) y las entidades de seguridad API, en una sola solución integrada.
Con la visibilidad en toda la pila de aplicaciones, desde el código de software hasta la nube, los equipos pueden:
* Identificar y restaurar vulnerabilidades antes de implementar sus aplicaciones
* Monitorear las actividades ambientales de producción para detectar un comportamiento sospechoso
* API seguros y flujos de datos en todos los servicios
* Implementa la misma política de seguridad para todos los entornos de múltiples nubes
2 – Automatice la administración de la postura de seguridad en la nube (CSPM)
Los errores de configuración se encuentran entre las principales causas de los incidentes de seguridad. Si bien la infraestructura de la nube se extiende rápidamente, las verificaciones de configuración manual no permiten que este ritmo se mantenga. Los equipos de seguridad deben tener visibilidad permanente en los parámetros de recursos, autorizaciones asociadas con cada rol, acceso a la red y estatutos de cumplimiento.
Es por eso que la gestión de la postura de seguridad en la nube (CSPM) presenta activos sólidos. Las soluciones CSPM monitorean las configuraciones en todos los recursos en la nube y se implementan las prácticas de tiempo real y real. Sin embargo, no todas las herramientas CSPM son tan eficientes. Las mejores alertas de emits, pero haz más en:
* Priorizar los riesgos de acuerdo con su probabilidad de dar lugar a un incidente, su criticidad y el nivel de vulnerabilidad
* Asegurar una asignación de errores de configuración con estándares de cumplimiento como puntos de referencia, NIST y PCI DSS
* Restaurante automáticamente los problemas con un bajo riesgo y acompañan la gestión de incidentes más críticos.
* Permitir que los equipos de SecOPS se beneficien de alertas más confiables y menos.
3 – Cosicione la seguridad aguas arriba en el flujo de trabajo DevSecops
DevSecops se ha convertido en un objetivo esencial para los equipos de desarrollo más eficientes. Tomar la seguridad en cuenta desde los primeros pasos en este proceso debe llevarse a cabo con cuidado. Los desarrolladores no pueden convertirse en expertos en seguridad de la noche a la mañana, mientras que las herramientas y los procesos de seguridad que interrumpen, o incluso interrumpen el ciclo de desarrollo de software, a menudo se ignoran, si no se eliminan.
Los marcos de DevSecops relevantes integran la seguridad de las aplicaciones desde las primeras etapas de la tubería de desarrollo, utilizando las herramientas ya utilizadas por los desarrolladores. Para ser efectivos, las integraciones deben ser ligeras, intuitivas y escalables. Procesos efectivos de DevSecops:
* Fit con entornos IDE, puntos de referencia GIT y herramientas de tuberías CI/CD
* Proporcionar comentarios inmediatos sobre vulnerabilidades, errores de configuración y problemas de licencia
* Proporcione modelos y salvaguardas de código de seguridad que fomenten un proceso de diseño seguro desde el inicio.
* Permitir que los desarrolladores sean responsables de la seguridad de sus aplicaciones sin ralentizar la entrega de versiones de aplicaciones.
Cuando la seguridad se convierte en una parte integral del proceso de desarrollo, los problemas se resuelven más rápidamente, la disponibilidad de nuevas versiones se está acelerando, mientras que la postura de seguridad mejora.
La seguridad y la simplificación de la nube están estrechamente vinculadas
Simplificar el diseño de aplicaciones en la nube no se limita a un problema técnico. Es más una cuestión de prioridad estratégica. Cada nueva herramienta, tarea manual o error de configuración es un vector de riesgo. Y en ausencia de convergencia, visibilidad y automatización, los riesgos pueden proliferar rápidamente.
Las empresas que tienen éxito en su migración a la nube y que aseguran su transformación digital son las que:
* Descomparaliza el desarrollo, seguridad y operativo
* Incorporar la seguridad en todo el ciclo de la aplicación, desde la codificación hasta la producción en la nube
* Dar prioridad a la automatización, la gestión de la postura y la convergencia de las funcionalidades en una plataforma
* Utilice una plataforma de seguridad unificada que esté enriquecida con características para los desarrolladores como equipos de seguridad.
La seguridad debe permitir la innovación, no obstaculizarla. Al simplificar la forma en que las aplicaciones son seguras, administradas y monitoreadas, las empresas aceleran su adopción en la nube, reducen sus costos operativos y minimizan sus riesgos, dentro de un marco de seguridad unificado e integrado. La política de innovación sigue siendo dinámica sin dejar a un lado la seguridad.
____________________________
Par TArik BoumazaGerente de Desarrollo de Negocios Cloud France Chez Fortinet
Leer también:
Para garantizar la seguridad en la nube, las empresas deben apostar tanto en los humanos como en las herramientas …
6 enseñanzas clave sobre seguridad en la nube
¿Por qué el CDR se centra en la identidad es la clave para la seguridad de la nube?
Seguro por diseño: una prioridad para el futuro …
Adopción de cero confianza en las administraciones públicas
[
