La carrera por migrar a la nube deja brechas de seguridad en la modernización de sistemas heredados

La fiebre por migrar a la nube está creando una peligrosa paradoja de seguridad. Mientras las organizaciones compiten por modernizar sistemas heredados—desde mainframes con décadas de antigüedad hasta aplicaciones .NET y bases de datos SQL Server—están utilizando herramientas de automatización cada vez más sofisticadas que prometen transiciones sin problemas. Sin embargo, los equipos de ciberseguridad se encuentran marginados en este proceso de modernización acelerada, creando lo que los expertos advierten podría ser la próxima gran ola de brechas de seguridad en la nube.

La carrera armamentística de la automatización

La reciente introducción de Nova Act por parte de AWS representa un salto significativo en la automatización de migraciones. Esta herramienta impulsada por IA promete 'matar Windows' automatizando interacciones de interfaz de usuario y flujos de trabajo de aplicaciones, eliminando potencialmente costos de licencias mientras acelera las migraciones. De manera similar, la solución de modernización de mainframes de Precisely ofrece replicación de datos en tiempo real a Amazon S3, prometiendo mover datos empresariales críticos sin interrupciones.

Estas herramientas abordan presiones empresariales legítimas. Los sistemas heredados suelen conllevar costos de mantenimiento exorbitantes, escasez de habilidades y problemas de compatibilidad. La promesa de reducir gastos operativos—particularmente los costos de licencias de Windows en entornos AWS—crea incentivos financieros poderosos para una migración rápida.

La brecha de seguridad en las canalizaciones de modernización

Los profesionales de seguridad están dando la voz de alarma sobre lo que ocurre entre las fases de 'levantar' y 'mover'. 'Cuando automatizas la migración de una aplicación de mainframe que nunca fue diseñada para entornos en la nube, no solo estás moviendo código—estás transplantando décadas de suposiciones de seguridad que ya no aplican', explica María Rodríguez, CISO en una firma de servicios financieros en proceso de transformación cloud.

El caso de estudio de DXC Technology con la plataforma de seguros de vida de Ivari ilustra esta tensión. Si bien la migración movió con éxito sistemas centrales de seguros a la nube, la integración de seguridad ocurrió principalmente en fases posteriores a la migración en lugar de estar integrada a lo largo del ciclo de vida de modernización.

Nuevas superficies de ataque en sistemas heredados nativos de la nube

Las aplicaciones heredadas modernizadas presentan desafíos de seguridad únicos:

1. Deriva de configuración: Las herramientas de migración automatizada suelen aplicar configuraciones de seguridad en la nube por defecto que pueden no alinearse con el modelo de seguridad original de la aplicación o los requisitos de cumplimiento.

1. Complejidad de gestión de identidad y acceso (IAM): Los modelos de seguridad de mainframe basados en RACF o ACF2 no se traducen directamente a sistemas IAM en la nube, creando brechas de permisos o cuentas con privilegios excesivos.

1. Brechas en la protección de datos: Soluciones de replicación en tiempo real como la de Precisely pueden mover datos sensibles sin cifrado adecuado o controles de prevención de pérdida de datos configurados para almacenamiento en la nube.

1. Puntos ciegos de monitoreo: Las aplicaciones heredadas modernizadas mediante automatización de interfaces pueden no generar registros nativos de la nube o integrarse con sistemas de gestión de información y eventos de seguridad (SIEM).

El dilema del cumplimiento normativo

Las organizaciones de servicios financieros, salud y gobierno enfrentan desafíos particulares. Los sistemas heredados suelen contener controles de cumplimiento construidos durante años para cumplir regulaciones como HIPAA, PCI DSS o SOX. La migración automatizada puede romper estos controles o no recrearlos en entornos en la nube.

'Hemos visto casos donde reglas de seguridad de mainframe que tardaron años en refinarse son reemplazadas por grupos de seguridad genéricos en la nube durante la migración', señala el consultor de ciberseguridad James Chen. 'La brecha de cumplimiento no se descubre hasta la siguiente auditoría, momento para el cual los datos sensibles pueden haber estado expuestos.'

Recomendaciones para equipos de seguridad

Para cerrar la brecha de seguridad en la modernización de sistemas heredados, los profesionales de ciberseguridad deberían:

1. Exigir participación temprana: Los equipos de seguridad deben involucrarse desde las etapas iniciales de planificación de modernización, no ser incorporados durante fases finales de pruebas.

1. Desarrollar políticas de seguridad nativas de la nube: Crear marcos de seguridad específicos para aplicaciones heredadas modernizadas que aborden tanto vulnerabilidades heredadas como nuevos riesgos específicos de la nube.

1. Implementar validación de seguridad continua: Desplegar pruebas de seguridad automatizadas a lo largo de la canalización de migración en lugar de depender de evaluaciones puntuales.

1. Enfocarse en la seguridad de datos: Priorizar estrategias de descubrimiento, clasificación y protección de datos antes de que comience la migración, asegurando que el cifrado y controles de acceso viajen con los datos.

1. Construir habilidades de seguridad híbridas: Desarrollar capacidades del equipo que comprendan tanto la seguridad de sistemas heredados (mainframe, Windows Server) como los paradigmas de seguridad en la nube.

El camino a seguir

La presión por modernizar no disminuirá, pero la seguridad no puede seguir siendo una idea tardía. Los proveedores de nube y los fabricantes de herramientas de migración deben incorporar capacidades de seguridad en sus ofertas en lugar de tratarlas como complementos. Mientras tanto, los líderes de seguridad deben abogar por enfoques de modernización que prioricen la seguridad junto con la velocidad y la reducción de costos.

El próximo año probablemente verá un mayor escrutinio regulatorio de las prácticas de migración a la nube, particularmente en industrias reguladas. Las organizaciones que integren seguridad a lo largo de sus trayectos de modernización no solo reducirán el riesgo sino que también acelerarán la realización de beneficios en la nube—demostrando que la seguridad habilita, en lugar de obstaculizar, la transformación digital.