La seguridad comienza con el diseño de la infraestructura
Las vulnerabilidades son los virus de hoy en día. Son aún más peligrosas. Porque permiten a los ciberdelincuentes infiltrarse silenciosamente en una red y un entorno informático, penetrar en las joyas de la corona y, en última instancia, robar valiosa propiedad intelectual, chantajear al consejo de administración o paralizar las operaciones y la producción de la empresa.
Rara vez oímos hablar de ataques con éxito. Por razones de reputación, muchas empresas prefieren pasar desapercibidas e incluso están dispuestas a pagar millones a los ciberextorsionadores.
Los clientes actuales de SAP son conscientes del riesgo; al fin y al cabo, sus sistemas SAP son el corazón de la empresa. Por eso invierten en software de seguridad tradicional para protegerse de antemano de los peligros de las ciberamenazas.
Esta protección es extremadamente útil y eficaz, pero no es suficiente. Por un lado, las brechas de seguridad desconocidas no pueden protegerse por definición; por otro, en los grandes entornos SAP a menudo se tarda semanas y meses en instalar actualizaciones de seguridad para cerrar las brechas.
Además, los límites entre la seguridad informática y la seguridad jurídica se están difuminando debido al creciente número de normas y reglamentos cada vez más exigentes: en este contexto, cabe mencionar sin duda el GDPR de la UE y la SOX.
Las precauciones que sirven para aumentar la trazabilidad de los cambios en las configuraciones de los sistemas y, sobre todo, para cumplir los requisitos legales también suponen una valiosa contribución a una mayor seguridad informática.
Estos retos pueden superarse con una tríada formada por la infraestructura adecuada para los entornos SAP, un alto grado de automatización, que comienza con el diseño y la programación de esta plataforma de infraestructura, y un ecosistema de seguridad.
La actualización de los mecanismos de seguridad en una arquitectura convencional de tres niveles lleva mucho tiempo y es costosa debido al gran número de fabricantes implicados y a la diversidad de sus tecnologías.
Sin embargo, si una infraestructura informática está completamente virtualizada y controlada exclusivamente por software, este esfuerzo puede reducirse considerablemente. Incluso en entornos SAP grandes y muy grandes, las actualizaciones de seguridad son posibles en cuestión de horas o pocos días, en lugar de semanas o meses como ocurría anteriormente.
Las infraestructuras controladas por software también tienen la ventaja de que la seguridad puede implantarse en ellas como una funcionalidad igual a todas las demás. Permiten trazar el proceso completo de un desarrollo centrado en la seguridad.
Esto abarca desde el diseño y despliegue del software hasta las pruebas y el "endurecimiento" adicional, y se conoce en la jerga técnica como "Ciclo de vida del desarrollo de la seguridad" (SecDL).
Además, las lagunas de seguridad en dichas infraestructuras pueden identificarse y cerrarse en gran medida de forma automática. La aplicación de directrices de seguridad, conocidas como Guías Técnicas de Aplicación de la Seguridad (STIG), es especialmente útil para este fin.
Las infraestructuras controladas por software también ayudan a rastrear y asegurar la integridad de las configuraciones de las bases de datos. Pero seamos sinceros: ni siquiera el mejor software de infraestructura puede garantizar una protección del 100%.
Por tanto, las opciones de conexión con soluciones de terceros mediante interfaces de programación abiertas (API) son imprescindibles. Esto se aplica en particular a las áreas de gestión de claves de cifrado, seguridad de puntos finales y microsegmentación.
La seguridad absoluta es imposible. Sin embargo, con la infraestructura adecuada, la superficie de ataque en entornos SAP puede reducirse significativamente y el tiempo que transcurre desde que se detecta una vulnerabilidad de seguridad hasta que se cierra puede acortarse enormemente.
