Optimización de su seguridad cibernética: ¿qué tan vital es la arquitectura de TI?

En el mundo altamente conectado de hoy, es raro que una sola plataforma, sistema o dispositivo haga todo. Sin embargo, en este panorama moderno, vivimos en un próspero ecosistema de aplicaciones "las mejores de su clase" que se espera que compartan datos y sean accesibles en cualquier lugar, en cualquier momento y en cualquier dispositivo. Las demandas ubicuas en los sistemas empresariales actuales y la necesidad de "tenerlo ahora" han llevado la seguridad y la arquitectura a sus puntos de ruptura. La arquitectura a menudo se pasa por alto como un componente crítico de la posición de seguridad general, dirigida a lograr plazos aparentemente imposibles. O cae presa de un compromiso en tiempo o costos.

En los primeros días del desarrollo de TI, era necesario utilizar las tuberías existentes para entregar información entre sistemas. Los archivos de caída de estilo EDI prevalecían sobre las vías de comunicación "ómnibus", como un servidor FTP o la ubicación de archivos de red. Si bien estas rutas fueron fáciles y rápidas de configurar, crearon rutas no solo para sus datos, sino también para que los malos actores las usaran para difundir código malicioso.

Una ligera mejora provino de las conexiones de SQL a SQL que permiten que las bases de datos se conecten y compartan información directamente. Desafortunadamente, este tipo de conexión "Omnibus" también fue fácil para los malos actores abusar y manifestar vías maliciosas en sus datos y sistemas.

Dawn of RESTful APIs

Hace unos 22 años, un científico llamado Roy Fielding inventó las API RESTful, y desde esa chispa de intuición, no hemos mirado hacia atrás. Puede pensar en una API como un mediador entre los usuarios o clientes y los recursos o servicios web que desean obtener. También es una forma para que una organización comparta recursos e información mientras mantiene la seguridad, el control y la autenticación, determinando quién tiene acceso a qué. Ahora, ha tomado algún tiempo comprender el impacto de este estándar en el espacio de la tecnología. Cualquier cosa cercana a la "nube" todavía era esencialmente algo que vivía en la imaginación de los "futuristas". Pero, en el mundo de hoy, esta tecnología se ha vuelto necesaria.

Al igual que cualquier tecnología, puede diseñarla de forma insegura, por lo que se necesita cuidado para desarrollar API REST basadas en principios de seguridad. Aquí es donde la arquitectura juega un papel importante. La arquitectura establece las mejores prácticas y proporciona un foro para que la sociedad aprenda y desarrolle mejores estándares a medida que los malos actores desarrollan contramedidas y formas cada vez más imaginativas de violar su arquitectura bien pensada. Hoy en día, la arquitectura "Purpose Built" es un pilar de seguridad que ha resistido la prueba del tiempo.

Al desarrollar vías de integración entre sistemas que son específicos y con un propósito, se asegura de que no se puedan usar con fines maliciosos.

Las conexiones de ómnibus deben evitarse a toda costa. Si tiene la intención de compartir información del cliente, entonces eso es todo lo que debería ser posible a través de esa integración. Una ruta que puede compartir el número de cliente a través de una caída de archivos le permite "compartir archivos".  Un archivo podría ser ejecutable y utilizado para atacar otros sistemas. Pero una API REST le permite compartir una conexión deliberada que solo puede compartir un número de cliente de 8 dígitos, si eso es todo lo que se requiere. El único mal uso malicioso de esta vía sería compartir flujos sin sentido de números de 8 dígitos. Por lo tanto, es imposible de usar para atacar otros sistemas.

Principio de privilegio mínimo

Compartir la cantidad mínima de datos y restringir en gran medida la interfaz o la integración a sus parámetros operativos específicos crea una barrera casi impenetrable para el abuso. Asegurarse de que la API solo sea accesible a través de HTTPS (Secure Encrypted Connection) y tenga un gobierno ejecutable en el uso completa el triángulo de seguridad (consulte el diagrama a continuación sobre el Principio de privilegios mínimos, que establece que a un sujeto se le deben otorgar solo los privilegios necesarios para que complete su tarea. Además, la función del sujeto (en contraposición a su identidad) debe controlar la cesión de derechos.*). 

Si no es necesario ejecutar un punto de enlace de API más de una vez al día, restrinja su uso a una vez al día. Esto evita ataques DDOS o acciones similares que consumen recursos de manera derrochadora. No intente "Planificar con anticipación" y proporcione más datos de los necesarios. Sea específico sobre sus integraciones y solo transmita lo que se necesita. Esto garantiza que los datos transmitidos tengan un valor comercial y que los datos redundantes no puedan explotarse si se produce una exposición involuntaria. Tome medidas para salvaguardar la integración y restringir el acceso a su uso previsto a través de seguridad IP, listas blancas, certificados cifrados, tokens de autorización o control de acceso similar.

Los puntos de integración especialmente diseñados y los principios de Arquitectura por Diseño requieren que cada conexión y punto de datos tenga valor y propósito comercial. Ensamblar una solución empresarial de primera clase siguiendo estas pautas simples define el nivel de riesgo en el que se encuentra y le brinda una base sólida para proteger utilizando medidas probadas en la industria.

La experiencia de arquitectura en AMCS

Un primer paso crítico de AMCS para implementar la plataforma AMCS para nuestros clientes es diseñar los diagramas AS-IS y TO-BE de Global Architecture. Estos diagramas describen con precisión el viaje del cliente desde su arquitectura actual hasta su arquitectura final con AMCS SaaS Cloud Platform. Al igual que con cualquier solución empresarial, las integraciones son una necesidad para el éxito y los resultados comerciales positivos. Las vías de integración comunes de la plataforma AMCS incluyen interfaces para sistemas de contabilidad y contabilidad general. La mayoría de los clientes esperan una plantilla predeterminada, un conector listo para usar, capaz de hablar con su sistema de contabilidad. Si bien en principio esto está disponible, cada implementación pasa por una revisión arquitectónica distinta que nos permite configurar nuestro conector para cumplir con los requisitos del triángulo de seguridad. Nos aseguramos de que solo se incluya la información necesaria en la integración, se restrinja a los sistemas y al personal autorizados, y sea ejecutable solo tanto como sea necesario. Cada punto de integración se somete a esta misma revisión de la arquitectura para garantizar que la arquitectura global para nuestros clientes se construya a propósito y limite los riesgos potenciales.

En resumen, los beneficios de optimizar su seguridad cibernética a través de un diseño arquitectónico mejorado son de amplio alcance: reducir su perfil de riesgo de seguridad: la propagación de malware y ataques cibernéticos; impulsando un mejor cumplimiento y comportamiento en toda la organización, apoyando una mayor productividad del usuario y una mejor seguridad de los datos y la clasificación de auditorías.

Para obtener más información sobre AMCS y nuestro enfoque de la arquitectura y la seguridad en la nube, lea estos blogs relevantes:

• Infografía de seguridad de AMCS por Brian Hayden, vicepresidente de sistemas de información de AMCS
• It Security Checklist for Waste and Recycling Companies por Carlos Silva, Ingeniero De Seguridad Principal de TI de AMCS
• ¿Es segura la nube? por Brian Hayden, Vicepresidente de Sistemas de Información de AMCS
• Programa Acelerador de API: cómo la plataforma AMCS está habilitando un ecosistema interconectado por Evan Schwartz, arquitecto empresarial jefe de AMCS
• Las amenazas a la seguridad están creciendo por Brian Hayden, vicepresidente de sistemas de información de AMCS

*Enlace de referencia