Una seguridad eficaz comienza con el diseño de la infraestructura

Los clientes actuales de SAP deben cambiar a las nuevas generaciones de software de Walldorf antes de 2025. Están aprovechando la oportunidad de transformar digitalmente sus procesos y modelos de negocio.

Sin embargo, también deben ser conscientes de los riesgos de seguridad asociados. Al fin y al cabo, más digitalización significa más oportunidades de ataque para ciberespías y saboteadores, especialmente a través de vulnerabilidades de seguridad.

La migración a S/4 Hana va de la mano de la modernización de los entornos de TI, siendo la virtualización el método elegido. Una oportunidad que los actuales clientes de SAP deberían aprovechar no solo desde una perspectiva empresarial, sino también para lograr una seguridad más eficaz.

En los entornos virtualizados, hay que tener en cuenta las posibles fugas en el hipervisor y las capas subyacentes -incluidos el almacenamiento y las redes-, además de las brechas de seguridad en los sistemas operativos invitados de las máquinas virtuales. A medida que aumenta el número de sistemas lógicos y aplicaciones que se ejecutan en este tipo de infraestructuras, el problema se agudiza aún más.

Un diseño seguro de la infraestructura ayuda a reducir el número de vulnerabilidades de seguridad. Instalar actualizaciones de seguridad más rápidamente reduce la vulnerabilidad.

Pero aun así, sigue existiendo un riesgo residual que debe cubrirse con soluciones especializadas. La forma más sencilla de hacerlo es cuando las infraestructuras virtualizadas y controladas por software ofrecen a los proveedores de seguridad informática opciones de integración predefinidas.

Las infraestructuras controladas por software tienen la ventaja de que la seguridad puede implantarse en ellas como una funcionalidad igual a todas las demás.

Abarca todas las etapas del desarrollo orientado a la seguridad: desde el diseño y la implantación del software hasta las pruebas y el "endurecimiento" adicional de la solución.

El proceso global se conoce en la jerga técnica como "Security Development Lifecycle" (SecDL). En este proceso, el código del programa se examina sistemáticamente en busca de vulnerabilidades de seguridad.

Si se encuentra alguno, los desarrolladores abordan inmediatamente su eliminación. Este procedimiento se repite constantemente y recorre todo el ciclo de vida de desarrollo del software.

SecDL también ofrece la opción de tener en cuenta las normativas de seguridad en el proceso. Entre ellas se incluyen, en particular, Common Criteria Certified según EAL-2, FIPS 140-2, NIST-SP800-131A, NSA Suite B Support, Section 508 VPAT y TAA Compliant.

Otra ventaja de una infraestructura controlada exclusivamente por software es que las lagunas de seguridad pueden identificarse y cerrarse en gran medida automáticamente.

Para ello se utilizan listas de comprobación de seguridad en el lenguaje de descripción legible por máquina XCCDF (Extensible Configuration Checklist Description Format). Esto permite la aplicación sencilla de directrices de seguridad, las llamadas Guías de Implementación Técnica de Seguridad (STIG).

Las STIG pueden utilizar herramientas de evaluación automatizadas para detectar las lagunas de seguridad. En la práctica, el tiempo necesario para ello se reduce de nueve a doce meses a unos pocos minutos, según los casos.

Si el software de infraestructura también contiene funciones de autorreparación, puede restaurar de forma independiente los sistemas de producción a un estado adecuado.

Las unidades con autocifrado también permiten cifrar los datos en reposo ("cifrado de datos en reposo"), es decir, los que no se necesitan en ese momento para procesar servicios y aplicaciones.

Seamos sinceros: ni siquiera el mejor software de infraestructura puede garantizar una protección del 100% contra los ataques. Por tanto, debe facilitar a los clientes existentes que se beneficien de la experiencia de los proveedores de seguridad informática establecidos y ofrecer opciones de conectividad a través de interfaces de programación de aplicaciones (API) abiertas.

Ya sean grandes o pequeños, los clientes que están trabajando en el futuro de su entorno SAP tienen la oportunidad única de minimizar los riesgos de seguridad desde el principio, en lugar de hacerlo a posteriori.