Equipos de ITSM, ITAM y seguridad en torno a los datos

62
Raúl Benito

En su libro Introducción a la Cibernética, publicado en 1956, W. Ross Ashby estableció un marco para la gestión de los sistemas de comunicaciones. Para tratarse de un libro publicado hace más de sesenta años, proporciona algunas ideas que todavía nos son útiles hoy en día. Una de los principales es el Principio de Oscuridad, donde es imposible que una sola persona vea y entienda cualquier sistema suficientemente complejo.

Para los equipos de Gestión de Servicios de TI, Gestión de Activos de TI y Seguridad, el principio de oscuridad representa un problema más amplio: ¿cómo podemos prestar servicios de forma eficaz cuando no podemos saber todo lo que tenemos? ¿Cómo podemos mantener esos servicios y dispositivos seguros y protegidos? ¿Cómo podemos rastrear esos dispositivos y saber qué elementos los componen?

Hoy en día, la complejidad de los sistemas ha seguido creciendo y multiplicándose. El desarrollo de proyectos de transformación digital que utilizan combinaciones de aplicaciones, cloud y servicios ha llevado a un cambio más rápido. Esta complejidad ha crecido junto con las amenazas y riesgos de seguridad para esos dispositivos y sistemas. Resolver este problema es más importante que cualquier individuo o equipo – y se basará en la colaboración para obtener todos los datos necesarios y utilizarlos en todos los diferentes casos de uso.

¿Por qué es tan difícil saber lo que tienes?

El mayor problema es la falta de visibilidad en torno a los activos de TI. Para los profesionales del ITAM a largo plazo, esta brecha entre los activos de hardware existentes y los registros en el CMDB ha sido un problema perenne durante años. Aunque ahora es fácil obtener información sobre los dispositivos conectados a la red, el crecimiento del trabajo en movilidad ha dificultado el seguimiento de los ordenadores portátiles y del software instalado en ellos. Obtener esta lista precisa de activos es esencial, pero asegurarse de que esté actualizada y sea precisa en todas las versiones de hardware y software sigue siendo un reto.

Otro de los problemas es que hay más dispositivos conectados a la red que no son ordenadores de sobremesa o portátiles tradicionales. El crecimiento de la informática en torno a máquinas más pequeñas, como la Raspberry Pi y los dispositivos conectados que forman parte del Internet de las Cosas ha hecho que sea más difícil saber qué hay en la red en todo momento.

Paralelamente, se ha producido un aumento de los activos de TI alojados en la nube, lo que ha dificultado el trabajo de ITAM. En lugar de ejecutar aplicaciones o dispositivos en el centro de datos de la empresa, las aplicaciones pueden migrarse a un servicio público de cloud computing o ejecutarse como un servicio de un proveedor. Otro aspecto más desafiante para la gestión de activos es obtener información sobre todas las aplicaciones que se utilizan, ya sean aplicaciones internas que se ejecutan en sistemas como AWS, Google Cloud Platform o Azure, o aplicaciones de Software-as-a-Service que se entregan a través de un navegador.

Hoy en día, hay otra tendencia a considerar. Las nuevas aplicaciones se están desarrollando y ejecutando en contenedores de software: se trata de instancias pequeñas y ligeras que contienen sólo los elementos necesarios para ejecutar un componente de aplicación. Por lo general, se ejecutan en los servicios en la nube durante el tiempo que se necesitan, y el número de contenedores puede aumentar o disminuir en función de la demanda de un servicio por parte de los clientes o usuarios.

Lo que hace que los contenedores sean más desafiantes desde la perspectiva del ITAM es que son efímeros. En lugar de ser configurados y ejecutados durante años, los contenedores se solicitan a una biblioteca de imágenes, se ejecutan en la nube y luego se apagan cuando ya no son útiles. Aunque tienden a estar construidos sobre componentes de software de código abierto, lo que elimina algunas de las presiones de las licencias de software, pueden existir durante horas o incluso minutos. Desde una perspectiva de gestión de activos, esto hace que la administración de una lista precisa de lo que está en marcha sea muy difícil.

Tomemos todas estas tendencias en su conjunto -el crecimiento de IoT, el aumento de la nube y la introducción de contenedores- junto con el continuo problema de mantener una lista detallada de activos, y el problema que existe debería ser claro. Sin embargo, ¿qué podemos hacer para solucionar el problema?

Colaboración entre los activos, la seguridad y el servicio: cambio de objetivos

Es necesario saber, dentro del negocio, quién requiere una lista de activos precisa y actualizada, y por qué. Por ejemplo, los equipos de seguridad de TI deben mantener los activos de la empresa protegidos contra amenazas externas. Estos equipos también tienen que mantener una lista de vulnerabilidades de software y de TI, tanto si la organización corre el riesgo de sufrirlas como si no, y luego priorizar la forma de corregirlas o parchearlas con el tiempo.

Para los equipos de ITAM y de seguridad por igual, estos datos son esenciales, pero se pueden generar en silos. En cambio, los equipos pueden colaborar para asegurarse de que tienen toda la información sobre los activos que necesitan.

Lo que esto significa en la práctica es que estos equipos deben reunirse para crear una lista precisa de activos de TI y mantenerla actualizada en tiempo real. Para los equipos de ITAM e ITSM, el acceso a estos datos puede conducir a cambios en sus prioridades e indicadores clave de rendimiento (KPI). En lugar de centrarse en la elaboración de una lista de activos y en mantenerla actualizada, debería enfocarse mucho más en cómo utilizar esos datos para el cumplimiento de las licencias, la reducción de costes y la reasignación de activos allí donde sea necesario.

Esto también puede ayudar a los equipos a hacer frente a uno de los mayores problemas del ITAM: la variación. En el inventario medio de activos fijos, los nombres de los proveedores pueden representarse de ocho maneras diferentes, mientras que el mismo producto puede existir también con veinte nombres diferentes. Junto a esto, es posible que se desarrollen diferentes complejidades en los nombres de los productos. Esta variación dificulta la gestión de la coherencia entre los equipos; desde el punto de vista de la seguridad, dificulta la correlación de las posibles vulnerabilidades; para ITAM, complica la gestión de activos y el proceso de cumplimiento de licencias. Como parte del enriquecimiento de los datos sobre activos, los datos de inventario deberían normalizarse para que sea más fácil gestionar la variación.

  • Raúl Benito es Territory Account Manager de Qualys para España y Portugal