Seguridad: ¿qué oportunidades y desafíos nos esperan en 2019?

Aprovechar el inicio del año para reflexionar sobre cómo fue el anterior y prepararse para el siguiente es un ejercicio importante para poner las cosas en perspectiva y reevaluar algunas de nuestras decisiones.

2018 fue un año muy intenso para nuestro sector: el número de cambios que hemos presenciado solo en el último año parece mayor que el de los diez años anteriores juntos.

Nube

La nube, por ejemplo, ha pasado de ser una rareza para entusiastas a una oportunidad emocionante y ahora a un producto consolidado y una solución que está remodelando muchas de nuestras prácticas.

La nube es a la vez una gran oportunidad y un desafío interesante. Ayuda, por ejemplo, a resolver algunos problemas difíciles de seguridad, como el inventario, la gestión de parches, etc.

También es un desafío, ya que obliga a lidiar con un entorno que cambia con rapidez y un panorama tecnológico cada vez más complejo.

Tomemos Kubernetes como ejemplo: es en este momento la solución de orquestación de contenedores más consolidada, pero también la que tiene la curva de aprendizaje más pronunciada. Cuenta con su propia gestión de paquetes (Helm), ofrece una gran variedad de servicios, desde conjuntos de réplicas hasta reglas de ingress y control de acceso basado en roles, y puede ampliarse con soluciones aún más complejas como Istio y Knative.

Esto significa que faltan tanto herramientas como conocimientos para comprender y proteger este tipo de infraestructura.

Dispositivos móviles

Los dispositivos móviles siguen convirtiéndose en la nueva forma en que los usuarios consumen servicios, y seguimos viendo cómo se refuerzan tendencias ya observadas.

Javascript se ha convertido en una opción viable para crear aplicaciones móviles, Typescript y Kotlin aumentaron su presencia en el mundo móvil, y React ya tenía un caso sólido gracias a React Native. Vue.js y Angular también están ahora haciéndose un hueco gracias a los nuevos frameworks multiplataforma que están surgiendo, como Native Scripts, por ejemplo.

Cobran popularidad nuevas funcionalidades que demandan mucho rendimiento, como el aprendizaje automático y la realidad aumentada.

Web

2018 fue un año emocionante para el desarrollo web: HTTP/3 se está estandarizando y las políticas Referer se usan con más frecuencia. WebAssembly es ahora compatible con todos los navegadores principales. DNS ya tiene una versión sobre TLS y PHP está volviendo gracias a Laravel. No estoy seguro de que sea algo bueno, pero Laravel es genial.

Los XSS por fin han muerto... solo era un deseo; siguen ahí y siguen siendo las vulnerabilidades más vistas. CSP, los auditores de XSS y los frameworks de plantillas seguras han ayudado, pero aún no es suficiente; tengo curiosidad por ver qué impacto tendrán los nuevos trusted types y Sec-Metdata.

Conceptos

La seguridad siempre ha sido, y sigue siendo, un centro de costes, una casilla que marcar para cumplir la normativa, ese tipo molesto que siempre dice «¡NO!».

Replantear algunas prácticas obsoletas se está volviendo crucial, porque el ritmo al que cambian las cosas nos está dejando atrás. Por ejemplo, conceptos como las políticas de renovación de contraseñas quedan obsoletos cuando se usa la autenticación de dos factores; los valores predeterminados seguros son buenos, pero no bastan: es mejor lo seguro por diseño y difícil de usar de forma indebida; la seguridad perimetral deja de tener sentido si no existe un perímetro.

Muchos profesionales de la seguridad han dejado de asistir a conferencias de seguridad, por ejemplo, porque no hay nada nuevo: seguimos quejándonos de los mismos errores que cometen otros sin ofrecer realmente una respuesta para resolverlos. Vaya a una conferencia de programación o a una conferencia de un proyecto de código abierto y se verá sumergido en una oleada de innovación y cambio.

Es nuestro deber reflexionar sobre lo que nuestro sector está haciendo mal y replantear nuestra posición en un entorno de ritmo vertiginoso.