¿DevSecOps para SAP? Por supuesto.

A los CIO a veces les preocupa no poder mantener la seguridad en silos de un entorno SAP y miles de desarrollos internos Abap cuando integran sistemas y servicios modernos no basados en la nube y ajenos a SAP en el panorama de procesos. Estas reservas no son infundadas cuando se configuran y mantienen manualmente cientos de módulos y servicios adicionales en la nube.

Mediante el uso de una plataforma de contenedores coordinada y preintegrada para todas las arquitecturas de destino, desde las locales hasta el borde y la nube, muchos de los requisitos de gobernanza, cumplimiento, seguridad del código y control pueden implementarse desde el principio para todos los niveles utilizados. Las funcionalidades necesarias para la seguridad de los procesos de extremo a extremo están disponibles de serie.

Si una empresa quiere impulsar la innovación, no hay forma de evitar el uso de nuevas plataformas, marcos, aplicaciones y tecnologías: Las plataformas híbridas multi-nube integradas, las aplicaciones nativas de la nube, los contenedores, los microservicios y las API son, sin duda, los componentes decisivos. Por lo tanto, las plataformas híbridas en la nube y el desarrollo de aplicaciones nativas en la nube también tendrán un impacto duradero en el futuro de SAP.

Esto también significa que los entornos SAP ya no tienen que verse como sistemas aislados, sino con el concepto de extensibilidad lateral de SAP en mente. Se trata de conectar datos, procesos e interfaces de usuario de SAP con entornos de programación de última generación, sistemas de integración y entrega continuas y métodos DevOps. En contraste con los desarrollos internos clásicos basados en Abap, las denominadas extensiones side-by-side para sistemas S/4 permiten la implementación sencilla de procesos ágiles de extremo a extremo y, por lo tanto, también integran el entorno SAP con sistemas que no son de SAP. 

Pero, ¿qué significan estos avances para la seguridad? Las infraestructuras SAP deben integrarse de forma coherente en una estrategia de seguridad si se quieren superar los límites de los silos. Los conceptos de seguridad establecidos, así como la gestión de roles y derechos de SAP, no deben diluirse ni suavizarse en el caso de una integración no SAP: un "usuario técnico" no es una solución permanente.

Especialmente en el desarrollo de aplicaciones nativas en la nube, la seguridad tiene una alta prioridad, lo que también se aplica al desarrollo de aplicaciones modernas.
se utilizan extensiones de SAP de lado a lado y pueden justificar una sustitución de Abap sólo desde el punto de vista de la seguridad. Con respecto a la contenedorización, se garantiza, por ejemplo, que no sea posible ningún acceso no autorizado entre los recursos utilizados en el sistema host. Asimismo, las imágenes de los contenedores sólo deben proceder de fuentes fiables, por ejemplo, tras haber sido comprobadas por el departamento interno de TI a partir de catálogos predefinidos.

Pero, sobre todo, un Linux sólido también es especialmente importante. Existen varios niveles de seguridad para proteger los contenedores en Linux, como SELinux (Security-Enhanced Linux). SELinux está activado por defecto en el sistema operativo Linux Red Hat Enterprise Linux 8 y a menudo se ejecuta en entornos de alta seguridad, incluso con Hana.

En definitiva, la gestión moderna de la seguridad no tiene por qué acabar en la plataforma SAP. La seguridad puede implementarse de forma coherente en los procesos de extremo a extremo integrados con sistemas SAP y no SAP. Una base central para ello son las modernas plataformas empresariales Kubernetes, como Red Hat OpenShift. Contiene todas las funcionalidades y servicios necesarios para operar una plataforma de gestión de contenedores para diversas aplicaciones críticas para el negocio en una amplia variedad de infraestructuras de manera certificada. Esto incluye, por ejemplo, SLA, múltiples capas de seguridad, automatización o gestión de clústeres. Y las funciones de seguridad son completas: desde la gestión de vulnerabilidades y la segmentación de redes hasta el cumplimiento continuo y la priorización de riesgos.