Artículo de Alejandro Bernal, arquitecto de seguridad cloud de ISACA.
La adopción de la nube ha permitido que muchas organizaciones transformen su infraestructura de datos, así como también las prácticas asociadas al procesamiento de dichos datos que ahora, estando en nube, está almacenado en entornos más dinámicos, escalables y elásticos. La nube ha facilitado una capacidad de análisis de datos en cantidades cada vez más grandes, pero se ha generado una disparidad a nivel de seguridad que las plataformas en la nube no cubren.
En este sentido, el informe ‘Privacy in Practice’, elaborado por ISACA, asociación global dedicada a promover la ciberseguridad, protección de datos y confianza digital, destaca la falta de competencias en defensa digital en Europa, un 94% de las organizaciones reconoce que hay un déficit de competencias en materia de defensa digital, lo que resulta en vulnerabilidades en privacidad.
La falta de competencias en defensa digital en Europa y las vulnerabilidades en privacidad resultantes podrían ser abordadas de manera efectiva mediante el enfoque de DataSecOps, una evolución del concepto de DataOps que incluye la seguridad, privacidad y cumplimiento de los datos. DataSecOps que se define como un enfoque ágil, holístico y con seguridad integrada para gestionar los datos en cambio constante, y sus usuarios, con la finalidad de entregar datos de manera rápida y obtener valor mientras se mantiene los datos seguros, privados y con un gobierno adecuado.
DataSecOps es la idea de insertar la seguridad desde el primer momento en que se ejecutan las operaciones de datos, y dicha inserción debe estar acompañado de una automatización que permita su implementación y la simplicación de los requisitos de seguridad, gobierno y acceso. Los principios que rigen la práctica de DataSecOps son:
- Seguridad como parte de las operaciones y proyectos de datos, y no al final
- Procesos continuos por encima de procesos ad-hoc de seguridad
- Separación de ambientes para pruebas y lanzamientos a producción
- Foco en la data sensible
- Los datos deben tener una propietaria clara
- Controles simplicados de acceso a datos
- Mantener el time-to-value sin comprometer la seguridad
La adopción de DataSecOps dentro de una organización no es solamente la adquisición de nuevas tecnologías, sino que debe estar acompañado de nuevos modelos operacionales que incluyan la seguridad desde un primer momento y que tome en cuenta la diversidad del entorno (nube híbrida o multi-nube). Una buena aplicación de DataSecOps va a permitir a las organizaciones a tomar mejores decisiones, mejorar el nivel de cumplimiento, disminuir el riesgo y mantener la data accessible a quiénes la deseen consumir como parte de la operativa diaria.
