En lo que respecta a la tecnología —incluida la seguridad—, a menudo resulta más costoso solucionar un problema más tarde que hacerlo cuanto antes. «Aplazar las mejoras inevitables necesarias para corregir un software con errores o una tecnología obsoleta es como “pedir dinero prestado pensando que nunca tendrá que devolverlo”», afirma el programador Ward Cunningham, creador del primer wiki.
Cunningham acuñó el término «deuda técnica» () hace más de una década para describir cómo el lanzamiento apresurado de una tecnología defectuosa funciona de manera similar a la acumulación de intereses sobre una deuda. Si no va amortizando el capital, los intereses se acumulan hasta tal punto que acaban consumiendo todo su presupuesto y resulta imposible liquidar la deuda .
Si pregunta a una docena de profesionales del sector tecnológico que definan el concepto de «deuda técnica», obtendrá una docena de respuestas diferentes. Para los desarrolladores de software, la deuda técnica probablemente signifique algo así como tomar atajos para lanzar el código. Por su parte, un director de sistemas de información (CIO) puede considerar la deuda técnica como el impacto acumulado de herramientas obsoletas que obstaculiza la capacidad de una organización para ofrecer capacidades digitales modernas e innovaciones a sus empleados, socios y clientes.
En cualquier caso, la acumulación de tareas técnicas pendientes, necesarias para el éxito futuro, conlleva un aumento de los costes y la complejidad a largo plazo. El resultado final: el personal de TI desarrolla cada vez más soluciones provisionales para solucionar lo que deberían haber solucionado antes.
«Considero que la deuda técnica es algo que surge al tener que tomar decisiones que satisfacen objetivos a corto plazo, pero que generan obligaciones a largo plazo», afirma Fernando Montenegro, analista principal de seguridad de 451 Research, una empresa perteneciente a S&P Global Market Intelligence.
Independientemente de la definición, la deuda técnica no deja de acumularse. Cuando McKinsey realizó una encuesta a 50 directores de sistemas de información (CIO) de 2020, la consultora de gestión descubrió que entre el 10 % y el 20 % del presupuesto tecnológico destinado a nuevos productos se utilizaba, en realidad, para reducir la deuda tecnológica. De hecho, la deuda tecnológica representaba entre el 20 % y el 40 % de la inversión tecnológica actual de una organización, antes de la amortización. En el momento de la encuesta, el 60 % de los directores de sistemas de información (CIO) afirmaron que su deuda técnica había aumentado considerablemente en los últimos tres años.
Dar prioridad a la deuda técnica de seguridad
A Jonathan Feldman no le interesa que se acumule demasiada deuda técnica. Como director de sistemas de información (CIO) de la ciudad de Asheville, en Carolina del Norte, el señor Feldman ha estado trabajando intensamente para garantizar que los sistemas tecnológicos de su ciudad se mantengan actualizados. Por ejemplo, ha llevado a cabo una transición gradual de los sistemas de información de Asheville, pasando del software instalado en las propias instalaciones a la nube de .
«La deuda técnica surge de tener que tomar decisiones que cumplen objetivos a corto plazo, pero que generan pasivos a largo plazo.»Fernando Montenegro, analista de seguridad, 451 Research
Si bien la modernización del entorno informático suele implicar la adopción de software en la nube, también supone crear una pila tecnológica compuesta por lenguajes de programación, marcos de trabajo y herramientas de desarrollo que sea capaz de incorporar rápidamente nuevas funcionalidades y adaptarse a los requisitos cambiantes de la empresa. A modo de ejemplo, Feldman destaca cómo los sistemas de software basados en la nube y en el modelo SaaS ayudaron a la ciudad de Asheville a adaptarse rápidamente al teletrabajo durante la pandemia.
«No tuvimos que complicarnos con las VPN de ni con la instalación de software en los dispositivos de los usuarios», afirma Feldman. «Conozco municipios que se han visto obligados a gastar cientos de miles de dólares para ampliar su concentrador VPN con el fin de dar cabida a todos sus trabajadores a distancia. ¿Quién, en el ámbito de la seguridad, considera que las VPN del lado del cliente son la mejor forma de garantizar la seguridad hoy en día? «Absolutamente nadie».
Son muchas las razones que explican por qué las empresas acumulan deuda técnica, entre ellas la gestión de un número excesivo de plataformas de desarrollo y una infraestructura demasiado obsoleta y heredada. La contratación y la retención de personal técnico cualificado supone una carga adicional, al igual que la falta de visión a corto plazo que supone no presupuestar el mantenimiento de los sistemas y el software durante toda su vida útil.
Cómo la deuda técnica se convierte en deuda técnica seguridad deuda
Una de las principales causas de la deuda técnica relacionada con la seguridad es la dicotomía existente entre la forma en que los profesionales de la seguridad y otros profesionales del ámbito tecnológico perciben la tecnología. «Los profesionales de la seguridad de la información suelen abordar los problemas desde la perspectiva de cómo podrían vulnerar un sistema», afirma Nick Selby, director de seguridad (CSO) de Paxos, una plataforma de infraestructura de blockchain, y copresentador del podcast « : Tech Debt Burndown» . «Analizamos lo que ve un atacante desde fuera hacia dentro e intentamos detectar los puntos vulnerables que es necesario cerrar».
Por el contrario, los desarrolladores actuales quieren dar prioridad a los esfuerzos «desde dentro hacia fuera», afirma Selby. Les preguntan qué es lo que están intentando desarrollar, qué es lo que no pueden desarrollar, cómo pueden implementar el código más rápidamente y qué obstáculos se interponen en su camino.
Feldman señala que es probable que una tecnología con una década de antigüedad cuente con estándares de cifrado obsoletos, interfaces de programación de aplicaciones (API) anticuadas y un mayor nivel de rigidez en comparación con las aplicaciones actuales, que son más flexibles. «La mayor parte del tiempo va a ser una auténtica pesadilla garantizar la seguridad», afirma.
La deuda técnica en materia de seguridad agrava los fallos latentes de seguridad, lo que dificulta aún más la protección de las aplicaciones, la infraestructura y los terminales obsoletos. «No se me ocurre ningún ejemplo de deuda técnica que no afecte a la seguridad, ya que la deuda técnica casi siempre repercute en el rendimiento, la escalabilidad, la resiliencia y el tiempo de actividad», afirma Selby.
A menudo resulta complicado determinar los costes de la deuda técnica. Quizás se encuentren en sistemas heredados que resultan difíciles de mantener, o en código antiguo que ya no se ajusta a las necesidades actuales pero cuya sustitución resulta demasiado costosa, o en datos almacenados en silos que no pueden analizarse ni aprovecharse adecuadamente. Es posible que los equipos de seguridad se den cuenta de que su capacidad para garantizar de forma segura la confidencialidad, la integridad y la disponibilidad de los sistemas y la información es limitada.
Teniendo en cuenta que todas las empresas tienen deuda técnica y que esta tiene un impacto considerable en la seguridad, ¿qué puede hacer un directivo? Los expertos en seguridad recomiendan reducir la deuda de seguridad técnica a un nivel manejable:
Incorpore a los equipos de seguridad desde el principio
Formar parte de un equipo de « » (integrado en una fase temprana) puede implicar participar en un nuevo sistema o aplicación durante la fase de diseño, o en momentos en los que la incorporación de nuevas funcionalidades o la introducción de cambios puedan alterar el nivel de riesgo de una empresa.
«Para los profesionales de la seguridad, cuanto antes recibamos el documento de diseño, mejor», afirma Selby, de Paxos. Recomienda integrar a los ingenieros de seguridad en los equipos de ingeniería para que trabajen juntos desde el primer día. «No se llamó a seguridad más adelante para que revisara todo y se asegurara de que todo estuviera en orden», afirma. «El equipo de seguridad ya estaba allí y se había encargado de que todo saliera bien desde el principio».
Dé prioridad al pago de sus deudas
La deuda técnica de cada empresa será diferente, al igual que las formas óptimas de reducirla. En ocasiones, la deuda técnica de seguridad puede manifestarse en forma de plataformas empresariales obsoletas que requieren un gran esfuerzo adicional para garantizar su seguridad. En otras ocasiones, una empresa podría haber implementado demasiadas herramientas de seguridad sin contar con suficientes profesionales cualificados para gestionarlas.
[Véase también: Ciberseguridad federal: «Demasiadas herramientas estropean el caldo»]
«Muchas cosas que tienen un gran impacto en la seguridad pueden no parecer directamente relacionadas con ella», afirma Selby. «A menudo, son las tareas básicas las que generan deuda técnica, como la renovación de los equipos o la adquisición de las herramientas adecuadas para el trabajo. «Muchas de estas cuestiones suelen tener un mayor impacto general en la seguridad».
Realice pagos regulares de sus deudas
No importa lo grande o madura que sea una organización. Todas las organizaciones acumulan deuda técnica con el paso del tiempo. Lo importante es establecer un plazo concreto para saldar la deuda existente. «Si es usted una empresa con cualquier tipo de base tecnológica, así son las cosas», afirma Selby.
Modernizar el entorno
La modernización no consiste únicamente en disponer de la tecnología más avanzada y puntera por el mero hecho de tenerla. Se trata de contar con una pila tecnológica empresarial lo suficientemente ágil como para crecer y adaptarse a medida que cambian las necesidades de su empresa.
«¿Quién, en el ámbito de la seguridad, considera que una VPN del lado del cliente es la forma adecuada de garantizar la seguridad hoy en día? Exactamente nadie.»Jonathan Feldman, director de sistemas de información de la ciudad de Asheville, Carolina del Norte.
Cuando las organizaciones no se modernizan, es posible que el director de sistemas de información (CIO) tenga que comunicar a una unidad de negocio que la empresa no puede realizar una inversión importante para poner en marcha una nueva función, afirma Feldman, de Asheville. «En cambio, con una plataforma moderna, probablemente bastaría con pulsar un botón».
Estructurar las inversiones en tecnología a lo largo del tiempo
Muchas solicitudes presupuestarias solo tienen en cuenta los costes iniciales del sistema y de la implantación, sin considerar cómo se va acumulando la deuda técnica con el paso del tiempo. «No es que necesitemos 5 millones de dólares y, una vez hecho esto, la solicitud quede zanjada en lo que respecta a la inversión de capital», afirma Feldman. «Lo que se necesita es un compromiso por parte de la organización de destinar una cantidad determinada cada trimestre durante todo el ciclo de vida de la aplicación».
Montenegro, de 451 Research, añade: «Usted es responsable para siempre de lo que haya puesto en marcha». «Las organizaciones deben disponer de los recursos necesarios para asegurarse de que sus planes no solo aborden la deuda, sino que también eviten incurrir en un endeudamiento excesivo debido a una gestión inadecuada de los sistemas a lo largo de su ciclo de vida».
[Lea también: Cómo pueden colaborar DevOps y la seguridad]
En última instancia, es posible que las organizaciones decidan reducir la deuda técnica, pero es posible que esa decisión no sea algo que esté bajo el control de los equipos de seguridad ni de los responsables. Montenegro aconseja a los altos responsables de seguridad que informen a la dirección general de TI de la empresa de que, cuando las organizaciones asumen determinados tipos de deuda técnica, esto puede tener graves consecuencias para su perfil de riesgo.
«No va a recibir ninguna tarjeta de Navidad de un equipo que se ve obligado a retrasar el lanzamiento de productos debido a fallos de seguridad», afirma. «Pero la organización tiene que tomar una decisión importante».
