Recientemente, mientras realizaba entrevistas de investigación para una empresa pequeña pero en rápido crecimiento, me encontré por primera vez con una organización con una red “sin proveedor de red”. Es decir, en lugar de utilizar Cisco o Dell, o incluso una solución de caja blanca para conmutación y enrutamiento, la empresa desplegó únicamente equipos Fortinet para toda su red. Es decir, cada componente de la red forma parte de su infraestructura de seguridad.
Construyen sus redes de esta manera no sólo para incorporar la seguridad en su núcleo (lo cual es una buena idea en sí misma), sino también para:
Fácil de gestionar: disponen de una herramienta que gestiona cada componente
Fáciles de desplegar: Sólo tienen dos o tres versiones de cada dispositivo, todas iguales excepto en capacidad y número de puertos.
Fácilmente ampliable a nuevas ubicaciones: cada sitio tiene el mismo aspecto que cualquier otro de tamaño similar.
Mantienen un pequeño inventario de equipos de repuesto en las estanterías para proporcionar una recuperación rápida para todas las ubicaciones. También pueden utilizar fácilmente un centro de operaciones de seguridad como servicio y recurrir a servicios profesionales para gestionar casi todas las demás operaciones de red. Esencialmente, su solución de seguridad también puede convertirse en su solución de red completa.
Utilizan Fortinet, pero también podrían recurrir a Versa Networks o Watchguard u otras empresas.
A medida que los proveedores de seguridad se adentran en el ciberespacio, ¿deberían las empresas adoptar su visión?
Sí y no.
Por el lado positivo, existen algunas ventajas claras centradas en la simplicidad operativa y la facilidad de gestión al tener un único proveedor y un número mínimo de tipos de dispositivos que componen una pila convergente de red/seguridad. Además, situar la seguridad en el núcleo de la red debería reducir en gran medida, si no eliminar, la probabilidad de que se produzca una desconexión entre la política de seguridad y las prácticas de red, tan habitual en entornos en los que la seguridad y la conectividad están separadas.
El inconveniente es que cualquier monocultivo en TI hace que la infraestructura sea más susceptible a los puntos débiles de la plataforma elegida y a los problemas de los proveedores. Si hay una vulnerabilidad de seguridad en el sistema operativo de un dispositivo central, toda la red y todas las ubicaciones pueden ser atacadas simultáneamente y de la misma manera: un ataque que las comprometa a todas. Si la seguridad tuviera una capa de infraestructura separada, sería posible mitigar los problemas en la capa de seguridad cambiando la configuración de la capa de red, del mismo modo que la capa de seguridad mitiga los riesgos en la red. Si un proveedor es adquirido por otro proveedor o adquiere otro proveedor, el soporte para toda la infraestructura de conectividad estará en riesgo durante el periodo de transición.
La otra cara de la moneda de tener un asfixiante control cuando las cosas van mal es tener menos influencia en las negociaciones de precios y unos costes potencialmente más elevados. Cuanto más dependas de un proveedor para algo, más difícil te resultará subir la apuesta y cambiar de proveedor.
El atractivo y las ventajas reales de integrar los sistemas de seguridad en el conjunto de la red son más evidentes para las pequeñas y medianas empresas. Es más probable que tengan necesidades uniformes y relativamente sencillas y que cuenten con poco personal. Es más probable que tengan dificultades para permitirse, atraer y retener el talento que necesitan en seguridad y redes. Por eso, sólo hay una plataforma que puede convertirse en experta, que puede formar a nuevos empleados o externalizar la gestión y permitirles sacar el máximo partido de los empleados existentes.
Para las grandes empresas, las ventajas son menos evidentes. Estas tienden a tener entornos y requisitos más complejos y es menos probable que toleren los riesgos de una cultura única porque están en mejores condiciones de dotar de personal y apoyar ecosistemas híbridos.
Entonces, ¿debería un sistema de seguridad ser una red? Para las organizaciones más pequeñas, parece factible dadas las advertencias anteriores. Para la mayoría de las grandes organizaciones, creo que la respuesta ahora mismo es no. En su lugar, deberían centrarse en hacer de sus sistemas de red una parte mayor de su infraestructura de seguridad.
Los conmutadores de red pueden y deben desempeñar un papel central a la hora de implantar una arquitectura de confianza cero (como debería hacer todo el mundo) o SD-LAN o desplegar un perímetro definido por software (SDP). El conmutador debe ser el punto de aplicación de las políticas definidas y gestionadas en algún tipo de motor de políticas de seguridad. Deberían poder hacerlo aunque no sean del mismo proveedor, y mucho menos del mismo proveedor de seguridad.
