Se estima que el valor de la economía de los datos en la Unión Europea alcanzará los 829.000 millones de euros en 2025, es decir el 5,8% de su PIB, casi tres veces del valor que de 2018. Para que los ciudadanos y las empresas puedan aprovechar sus beneficios, la Unión Europea presentó en 2020 la Estrategia Europea de los Datos. El objetivo es aumentar la productividad y la competitividad, al mismo tiempo que se consiguen mejoras en la sanidad, se crean sistemas de transporte más seguros y limpios, se reducen los costes de los servicios públicos, se mejora la sostenibilidad y la eficiencia energética, y se crean nuevos servicios y productos.

Hasta hace muy poco, la computación en el edge se usaba solo en algunas industrias, pero su capacidad para reducir drásticamente los tiempos de latencia la está convirtiendo en imprescindible en todos los sectores. Además, su amplia adopción ha priorizado las medidas de ciberseguridad. Según el último estudio de Red Hat sobre el Estado de la seguridad en el edge, este es el principal reto en el despliegue del edge computing, seguido por el coste o la falta de capacidades tecnológicas de los equipos. Para casi la mitad de los profesionales de TI a cargo de la toma de decisiones (47%), la seguridad física y digital de los datos, la red y los dispositivos es uno de sus mayores desafíos.

Los riesgos en el edge

El edge computing aumenta la superficie de ataque, lo que deriva en la necesidad de proteger eficazmente no solo la propia infraestructura, sino también un mayor número de endpoints de IoT conectados a ella. Al estar compuesto por cientos de servidores remotos y miles de dispositivos IoT, se convierte en un objetivo atractivo para los ciberdelincuentes, ya que pueden ampliar sus ejércitos de bots para actividades como los ataques DOS (denegación de servicio) o la minería de criptomonedas.

Los datos en sí mismos son un objetivo valioso, así como la capacidad para hacerse con el control de un entorno operativo. En estos casos suelen solicitar un rescate millonario para devolver el control a la organización. Además, el tiempo que dure la negociación puede tener un grave impacto en la actividad operativa.

El proyecto Sigstore mejora la seguridad de las cadenas de suministro de software de forma abierta, transparente y accesible

Por otra parte, muchos sistemas edge heredados están muy cerca del final de su vida útil. Otros carecen de recursos informáticos o de la eficiencia de costes para soportar actualizaciones y parches de software frecuentes. Estos sistemas edge antiguos, con sistemas operativos obsoletos o aplicaciones vulnerables, son una posible vía de ataque para los ciberdelincuentes. Las lagunas en las actualizaciones pueden dejar al descubierto vulnerabilidades y errores de configuración, ya que quedan fuera del alcance de la gobernanza y las políticas centrales de TI.

Por otro lado, la cadena de suministro digital y física, en constante crecimiento y cada vez más conectada, representa un riesgo considerable para el edge. En el caso del software, está sometida a una presión cada vez mayor a medida que los atacantes se centran en las vías indirectas de acceso a las operaciones de las organizaciones, debido a la dificultad de detectarlo como vía de ataque. También el hardware está siendo atacado, pero este presenta más dificultades para los cibercriminales.

En el edge, donde el software y el hardware están más estrechamente acoplados que en otras áreas de la computación, los ataques son más complejos y las protecciones deben ser mucho más sólidas para contrarrestarlos eficazmente.

Resiliente y coherente

No existe una única tecnología milagrosa que pueda dotar de seguridad al edge. Su protección se debe afrontar desde diferentes frentes que abarquen el interior y el exterior de la organización. Es importante adoptar nuevos modelos de trabajo, como el cloud native y el DevSecOps, para mejorar su seguridad, así como su eficiencia operativa.

Las organizaciones deben incorporar la seguridad en una fase más temprana del proceso de desarrollo de aplicaciones, concepto también conocido como enfoque shift left. Pero, si no se hace de una manera apropiada, con una plataforma con las capacidades de seguridad integradas, la solución puede ser mucho más costosa. Además, es muy importante dotar a los desarrolladores de herramientas de seguridad, así como establecer una estrategia para aquellas herramientas tradicionales que no protegen las aplicaciones nativas de la nube en el edge.

Las empresas proveedoras de tecnología debemos preocuparnos por la procedencia y la seguridad del código abierto que ofrecemos

Por otra parte, es de vital importancia conocer el origen del software que se usa en las organizaciones. Por lo general, la mayoría de las aplicaciones comienzan —al menos parcialmente, si no totalmente— en una comunidad de código abierto. Precisamente es en este punto desde donde se tiene que asegurar la cadena de suministro de un producto que no tiene forma física, no está empaquetado, y que se crea en un entorno en el que cualquiera puede contribuir.

Proyecto Sigstore

Con este objetivo, la Fundación Linux, con el respaldo de Red Hat, Google y otros líderes de TI, ha impulsado el proyecto Sigstore, que ofrece un método para asegurar mejor las cadenas de suministro de software de forma abierta, transparente y accesible.

La respuesta a la seguridad de las cadenas de suministro de software se basa en firmar digitalmente los distintos artefactos que componen las aplicaciones, desde los binarios y contenedores hasta los archivos agregados (como los tarballs) y las listas de materiales de software (SBOM). Sigstore quiere facilitar la firma criptográfica para que los desarrolladores no tengan que preocuparse de esta tecnología, con la que no suelen estar muy familiarizados.

Los sistemas edge antiguos, con sistemas operativos obsoletos o aplicaciones vulnerables, son una posible vía de ataque para los ciberdelincuentes

Hay una tendencia en torno a conocer el origen del código que se usa. Las empresas proveedoras de tecnología debemos preocuparnos por la procedencia y la seguridad del código abierto que ofrecemos en nuestros productos. Es importante desarrollar innovaciones y capacidades de seguridad para que las organizaciones puedan verificar la procedencia de los componentes del código, así como dotar de soluciones para toda la nube híbrida abierta. De esta manera, las organizaciones pueden mitigar los riesgos y cumplir con los requisitos de compliance en entornos de TI cada vez más complejos, que combinan servicios de la nube, sistemas tradicionales y dispositivos edge.

También es vital que el sistema operativo donde residen la aplicación y los datos en el edge proporcione una base sólida para la seguridad, con un enfoque en la estabilidad, las actualizaciones de seguridad regulares, las herramientas de gestión de seguridad y la capacidad de integrarse con otras tecnologías de manera segura y certificada.

De este modo, las empresas pueden protegerse desde el origen del código hasta el dispositivo en el edge donde se ejecuta la aplicación.