Hoy en día, cuando el cibercrimen genera pérdidas globales de más de 1 trillón de dólares, principalmente a empresas de todos los tamaños, Gartner anticipa que sólo los controles de seguridad para el intercambio de mensajes por Internet (como los anti-malware y los anti-spam) generarán el 60% de las ganancias del sector seguridad de la industria TI, triplicando su participación con respecto a los inicios de la seguridad informática en 2008.


¿Qué es la seguridad como un servicio (SaaS)?

Se conoce con este nombre a la práctica de proporcionar aplicaciones de seguridad tradicionales (firewall, antivirus, control de spam) como un servicio basado en Internet, en formato on-demand, a usuarios finales y compañías. En el área de consumo particular, lo más común son las suites anti, que incluyen antivirus, antispam y antispyware.

Esta modalidad de enfrentar las vulnerabilidades de las redes surgió como una respuesta a la necesidad de entregar seguridad en tiempos en que el enorme desarrollo de Internet obliga a las organizaciones a estar siempre conectadas, pero a la vez siempre más expuestas. En las empresas, el SaaS es un modelo de externalización no sólo de la infraestructura de los medios de seguridad, sino también de la administración, gestión y seguimiento de éstos. Lo más habitual en Chile de una solución SaaS es un antivirus que se entrega a través de Internet (no se instala en los PCs), pero ya se están viendo soluciones que involucran otras aplicaciones (como paneles de control basados en Internet, firewall, reportes en línea, envío y gestión de alertas de niveles de servicio), que son constantemente gestionadas por una organización externa que se instala físicamente en la empresa.


Hacia un enfoque integral

Los productos de seguridad basados en Internet (o cloud security) son un segmento del mercado del SaaS. A la proyección de Gartner se suman las estimaciones de la consultora Global Industry Analysts (GIA), la que, considerando el aumento de los “ciber crímenes”, la necesaria vigilancia de brechas de seguridad en todas las redes, y el cada vez mayor valor de la reputación de las instituciones que se pueden ver comprometidas con incidentes de seguridad, anunció que el gasto en el mercado global de la “ciber seguridad” llegará el 2017 a más de US$80 billones.

La primera vez que se utilizó el término SaaS fue en 2001, donde los servicios de seguridad externalizada se conocían como Secure Web Gateway (SWG). Dicho servicio redirigía el tráfico web de la organización a través de un centro de datos para su uso y limpieza.

Las aplicaciones de SaaS se rentabilizan según el número de usuarios finales que el servicio cuenta, o en el caso de algunas empresas, se cobra un fee por solución aplicada. Por supuesto que los precios varían, si su implementación implica un mayor gasto de ancho de banda y de almacenamiento.

La seguridad como servicio no requiere que el usuario desconozca o pierda el control de sus preferencias de seguridad. Es más, el punto de partida de una buena solución de seguridad es que las instituciones elaboren políticas integrales, y que los administradores internos usen las herramientas del SaaS para controlar, medir y proponer mejoras a la política, y no sólo actualizar sistemas, software y procedimientos a través de una interfaz basada en web. Este modelo implica preferentemente que la compañía externa disponga de personal in-situ y cumpla su jornada de trabajo en las dependencias de la empresa contratante.

En Chile, uno de los sectores pioneros en profesionalizar la seguridad informática es el sector público, el cual obligó a las diversas instituciones a través de programas de mejoramiento de gestión a diagnosticar, diseñar e implementar políticas de seguridad Informática cada vez más complejas y de mayor envergadura, lo que ha impulsado la idea de generar socios estratégicos al servicio de la seguridad de la institución.

Esta idea implica la directa sincronía entre el encargado de TI de la institución y el personal del SaaS, el cual debe ser capaz de elaborar un plan de implementación de la política de seguridad informática, que considere desde la infraestructura de seguridad necesaria hasta la correcta gestión de la inversión en TI.