¿Cómo las arquitecturas nativas Cloud rompen el enfoque tradicional de la seguridad de las aplicaciones? Esto es el resultado de la creciente adopción de las arquitecturas nativas de la nube, DevOps y las metodologías ágiles.
A medida que las organizaciones «dejan» más responsabilidad a los desarrolladores para acelerar la innovación, los ecosistemas de IT cada vez más complejos y las herramientas de seguridad obsoletas pueden ralentizar los lanzamientos. Esto ocurre al dejar puntos ciegos y obligar a los equipos a clasificar manualmente innumerables alertas. Muchas de ellas son falsos positivos que reflejan vulnerabilidades en bibliotecas que no usan en producción. Las organizaciones están pidiendo nuevos enfoques que estén optimizados para entornos multicloud, Kubernetes y DevSecOps, según Dynatrace.
La investigación de la compañía ha revelado que el 89% de los CISO dicen que los microservicios, los contenedores y Kubernetes han creado puntos ciegos en la seguridad de las aplicaciones. El 97% de las organizaciones no tiene visibilidad en tiempo real de las vulnerabilidades en tiempo de ejecución en entornos de producción de contenedores.
¿Cómo las arquitecturas nativas Cloud rompen el enfoque tradicional de la seguridad de las aplicaciones?
Casi dos tercios (63%) de los CISO dicen que los equipos de DevOps y el desarrollo ágil han dificultado la detección y gestión de vulnerabilidades de software. El 74% de los CISO dicen que los controles de seguridad tradicionales, como los escáneres de vulnerabilidades, ya no se ajustan al mundo cloud native de hoy.
Un 71% de los CISO admite que no están completamente seguros de que el código esté libre de vulnerabilidades antes de comenzar a producir.
Bernd Greifeneder, fundador y CTO de Dynatrace dijo lo siguiente. «El mayor uso de arquitecturas nativas de la nube ha roto fundamentalmente los enfoques tradicionales de seguridad de aplicaciones. Esta investigación confirma lo que habíamos anticipado desde hace mucho tiempo. Los análisis manuales de vulnerabilidades y las evaluaciones de impacto ya no pueden seguir el ritmo del cambio en entornos dinámicos de la nube y los rápidos ciclos de innovación de hoy en día».
«La evaluación de riesgos se ha vuelto casi imposible debido al creciente número de dependencias de servicios internos y externos. También de la dinámica del tiempo de ejecución, de la entrega continua y desarrollo de software políglota. Los equipos que ya se han extendido se ven obligados a elegir entre velocidad y seguridad. Esto expone a sus organizaciones a riesgos innecesarios.»
El estudio también muestra que, en promedio, las organizaciones necesitan reaccionar a 2169 nuevas alertas de posibles vulnerabilidades cada mes. El 77% de los CISO dicen que la mayoría de las alertas de seguridad y vulnerabilidades son falsos positivos que no requieren acción. El 68% de ellos señala que el volumen de alertas hace que sea muy difícil priorizar las vulnerabilidades en función del riesgo y el impacto. Finalmente, el 77% de los CISO dicen que la única forma de que la seguridad se mantenga al día con los entornos modernos de aplicaciones es reemplazar la implementación. También se necesitan cambios en la configuración y la administración manuales con enfoques automatizados.