Podcast - Cómo securizar tu plataforma de desarrollo en Google Cloud.

En el anterior episodio, Cómo securizar tus aplicaciones en Google Cloud, hablamos de los principales servicios que ofrece Google para proteger tus productos digitales, tanto en la capa de aplicación, como en la parte de comunicaciones de red.

En este episodio vamos a continuar hablando sobre cómo securizar el resto de la cadena de desarrollo de un producto digital empezando por la infraestructura.

Infrastructure Security

Securizar tus aplicaciones es importante, pero también lo es el acceso a la infraestructura sobre la que desarrollamos. Para ello, Google ofrece varios servicios como OS Login, que permite a lo/as desarrolladores/as conectarse a la máquinas virtuales usando el IAM de Google Cloud, evitando así la necesidad de autorizar el acceso máquina por máquina a cada persona de forma individual o, pero aún, teniendo usuarios genéricos de acceso.

En materia de acceso a la infraestructura, Google fue uno de los pioneros implementando políticas Zero Trust, cuyo máximo exponente fue BeyondCorp, un servicio pensado para que sus empleados pudieran acceder a los servicios de la compañía independiente de la red de acceso desde la que lo hicieran.

Este producto actualmente lo ofrecen como producto a cualquier compañía que lo quiera implantar, y permite controlar el acceso a los servicios corporativos dependiendo del contexto (dispositivo desde el que accede, la ubicación, el horario, etc) y la identidad.

Software Supply Chain

La cadena de desarrollo de un producto digital también debe protegerse. Gran parte de los ataques que sufren las empresas se deben a vulnerabilidades encontradas en librerías, SSOO y resto de piezas software, por lo que es fundamental tener una detección temprana para evitar puestas en producción con vulnerabilidades conocidas.

Para ello, Google nos ofrece productos como Binary Authorization, que nos permite definir reglas para el despliegue y la validación de contenedores basándonos en pruebas (por ejemplo, que solo pueden subir a un artefacto aquellos contenedores que hayan sido construidos con Cloud Build).

Complementando a este servicio, también tenemos Container Analysis, encargado de buscar vulnerabilidades conocidas en las imágenes de los contenedores.

Si utilizas Cloud Build y la privacidad es fundamental en tu negocio Google ofrece los Private Pools, que te proporcionan entornos de construcción de Cloud Build única y exclusivamente para ti.

Y si tu proceso de negocio necesita cumplir con alguna Compliance específica nos podremos apoyar en Assured Workloads, servicio que nos permite definir una serie de reglas que tu carga debe cumplir cuando tenemos requisitos ligados a la localización de los datos, soberanía del dato, acceso de personal autorizado basado en atributos o necesidades específicas de encriptación.

Data Security

Enlazando con el tema anterior, y ya centrados en la capa de datos, Google ofrece multitud de servicios para proteger la información más sensible. Productos como Cloud DLP, para poder enmascarar o redactar datos personales, o productos como Cloud KMS, donde gestionar tus claves de encriptación, son fundamentales a la hora de cumplir con legislación como la GDPR o asegurar la soberanía del dato.

Governance, Compliance and Monitoring

Finalmente, existen otros servicios orientados a tener un control global sobre toda la cadena, desde construcción al despliegue así como en la operativa diaria.

Para ello, contamos con Security Command Center, la plataforma de gestión de riesgos y seguridad de datos de Google Cloud. Con ella podemos obtener una visión y un control centralizados de nuestra consola de Google, descubrir y corregir problemas de configuración y vulnerabilidades, cumplir con los requisitos de los informes (como por ejemplo los CIS) o alguna normativa o estandar (ejemplo: PCI-DSS), así como detectar amenazas que afectan a tus recursos de Google Cloud.

Y si lo que queremos es analizar grandes volúmenes de telemetría de red tenemos a Chronicle. Este servicio, adquirido por Google hace pocos años, permite a los equipos de ciberseguridad detectar, investigar y responder a las amenazas y ataques de manera rápida y escalable.
Sabemos que son muchos los servicios mencionados pero la seguridad, y especialmente en la nube pública, es algo que se toman muy en serio los principales proveedores cloud.

Google además, no solo posee la experiencia como proveedor cloud, sino como desarrollador. Google Fotos, Gmail, Maps, Drive…son aplicaciones con millones de usuarios activos que hacen uso de ellas de manera diaria.

Toda esa experiencia está volcada en muchos de estos servicios que inicialmente fueron construidos por y para ellos y que finalmente han comercializado para todo aquel que quiera tener una seguridad al nivel de Google pero sin grandes sobrecostes.

Si te ha gustado no olvides escuchar estos dos episodios y si algún servicio te interesa en particular, mantente al tanto porque en breve haremos algún monográfico sobre ellos.

¿Te perdiste la primera parte?

No hay excusas, escúchalo aquí:

¿Dónde escuchar todos nuestros podcast?

Puedes escucharlos en las principales plataformas de podcast: Ivoox, Spotify, YouTube, Google Podcast, Apple Podcast y Amazon Music.