5 mejores prácticas para garantizar la seguridad de las API de terceros
Cuando las empresas consideran la seguridad de la interfaz de programación de aplicaciones (API), generalmente se enfocan en proteger las API que se escriben internamente. Sin embargo, no todas las API utilizadas por las empresas se desarrollan internamente, algunas están diseñadas y desarrolladas por otras organizaciones. El problema es que muchas empresas no se dan cuenta de que el uso de API de terceros puede exponer sus aplicaciones a problemas de seguridad como malware, violaciones de la privacidad y acceso no autorizado.
Las API de terceros son interfaces de software que permiten a las empresas aprovechar la funcionalidad o los datos de terceros en sus propios sitios web o aplicaciones. Estas API de terceros permiten a los desarrolladores integrar sus aplicaciones o sistemas con servicios, datos o funcionalidades externos, dice Phil Quitugua, director de ciberseguridad en la firma de consultoría e investigación tecnológica ISG.
Las API populares de terceros incluyen aplicaciones de navegación, plataformas de redes sociales y herramientas de procesamiento de pagos digitales. «Estas son API que proporcionan terceros como Google o Facebook para que pueda acceder a sus datos o funciones en su propio sitio web o aplicación», dijo Paul Scanlon, vicepresidente de productos de DataDome. “Todo el mundo ama las API. Al permitir que todos los tipos de dispositivos y aplicaciones compartan información a través de todos los tipos de protocolos de comunicación, las API ayudan a los desarrolladores a crear excelentes experiencias de usuario de manera mucho más fácil y eficiente”.
Pero dentro de la ubicuidad y la popularidad de las API se encuentra el talón de Aquiles de la seguridad: aproximadamente el 94 % de las organizaciones tuvieron problemas de seguridad con las API de producción el año pasado y el 17 % fueron víctimas de una infracción relacionada con las API, según el estudio. Informe de estado de seguridad de API Q1 2023 por Sal Seguridad. Por lo tanto, es necesario implementar seguridad para las API de terceros.
Por qué es tan importante garantizar la seguridad de las aplicaciones de terceros
Las API de terceros necesitan una seguridad sólida porque pueden presentar vulnerabilidades, dice Jim McKenney, líder de práctica para tecnologías industriales y operativas en NCC Group. Si no están protegidos, pueden filtrar datos confidenciales o causar problemas con el software original.
«La seguridad de la API protege la comunicación entre programas, como la API de OpenStreetMap, de las amenazas cibernéticas», dice McKenney. “Protege contra ataques maliciosos, acceso no autorizado y amenazas emergentes como el abuso de API. La seguridad API garantiza conversaciones seguras y auténticas entre aplicaciones”.
La seguridad de API de terceros implica implementar medidas como autenticación, autorización, cifrado y auditoría para garantizar la privacidad, integridad y disponibilidad de la API y sus datos, dice Doug Ross, vicepresidente de información y datos de Sogeti, parte de capgemini. «La seguridad de las API es un aspecto crítico del desarrollo de software, ya que las API a menudo sirven como puente entre diferentes sistemas y se usan cada vez más para intercambiar información confidencial y crítica», dice Ross.
Garantizar la seguridad de las API de terceros es fundamental por muchas razones. Por un lado, las API pueden acceder a información sensible como datos de usuario o información de pago. Por lo tanto, si una API de terceros se ve comprometida, puede provocar filtraciones de datos que afecten tanto a los usuarios finales como a las empresas que dependen de las API. Además, las API inseguras pueden exponer las aplicaciones o los sistemas a vulnerabilidades y ataques, lo que podría provocar fallas en el sistema o acceso inapropiado a los recursos.
La seguridad de las API de terceros también es importante para mantener el cumplimiento, ya que muchas industrias tienen regulaciones estrictas de privacidad y protección de datos, como el Reglamento General de Protección de Datos (RGPD) de la UE y la Ley de Portabilidad y Responsabilidad de Seguros Médicos de EE. UU. Garantizar la seguridad de las API de terceros ayuda a las empresas a cumplir con estas regulaciones y evitar sanciones de los reguladores, dice Ross.
Y una brecha de seguridad que afecte a una API de terceros puede dañar la reputación de la empresa, provocar la pérdida de la confianza del cliente y afectar potencialmente a las asociaciones comerciales.
Aquí hay cinco mejores prácticas para mantener seguras sus API de terceros:
Mantenga un inventario de API que incluya API de terceros
Mantener un inventario de API que se actualice automáticamente a medida que cambia el código es un primer paso crítico para un programa de seguridad de API, dice Jacob Garrison, investigador de seguridad de Bionic. Este es un primer paso crucial para un programa de seguridad de API; Debe distinguir entre API de origen y de terceros. Y fomenta el seguimiento continuo TI en la sombra – Las API se incorporaron sin notificar al equipo de seguridad.
«Para garantizar que su inventario sea sólido y procesable, debe realizar un seguimiento de qué API transmiten información crítica para el negocio, como información de identificación personal y detalles de tarjetas de pago», dice. Según Garrison, un inventario de API es un complemento de la gestión de riesgos de terceros. Cuando los desarrolladores usan API de terceros, vale la pena considerar las evaluaciones de riesgo de los propios proveedores.
«Suponga que su equipo de ingeniería de datos quiere enviar datos personales a Tableau para su análisis», dice. «En ese caso, vale la pena evaluar si la postura de seguridad de este proveedor está dentro de la tolerancia al riesgo de su organización».
Frank Catucci, jefe de tecnología y jefe de investigación de seguridad de Invicti Security, está de acuerdo en que es fundamental incluir un inventario de API de terceros.
«Las API de terceros deben ser parte de su inventario general de API y debe pensar en ellas como activos que le pertenecen y de los que es responsable», dice. «Por lo tanto, asegurarse de tener un recuento preciso de qué API se ejecutan, dónde y qué están haciendo es un primer paso importante, porque no puede asegurar lo que no sabe».
Investigue las API de terceros
Según McKenney, las organizaciones deben elegir proveedores de buena reputación con fuertes medidas de seguridad que monitoreen la actividad de la API en busca de comportamientos sospechosos y usen encriptación. Por ejemplo, use solo una API de procesamiento de pagos de un proveedor confiable, controle regularmente los registros de la API para detectar actividades inusuales y asegúrese de que todos los datos confidenciales enviados a través de la API estén encriptados.
Es importante que los terceros construyan un proceso para administrar la seguridad de los proveedores, dice Bryan Willett, director de seguridad de la información de Lexmark. «Este proceso debe estar estrechamente integrado en su proceso de adquisición para que todos los proveedores y contratos pasen por el proceso», dice. «El proceso debe consistir en una serie de subprocesos, incluida la evaluación de riesgos del proveedor, la evaluación de la seguridad del proveedor y el monitoreo continuo y la revisión del contrato para garantizar que los términos sean consistentes con la tolerancia al riesgo de la organización».
Asegúrese de que los proveedores realicen pruebas de seguridad para las API de terceros
Es importante que las organizaciones establezcan controles de seguridad generales de sus proveedores, así como controles de seguridad en varias etapas del ciclo de vida de API de terceros, para garantizar que las protecciones adecuadas estén en línea con su tolerancia al riesgo, dice Willett.
“Por ejemplo, quieren ver un ciclo de vida de desarrollo de seguridad integrado en la cultura de la organización, desde la capacitación hasta las puertas a lo largo del proceso de implementación para garantizar que la seguridad se considere desde el principio”, dice. Esas puertas deben incluir prácticas que aborden los riesgos que plantea el código fuente desarrollado por el proveedor y las bibliotecas de código abierto incluidas en el producto, dijo Willett.
«Quieres ver eso [the vendors] tenga buenas prácticas de prueba de seguridad y use las últimas herramientas para realizar análisis de código estático, pruebas de fuzz y escaneo de vulnerabilidades”, dice Willett. «En el lado operativo, desea ver evidencia de un sólido proceso de gestión de cambios con controles apropiados sobre el acceso a los datos y la implementación de principios de confianza cero».
Los proveedores también deben tener programas maduros de administración de vulnerabilidades que monitoreen el entorno operativo en busca de parches y tener un acuerdo de nivel de servicio definido para cuándo se parchearán las vulnerabilidades.
Pruebe usted mismo las API de terceros
Según Catucci, incluso si las empresas no han escrito API de terceros y no las controlan, aún pueden probarlas como si fueran sus propias API. Por ejemplo, las organizaciones podrían usar capacidades de prueba de seguridad de aplicaciones dinámicas para escanear API de terceros en busca de vulnerabilidades conocidas, componentes vulnerables o componentes obsoletos que pueden estar presentes en esas API.
«Todavía tienes que probarlos, incluso si no los tienes», dice. «Si encuentra que una API de terceros tiene una vulnerabilidad específica, es posible que desee bloquear esa funcionalidad o abstenerse de usar esa API hasta que se solucione».
Rotar claves API
Otro problema de seguridad es la rotación de las claves API, dice Willett. Cuando un usuario llama a una API de terceros, debe proporcionar una cadena única, conocida como clave, con su solicitud. Esta cadena le dice al proveedor qué cliente está haciendo la llamada. Girar las llaves regularmente es necesario por dos razones principales.
“Primero, un actor malicioso intercepta su clave API, luego puede generar solicitudes en su nombre. Dependiendo de los protocolos de seguridad utilizados por el tercero, esta clave puede ser suficiente para extraer información confidencial sobre su cuenta”, dice Willett. “En segundo lugar, las API de terceros cuestan dinero. Las claves API se utilizan con fines de facturación. Un actor malicioso puede usar rápidamente su clave para realizar solicitudes de API para inflar su factura. Por ambas razones, un programa de seguridad de API debe incluir la rotación regular de claves”.
Conclusión: no dejes las API desprotegidas
Los ataques basados en API son sofisticados y requieren contramedidas igualmente sólidas. Además, las infracciones de terceros son más importantes ahora que nunca, dice Jeremy Ventura, director de estrategia de seguridad y director de seguridad de la información de ThreatX.
«Muchas brechas de seguridad de alto perfil como Peloton y Nissan han resultado de API desprotegidas», dice. «Un ataque a la cadena de suministro de una empresa es muy atractivo para los ciberdelincuentes que buscan entrar por la puerta de una red».
Por lo tanto, es fundamental que las organizaciones entiendan que las amenazas de seguridad de API de terceros no son solo un problema de TI, sino un problema comercial central que afecta a todas las organizaciones y clientes involucrados, agrega Ventura.
Derechos de autor © 2023 IDG Communications, Inc.
Hemos recibido este contenido de ciberseguridad de: CSO Online
Encontrarás la noticia original en el enlace que se encuentra a continuación: https://www.csoonline.com/article/3699393/5-best-practices-to-ensure-the-security-of-third-party-apis.html#tk.rss_news
