La automatización de la seguridad (se abre en una nueva pestaña) es mucho más fácil de decir que de hacer.
Considere la experiencia del Departamento de Seguridad Nacional, con su programa de Diagnóstico y Mitigación Continuos (CDM). Desarrollado en 2012, el objetivo del programa es mejorar la seguridad de los organismos federales mediante la evaluación y corrección continuas de los sistemas en lo que respecta a amenazas, vulnerabilidades, fugas de datos y herramientas de seguridad que incumplan las políticas establecidas.
Debido a los errores cometidos por los organismos y a las complejidades del programa, este tuvo un comienzo lento. Según un informe del Departamento de Seguridad Nacional (DHS) publicado en por la Oficina del Inspector General, el DHS tenía inicialmente la intención de poner en marcha la primera fase del programa para el año 2017, pero esta se retrasó hasta el año 2022. Sin embargo, en virtud de la ley « April 2023», las agencias federales civiles estarán obligadas a realizar evaluaciones de seguridad semanales automatizadas y a llevar un registro preciso de las deficiencias de seguridad que detecten.
Se trata de una medida más de « » que está adoptando el Gobierno federal para aumentar la automatización de la seguridad. Sin embargo, un avance tan vacilante como este no tiene por qué ser la norma en las agencias federales —ni, por lo demás, en las empresas del sector privado—. Al aprender de las mejores prácticas clave del sector, las organizaciones pueden automatizar la seguridad de la forma adecuada.
El reto de la automatización
Durante años, la automatización de la seguridad se ha presentado como el santo grial. Entre estas iniciativas se cuentan el intento de IBM de impulsar en el sector las capacidades de autorreparación de la informática «autónoma» y, posteriormente, el impulso del sector de las redes hacia las capacidades de reparación automatizada del «control de acceso a la red». Ninguno de los dos ganó tanta popularidad como esperaban sus seguidores.
«La automatización está contribuyendo a reducir o eliminar la mayor parte de... las tareas operativas repetitivas, lo que permite a los equipos de TI dedicar más tiempo a iniciativas estratégicas de seguridad.»
La situación ha mejorado considerablemente desde aquellos primeros intentos. Es posible automatizar un gran número de procesos de seguridad, principalmente gracias a la creciente adopción de nuevos estándares de automatización de la seguridad, las interfaces de programación de aplicaciones (API) que conectan programas informáticos y los sistemas en la nube de tipo « ». La automatización está contribuyendo a reducir o eliminar la mayor parte de las tareas operativas pesadas y, a menudo, repetitivas, lo que permite a los equipos de TI dedicar más tiempo a iniciativas estratégicas de seguridad. Esto resulta fundamental, dada la persistente falta de personal cualificado en materia de seguridad. De hecho, ante la amenaza constante que suponen los Estados-nación, las bandas de ransomware y otros actores malintencionados, las empresas necesitan ayuda en materia de ciberseguridad dondequiera que puedan encontrarla.
Para hacer frente a estos retos, según han confirmado los expertos entrevistados por el punto focal de « » ( ), se deben adoptar las siguientes medidas.
Adopte DevSecOps
Una de las estrategias más sencillas que pueden adoptar las empresas consiste en integrar pruebas de seguridad en el ciclo de vida del desarrollo de software, un proceso conocido como DevSecOps. De lo contrario, los fallos de software se cuelan en los productos y servicios, donde podrían utilizarse para atacar otros sistemas. Una vez en fase de producción, la corrección de estas vulnerabilidades resulta más costosa.
No obstante, el ámbito de DevSecOps tiene mucho margen de mejora. Una encuesta de « » ( ), realizada por Venafi, proveedor de soluciones de seguridad criptográfica y de certificados digitales, reveló que el 97 % de los altos directivos de TI coinciden en que los procesos de desarrollo de software no son lo suficientemente seguros. Además, la encuesta global « » de GitLab sobre DevSecOps de 2022 reveló que menos de la mitad de los encuestados (42 %) aplican DevSecOps, aunque esto supone un aumento con respecto al 36 % registrado en 2021.
«La seguridad de las aplicaciones es un ámbito que, sin duda, debería automatizarse, sobre todo teniendo en cuenta todas las herramientas disponibles para realizar comprobaciones de seguridad automatizadas dentro de los procesos continuos de desarrollo y entrega», afirma Kenneth Swick, consultor sénior de seguridad del proveedor de servicios de seguridad NCC Group. «Estos ámbitos ofrecen numerosas posibilidades de automatización».
Gestionar la infraestructura como código
Con la tendencia hacia la «infraestructura como código» (IaC), tanto los sistemas informáticos físicos como los virtuales pueden implementarse y gestionarse de forma automática mediante archivos de definición predefinidos y legibles por máquina, en lugar de mediante procesos físicos o manuales. Esto contribuye a garantizar que la configuración del sistema y de seguridad se mantenga unificada.
Los sistemas pueden restablecerse automáticamente a la configuración deseada cuando se desvían de ella. Y este enfoque presenta otra ventaja: «En la medida en que las organizaciones puedan automatizar y garantizar la seguridad de las cargas de trabajo a lo largo de todo su ciclo de vida, podrán reducir considerablemente su superficie de ataque», afirma Swick.
NetOps es una tendencia relacionada. Es un término genérico que engloba la automatización de la seguridad, la gestión y el rendimiento de las redes. Al igual que en el caso de IaC, las configuraciones de red, los límites de rendimiento y la seguridad se codifican y se aplican automáticamente siempre que sea posible.
«En el ámbito de las redes, apenas estamos empezando a ver cómo se automatizan las funciones de red», afirma Gary Marks, presidente de Opengear, una empresa de tecnología de redes. Las organizaciones están empezando a adoptar enfoques como el aprovisionamiento sin intervención, en el que se implementa un sistema conectado a la red y se configura y gestiona de forma automática.
En su guía rápida sobre seguridad de la infraestructura como código ( ), el Open Web Application Security Project (OWASP) explica cómo los entornos de infraestructura como código (IaC) permiten un registro de eventos excepcional y una supervisión «inmutable» y continua de la infraestructura. Usted construye los componentes de la infraestructura siguiendo un conjunto exacto de especificaciones, sin desviaciones ni modificaciones. Si es necesario realizar un cambio en una especificación, se aprovisiona un nuevo conjunto de infraestructura en función de los requisitos actualizados y se retira de servicio la infraestructura anterior.
Automatizar la gestión de identidades
La gestión de identidades —que garantiza que los usuarios, los dispositivos y los sistemas solo tengan acceso a los recursos y datos a los que tienen derecho— consiste en verificar que dichas entidades sean quienes dicen ser y, a continuación, autorizar su acceso. Dado que la autenticación y la autorización son procesos muy repetitivos, la gestión de identidades es un ámbito que ofrece numerosas oportunidades de automatización. Sin embargo, dado que las empresas se enfrentan a entornos y aplicaciones locales y en la nube cada vez más complejos, así como a una fuerte presión regulatoria en materia de , el aprovisionamiento de recursos a los usuarios y la gestión de sus niveles de acceso se han convertido en tareas cada vez más complejas.
«. En la medida en que las organizaciones puedan automatizar y garantizar la seguridad de las cargas de trabajo a lo largo de todo su ciclo de vida, podrán reducir sustancialmente su superficie de ataque.»Kenneth Swick, consultor sénior de seguridad de NCC Group
Muchos procesos relacionados con la identidad se encuentran aislados en las distintas unidades de negocio. Por lo tanto, la centralización de los sistemas de identidad, su integración con los sistemas de recursos humanos y la definición de niveles de acceso y privilegios de usuario en función de puestos de trabajo específicos (lo que se conoce como «control de acceso basado en roles») pueden facilitar considerablemente la automatización del aprovisionamiento, la gestión continua y el desaprovisionamiento.
«Un conjunto de flujos de trabajo automatizados, diseñados adecuadamente y que tengan en cuenta la seguridad, podría sustituir las prácticas de gestión de cuentas de la mayoría de las organizaciones y permitir a la empresa gestionar de forma autónoma su base de usuarios con un nivel de riesgo aceptable previamente acordado», afirma Jason Sieroty, arquitecto de soluciones empresariales del proveedor de soluciones tecnológicas e360. «El proceso resultante será eficiente y repetible, lo que permitirá a los empleados ser productivos antes y de forma más segura».
Adopte la plataforma SOAR
SOAR —siglas de «orquestación, automatización y respuesta en materia de seguridad»— es un conjunto de herramientas y procesos de seguridad que permite a los equipos de seguridad automatizar determinados aspectos de las operaciones de seguridad, la respuesta ante incidentes y la gestión de vulnerabilidades.
«Muchos centros de operaciones de seguridad utilizan SOAR y crean guiones automatizados o parcialmente automatizados para responder a los incidentes.»Scott Crawford, director de investigación en seguridad de la información de 451 Research
Por ejemplo, las fuentes de información sobre amenazas y las alertas de seguridad pueden activar automáticamente determinados «manuales de respuesta ante incidentes» de , , en función de lo que se detecte. SOAR también utiliza inteligencia artificial y aprendizaje automático, siempre que sea posible, para ayudar a los analistas de seguridad, a los cazadores de amenazas y a los equipos de operaciones de seguridad.
Algunas tareas del centro de operaciones de seguridad (SOC) pueden automatizarse. Los equipos SOC se dedican a prevenir, supervisar, detectar y responder ante incidentes de seguridad. Por ejemplo, cuando las alertas de seguridad pueden correlacionarse con datos de inteligencia sobre amenazas y de gestión de vulnerabilidades, los sistemas pueden determinar automáticamente que determinadas alertas suponen un riesgo bajo, o bien pueden intensificar la respuesta cuando las condiciones parezcan más amenazantes. Estas tareas básicas suelen ser realizadas por los denominados analistas de seguridad de «nivel uno».
[Lea también: Así es como se puede ampliar rápidamente un centro de operaciones de seguridad]
«Gran parte de la actividad de los analistas de nivel uno puede automatizarse», afirma Scott Crawford, director de investigación en seguridad de la información de 451 Research, que forma parte de S&P Global Market Intelligence. «Muchos centros de operaciones de seguridad utilizan SOAR y elaboran guiones de actuación automatizados o parcialmente automatizados para responder a los incidentes».
Supere los obstáculos uno a uno
Por supuesto, automatizar la seguridad no es fácil, y no todas las organizaciones —ni siquiera la mayoría de ellas— tienen la madurez suficiente para automatizarlo todo. Entre los retos que se plantean figuran la falta de comprensión de las políticas de seguridad interna o la insuficiente estandarización de las herramientas.
«Muchas organizaciones aplican enfoques muy inconsistentes en su programa de seguridad, y lo mejor que pueden hacer para empezar es, en primer lugar, estandarizar dicho programa», afirma Swick. «A continuación, identifique las áreas con una alta probabilidad de éxito y divida esos proyectos en partes más manejables».
Crawford añade que, además de que los equipos de seguridad seleccionen aquellas áreas que se puedan automatizar con una alta probabilidad de éxito, las organizaciones deben comprender los procesos que tienen implantados antes de intentar automatizarlos. Al automatizar procesos que no son óptimos o que son deficientes, «es muy probable que empeore su situación», afirma. Entre los ejemplos se incluyen la creación automática de usuarios con roles mal definidos o la implementación automática de cargas de trabajo en la nube que no están configuradas correctamente.
Asimismo, los directivos deberían aprovechar la ayuda del Gobierno. En June 2021, el Instituto Nacional de Estándares y Tecnología (NIST), en colaboración con el sector privado, anunció el desarrollo del lenguaje abierto de evaluación de controles de seguridad (OSCAL) —un marco multiformato que facilita la automatización de la seguridad, las evaluaciones continuas y las auditorías—. El NIST considera que OSCAL mejorará la eficiencia, la precisión y la coherencia de las evaluaciones de seguridad y permitirá la revisión y el seguimiento continuos de las capacidades.
Estas iniciativas podrían, a la larga, ayudar a todas las organizaciones a automatizar más fácilmente parte de sus medidas de seguridad. Y, aunque la seguridad no puede automatizarse por completo, cada vez hay más herramientas y enfoques que pueden contribuir a ampliar el alcance de lo que sí puede automatizarse.
Cuando las organizaciones analizan detenidamente la situación y automatizan todo lo que pueden, liberan a su personal de las tareas rutinarias y logran que sus operaciones de seguridad sean mucho más eficientes. A medida que los ataques aumentan en número y sofisticación, y sigue habiendo escasez de personal cualificado en materia de seguridad, los profesionales de este ámbito necesitan toda la eficiencia posible.
