0:00:05 Emily Wearmouth: Hola y bienvenidos al podcast Visionarios de la seguridad. Soy su presentadora, Emily Wearmouth, y hoy me acompaña Seb Leal Bennett, responsable de arquitectura y nube de un importante banco europeo de inversión. Ha desarrollado toda su carrera hasta ahora en el sector de los servicios financieros, que, creo que podemos convenir, probablemente representa el extremo más exigente de algunos de los entornos tecnológicos más regulados y de mayor riesgo que pueda encontrar. Es un experto en el diseño de arquitecturas para la nube, la resiliencia y la seguridad, ámbitos en los que probablemente el margen de error es cero. Bienvenido al programa, Seb.
0:00:36 Seb Leal Bennett: Estupendo. Gracias.
0:00:36 Emily Wearmouth: Es un placer tenerle con nosotros.
0:00:39 Seb Leal Bennett: Estoy deseando que llegue.
0:00:40 Emily Wearmouth: Tengo algunas preguntas incisivas y voy a entrar directamente en materia porque creo que este aspecto de la alta regulación es muy pertinente. Y una de las razones por las que me alegro mucho de que nos acompañe. Lo que quería plantear para empezar es qué significa realmente cuando se diseña una arquitectura para la nube y probablemente tiene todas estas normativas guardadas en una estantería en alguna parte; ¿las tiene presentes y empieza por ahí, por las restricciones que imponen, para luego pensar en lo que es posible dentro de ellas? O diseña lo que cree que es el enfoque correcto y luego lo somete a un filtro de: un momento, ¿cumple con las normativas? ¿Cuál es el orden en el que piensa sobre las cosas?
0:01:18 Seb Leal Bennett: Definitivamente es lo primero. No se trata de construir y ver qué pasa. Se trata en gran medida de garantizar que los servicios que utilizamos en la nube hayan pasado realmente por un proceso sumamente riguroso en lo que respecta a lo que puede y no puede hacer con ellos, los datos que puede y no puede almacenar en ellos y las formas en que puede usarlos. Por lo tanto, sabe que los servicios de los que dispone para diseñar o construir ya han sido aprobados. Sin embargo, al utilizar dichos servicios, sigue siendo su responsabilidad asegurarse de usarlos correctamente. Por lo tanto, si tiene esas preocupaciones sobre la jurisdicción o la soberanía de los datos, asegúrese de que el servicio que está utilizando se encuentra en la zona correcta, en el área correcta, en la región correcta, y sea capaz de demostrarlo. Así que estamos muy regulados y nos aseguramos de que todos los servicios que utilizamos cumplan con las mismas normativas.
0:02:04 Seb Leal Bennett: Y tenemos equipos especializados que se encargan de esto día tras día, y es un proceso muy difícil. Lo hice una vez para uno de nuestros servicios y es como, vaya, esta gente hace mucho.
0:02:13 Emily Wearmouth: ¿Cree que le frena? Si compara su sector con otros sectores, ¿limita la velocidad a la que puede adoptar las innovaciones?
0:02:24 Seb Leal Bennett: Un poco, supongo, pero no olvide que en el caso de las grandes organizaciones, por ejemplo, podría ser una gran organización tecnológica y su avance se ve ralentizado porque tiene su propia política y proceso que cumplir. Pero también debemos asegurarnos de que lo estamos usando correctamente, porque si nos equivocamos, si nos salimos del mercado y creamos eventos que afecten al mercado, o si nuestros datos se ven comprometidos, el daño a la reputación es descomunal. Así que ni siquiera podemos arriesgarnos a eso. Así que es mejor ir paso a paso y con seguridad, hacerlo bien a la primera, en lugar de ser el ejemplo que el regulador esgrima diciendo: «Miren lo que hicieron mal». Nadie quiere ser esa persona.
0:02:58 Emily Wearmouth: Le presenté como experto en la nube y arquitectura. ¿Cuánto de lo que está haciendo está en la nube? ¿Utiliza la nube por completo o trabaja en entornos en los que tiene una combinación híbrida local y en la nube?
0:03:14 Seb Leal Bennett: Depende en gran medida de la aplicación y de la tecnología disponible. Por lo tanto, todo lo que sea de baja latencia se va a quedar en las instalaciones (on-prem) y va a estar en los centros de coubicación (colos) al lado de los centros de datos. Si tiene algo que es simplemente una aplicación promedio, digamos de tres niveles, tiene su nivel intermedio y de backend que puede ir a la nube, entonces eso puede ir allí. Siempre y cuando tenga sentido. No se limite a volcar cosas ahí fuera porque tenga una métrica que indique que debe trasladar el 10 % o el 100 % de sus aplicaciones allí. Mientras la postura tenga sentido, asegúrese de seguir adelante.
0:03:46 Emily Wearmouth:¿Y cuánta complejidad aporta ese enfoque híbrido? Si se opta por una sola cosa o por otra, supongo que al diseñar un enfoque único, se están duplicando inmediatamente dos enfoques diferentes, dos sistemas y estructuras diferentes. ¿Dónde radican las complejidades en ese sentido?
0:04:04 Seb Leal Bennett: Bueno, de nuevo, depende del enfoque. De modo que podría tener, si adopta un enfoque híbrido, el enfoque híbrido podría ser el hecho de tener su entorno de desarrollo en la nube porque puede desactivarlo, puede ser eficiente y puede ser ágil. No es necesario hacerlo por las tardes o los fines de semana. Desactívelo para ahorrar dinero. Eso no puede pasar a producción en la nube porque no tiene los servicios que necesita. Por lo tanto, mantiene esas dos pilas o puede adoptar un enfoque en el que tome todas las aplicaciones y entornos de manera local o en la nube. Así que, de nuevo, corresponde realmente al arquitecto y al equipo tomar la decisión correcta al respecto. Podemos orientar, ayudar, apuntar en la misma dirección y proporcionar información, pero no se trata de una solución única para todos. Confiamos plenamente en nuestros arquitectos para que nos ayuden a tomar esas decisiones correctas.
0:04:53 Emily Wearmouth:Y, ¿hasta qué punto representa una ventaja o una desventaja ese enfoque de toma de decisiones descentralizado, en el que no se impone que, en toda la organización, deba aplicarse una norma concreta, sino que se analiza cada caso, ya que los requisitos de cada uno son diferentes? ¿Hasta qué punto eso introduce riesgos o la posibilidad de una pila compleja en la que todo está personalizado y es exclusivo para cada caso de uso?
0:05:21 Seb Leal Bennett: Bueno, la forma de evitarlo... de abordar esto, perdón, es simplemente mediante buenas barreras de seguridad, buenos estándares y buenos patrones. De este modo, se evita que cada equipo mantenga la misma conversación 30 veces, ya que el primer equipo que logra llevar la conversación adecuada a través del proceso de arquitectura y gobernanza establece el patrón que se repetirá. De lo contrario, si se cuenta con unos 30 equipos, probablemente se disponga de 60 formas diferentes de hacer lo mismo, y eso no es muy eficiente. Y ahí es donde la arquitectura y la gobernanza son realmente importantes. La gente piensa que ralentizamos las operaciones, pero la otra cara de la moneda es que, si se escapa información, por decirlo de algún modo, resulta bastante difícil recuperarla.
0:05:58 Emily Wearmouth:Ha mencionado la soberanía hace un momento, y quería tratar este tema porque es el más reciente. Comenzamos el año y la IA era la palabra de moda. La IA no va a desaparecer, pero da la sensación de que la soberanía se ha convertido en la palabra de moda, ya sea en relación con la soberanía de la IA o con la soberanía digital o de los datos en un sentido más amplio. Como organización internacional, ¿cómo valora este creciente interés por la soberanía?
0:06:24 Seb Leal Bennett: De hecho, creo que estamos bien tal como estamos ahora porque en nuestra organización hemos tenido claro el concepto de dónde pueden y no pueden estar los datos desde el principio de los tiempos. Así que esto no es nada nuevo para nosotros. Tenemos normativas que controlan lo que podemos y no podemos hacer; siempre ha sido así y siempre lo será. Y por eso es muy importante. No puede permitir que sus datos salgan de la zona permitida, ya sean datos suizos, de Liechtenstein o de Taiwán. Debe asegurarse de que los servicios que utiliza también hayan sido aprobados por el regulador de esa región para garantizar que el proveedor de servicios en la nube le proporciona las herramientas adecuadas. Por lo general, asegúrese de hacerlo correctamente con las aplicaciones. Y si los datos escapan de los límites, debe contar con las herramientas necesarias para detectarlos, visualizarlos, abordarlos y, muy probablemente, auto-informar a los reguladores diciendo: «Vaya, hemos cometido un error».
0:07:18 Seb Leal Bennett:Disculpe las molestias. Analicemos esto a fondo. Nunca lo oculte.
0:07:21 Emily Wearmouth: Así que hace un momento habló de la soberanía, y quería retomar este punto porque parece un tema muy candente en este momento. Ha habido algunas incidencias a un nivel macropolítico recientemente en las que hemos visto cómo sería si ciertas naciones decidieran controlar la exportación comercial de algunos de sus servicios digitales. Y se ha convertido un poco en una conversación sobre la resiliencia en torno a cómo la soberanía ayuda en eso, de modo que si todo ocurre localmente dentro de su mercado soberano, no se verá presionado por los cambios regulatorios en otras naciones. Pero, por supuesto, la naturaleza global de la infraestructura es lo que le otorga resiliencia de otras maneras; si se producen interrupciones en determinados países debido a los llamados eventos de cisne negro, usted querrá contar con ese respaldo cercano, tal vez al otro lado de la frontera. ¿Cómo ve la cuestión de la soberanía y cómo aborda las cosas?
0:08:15 Emily Wearmouth:¿Es resiliencia o no?
0:08:18 Seb Leal Bennett:Interesante. La ley le prohíbe que los datos salgan de una jurisdicción determinada. No tiene permitido almacenarlo fuera del órgano de gobierno. Es decir, China es muy estricta a nivel de provincia. Obviamente, el Gobierno suizo es muy estricto e incluso el del Reino Unido en algunos ámbitos. Por lo tanto, debe ser resiliente dentro del ojo de la ley. Así que hay varios centros de datos o regiones, un proveedor de servicios en la nube en el Reino Unido, en Francia, en Suecia, en Noruega. Están todos ahí. Así que tiene que saber dónde están sus datos y en qué zonas se encuentran y, por lo tanto, actuar dentro de la ley utilizando esos servicios, porque no puede almacenarlos en otro lugar. Así que también tiene más de un proveedor de servicios en la nube y probablemente también tenga sus centros de datos locales. Así que si es realmente importante que no pueda sobrevivir a la caída de una región o zona, puede respaldarla internamente, eso son datos, eso es posible.
0:09:18 Seb Leal Bennett:O adoptar un enfoque multinube resulta costoso. Lo sé porque tiene datos en costos de entrada y salida, pero realmente depende de la criticidad de ese servicio y de cómo necesite estructurar dicho servicio para poder hacer frente a los desastres geopolíticos o naturales que afecten el lugar donde se encuentran los centros de datos. Y por eso también es muy importante comprender, en la medida de lo posible, las ubicaciones de las zonas o al menos la distancia entre ellas con su proveedor de servicios en la nube. Así que, si sabe que hay una inundación en su zona uno, sabe que si sus datos también están replicados en la zona dos o en la zona tres, no hay problema. Pero si tiene proveedores de servicios en la nube que los tienen a todos bastante juntos, o dos de los tres, tiene que saber cuáles dos están cerca para asegurarse de que su copia de seguridad esté en el otro. Y eso es realmente importante.
0:10:03 Emily Wearmouth:Y ¿cómo obtiene ese tipo de información de sus proveedores? Y ¿cree que se obtiene más información si se encuentra en una gran organización financiera que la que quizás algunos de nuestros oyentes puedan obtener en organizaciones más pequeñas?
0:10:14 Seb Leal Bennett:Creo que depende de su relación con el proveedor de servicios en la nube. A veces se puede obtener información. La ubicación exacta, no, eso sin duda es imposible de conseguir, pero se puede preguntar cuál es la distancia entre ellos y no creo que sea una pregunta irrazonable. El proveedor de servicios que utilizamos, porque al crear una suscripción se pueden indicar las zonas deseadas, pero en cada suscripción, la zona uno será una zona física real diferente en la práctica. Por lo tanto, no todo el mundo va a la zona uno y a la zona tres, por ejemplo. Y eso evita que todo el mundo se aglomere en las mismas zonas, pero ofrecen una API para revelar cuál es la zona física. ¿Es la zona uno, dos o tres? Por lo tanto, su zona tres podría corresponder en realidad a la zona física dos. De modo que puede usar esa información para determinar físicamente dónde se encuentra.
0:11:02 Seb Leal Bennett:Y luego, con la otra información, puede empezar a tomar las decisiones correctas sobre dónde almacena sus datos.
0:11:07 Emily Wearmouth:El etiquetado parece casi innecesariamente confuso. Siento que se podría aportar algo de claridad al respecto.
0:11:15 Seb Leal Bennett:Así es, pero se hace por una muy buena razón. Es para evitar que se amontone en las zonas uno y tres, por ejemplo, y que la zona dos se quede vacía. Para que pueda entender las razones que hay detrás.
0:11:26 Emily Wearmouth:Sí. Creo que es una pregunta muy útil que se puede hacer; si sabe que hay ciertas cosas que deben ocultarse por razones de seguridad, preguntar sobre la distancia entre ellas podría ser muy útil para algunos de nuestros oyentes.
0:11:39 Seb Leal Bennett:Y no tiene que tener exactamente, ¿es uno o dos kilómetros? ¿Son más de 10? ¿Es más de 30? Para que realmente pueda ofuscar la información que necesitan proporcionarle para que pueda tomar la decisión precisa y fundamentada.
0:11:52 Emily Wearmouth:¿Y tienen para ustedes como organización, o abogan por una directriz de lo que consideran aceptable o es un poco más fluido que eso y ven lo que ofrecen y luego determinan el riesgo en función del caso de uso en particular?
0:12:09 Seb Leal Bennett:Tenemos nuestras propias políticas y procedimientos, por lo que sabemos lo que es aceptable y la distancia entre los centros de datos, porque cuando todos estábamos en las instalaciones, teníamos distancias entre nuestros centros de datos e intentamos cumplir con el mismo estándar o más cuando se trata de nuestros proveedores de servicios en la nube.
0:12:25 Emily Wearmouth:Supongo que en algunos mercados con mayores extensiones de tierra, podría ser más fácil entonces. Es decir, ambos estamos sentados en el Reino Unido. El Reino Unido no es uno de los países más grandes del mundo. La extensión de tierra es bastante restrictiva.
0:12:37 Seb Leal Bennett:Lo es. Terminas estando al este o al oeste del país o a cualquier lado de Londres, por ejemplo. Es simplemente porque empiezas a mirar cuáles son los eventos que podrían hacer que ambos centros de datos queden fuera de servicio. Y, siendo sincero, si eso ocurre, creo que tenemos problemas más importantes de los que ocuparnos que averiguar cómo levantar un determinado servicio.
0:12:55 Emily Wearmouth:Sí, totalmente. ¿Podemos hablar de confianza cero?
0:12:59 Seb Leal Bennett:Sí, podemos intentarlo.
0:13:01 Emily Wearmouth:Así que hemos hablado un poco sobre su gestión de este entorno híbrido, y me pregunto si, al analizar el acceso y las infraestructuras de acceso, también tiene que crear un enfoque híbrido para ello, y si luego tiene políticas de confianza cero o aboga por ellas y cómo gestiona eso en un entorno híbrido.
0:13:21 Seb Leal Bennett:Por lo tanto, los sistemas subyacentes de autenticación y autorización son los mismos. Tenemos nuestros estándares bancarios, tenemos nuestros sistemas bancarios, y se integran de forma nativa con los del proveedor de ventas en la nube. Y, por lo tanto, no tiene derechos controlados en tres ubicaciones diferentes. Tiene una, tiene una versión de la verdad, una fuente de la verdad, y tiene que asegurarse de seguir el principio de privilegio mínimo. Así que no le da acceso a todo el mundo simplemente porque sea fácil. Les da la información y el acceso que necesitan para desempeñar su función y eso es todo. De lo contrario, pueden salir mal siete cosas diferentes y simplemente no querrá encontrarse en esa situación. Así que sí, no divida sus derechos de acceso ni sus sistemas. No tiene una en la nube y otra local, tiene una y esa es su versión de la verdad.
0:14:07 Emily Wearmouth:¿Puedo preguntar sobre la inteligencia artificial? Algunas personas ponen mala cara cuando digo IA. Parece un tema inevitable porque me intriga saber cuánto control tiene usted sobre un... Supongo que trabaja con un equipo muy grande con un montón de responsabilidades fragmentadas. ¿Cuánto está impactando la IA en lo que está observando en este momento o cambiando la forma en que planifica las cosas?
0:14:31 Seb Leal Bennett:La IA está en todas partes. No se da cuenta de dónde puede ayudar la IA. Así que, cambiando totalmente de tema, el otro día hablaba con alguien sobre la IA, y a su hija le gusta el baile y cantar. Y yo pensé: «Bueno, ¿en qué puede ayudar la IA con eso?» Y dice que, en realidad, para cantar, porque lo ve como un tono. Y de repente su hija, que es totalmente escéptica ante cualquier cosa que pudiera siquiera afectar a su carrera en lo que respecta a la IA, de repente empieza a Usar la IA para afinar mejor al cantar. Todavía no se puede hacer vídeo porque eso libera fotogramas, pero en realidad no se da cuenta de cómo puede ayudar la IA y deberían empezar a jugar con ella. Así que, si no juega con ella en su vida profesional y también en su vida personal, hay cosas en casa para las que puede Usar la IA. Gran ejemplo, recientemente he conseguido un montón de archivos de registro de un sistema de circuito cerrado de televisión (CCTV) que no para de desconectarse.
0:15:21 Seb Leal Bennett:Simplemente lo subí a Claude y le pregunté qué pasa. Pude obtener tres errores y es capaz de señalar que fastidié la configuración de una VLAN, lo cual es genial. No hay manera de que yo hubiera hecho eso por mi cuenta. Habría sido un ticket de asistencia. Pero volviendo al trabajo
0:15:35 Seb Leal Bennett:Pruébela, trastee con ella, juegue con ella. ¿Qué es lo importante, qué está intentando averiguar? Porque si está haciendo algo más de una o dos veces, está prácticamente garantizado que un buen mensaje puede ayudarle. Y otra cosa que creo que la gente pasa por alto es que intenta escribir la instrucción por sí misma, utiliza la IA para escribir las instrucciones y eso también puede ayudarle mucho a avanzar. Así que, en el ámbito de la arquitectura, puede empezar diciendo: "Bueno, en realidad, si tengo todos estos principios, patrones, salvaguardas y requisitos empresariales, ¿puedo codificarlos para poder ejecutar unos cuantos agentes en mi árbol de código, en mis documentos de arquitectura de soluciones o en mis documentos de diseño?" Y lo bueno de eso es que, en lugar de que un arquitecto intente encontrar el punto débil del diseño en un documento de 30 páginas, el agente de IA puede decir: "En realidad, creemos que debería centrarse aquí, aquí y aquí, porque no está ahí para dar por bueno sin más un comportamiento realmente bueno.
0:16:26 Seb Leal Bennett:Está aquí para comprender las excepciones y es mejor mantener una conversación de 10 minutos sobre por qué se está apartando de la estrategia que mantener una conversación de 40 minutos sobre el hecho de que ha aplicado correctamente el BCM.
0:16:37 Emily Wearmouth:Sí. ¿Y qué ocurre con el uso de la IA dentro del equipo? ¿Está viendo que esto cambia su perspectiva sobre cómo podría dotar de personal al equipo a largo plazo, sobre cómo serían esos modelos, sobre cómo podría incorporar nuevos talentos al equipo y sobre cómo cambiaría su forma de valorar a esos nuevos talentos?
0:16:55 Seb Leal Bennett:No veo la IA como un sustituto del equipo. La IA está ahí para ayudar al equipo a ser más eficiente y eficaz y también para ofrecer una perspectiva diferente, porque a veces le hace una pregunta, le responde y luego añade: «Y también...». Y a veces ese «y también» hace que piense: "Espere un segundo. Puedo enfocarlo de otra manera. "Así que puede utilizarla para realizar tareas como escribir correos electrónicos por usted o modificar el correo electrónico, o puede integrarla en los equipos para que trabaje con usted y le proporcione comentarios, o incluso para que vuelva con soluciones y actúe de forma más autónoma. Así que hay muchos niveles diferentes en los que se puede integrar la inteligencia artificial. Se trata de aquello con lo que se siente cómodo y, a continuación, de lo que quiere hacer después.
0:17:33 Emily Wearmouth:Yo diría que a veces es aquello con lo que no se siente cómodo. La semana pasada me sentía un poco quisquilloso, usé Claude y le pedí a Claude que dejara de ser tan servil. Ya le cogió el truco hace un tiempo y no iba del todo mal, pero era algo que realmente me molestaba. Y le pedí que fuera totalmente maleducado. Y durante toda la semana pasada fue tan agresivamente maleducado que tuve que volver a cambiarlo y decirle: "No, puedes ser un poco más amable conmigo". Muchas gracias. "Pero durante esa semana sugería cosas que creo que no habría sugerido antes. Algunos de ellos estaban completamente equivocados. Simplemente discutían por discutir. Pero a veces, el hecho de derribar esa barrera de aquello con lo que me sentía cómodo y cómo estaba dispuesto a que me hablaran, la verdad es que hubo un par de detalles en los que pensé: sí, esto no habría pasado esta semana si no le hubiera permitido insultarme, por ejemplo.
0:18:18 Seb Leal Bennett:Totalmente. Así que todo depende del comando y de cómo quiera que trabaje con usted. Así que puede decir: "No esté siempre de acuerdo conmigo. No siempre tengo razón. Su trabajo como este bot o agente en particular no es discrepar conmigo, sino ir en mi contra, y también encontrar áreas que no hayamos explorado. "Y se trata simplemente de acordarse de hacer esas preguntas y esos comandos, y a veces puede llevar algo de tiempo. Así que tiene a mucha gente preguntando lo mismo, se tiene una tienda de comandos, se copia, se pega, se trae y cosas así. Así que hay muchísimo que podemos hacer en este ámbito y, literalmente, solo estamos rascando la superficie.
0:18:50 Emily Wearmouth:¿Está haciendo algo de forma sistemática con su equipo, de manera informal o tal vez incluso solo para consolidar ese conocimiento en el equipo? Porque lo que estoy observando es que hay personas que se sienten muy cómodas y van por delante, y entonces merece la pena establecer ciertas estructuras para ayudar a quienes se sienten menos cómodos o tienen menos tiempo para trastear. Tal vez tengan compromisos que les impidan dedicar cuatro horas de un fin de semana a mejorar sus habilidades para garantizar que el equipo avance al unísono. ¿Tiene algo para lo que esté construyendo?
0:19:16 Seb Leal Bennett:Pienso que es importante compartirlo. Así que con mi equipo, nos reunimos tal vez durante dos semanas sin preguntar nada, y empecé a decir: bien, ¿quién está haciendo qué con la IA? Cuéntenme qué fue interesante y díganme qué hicieron, por así decirlo. Y no tiene por qué limitarse al entorno de trabajo. También está en los hogares, ¿dónde ha tenido éxito? ¿Dónde ha fracasado? ¿Y qué ha aprendido? Así que se trata simplemente de hablar de ello, de entender qué es lo que no funciona. Y obviamente hay personas que tendrán un poco más de tiempo libre o se tomarán el tiempo de invertir en ello y dar un paso más. Y de nuevo, pueden volver y decir: hice esto, para que todos ustedes puedan aprender de ello. Así que creo que es muy importante que lo hagan juntos como equipo, no solo una o dos personas corriendo por delante, sino que creo que ese es el camino a seguir.
0:19:59 Emily Wearmouth:Sí. Quería hablar sobre seguridad, sobre el podcast Visionarios de la seguridad. Sería negligente si no hiciera una pregunta relacionada específicamente con la seguridad. Y sé que no pertenece al equipo de seguridad, sino que trabaja junto a profesionales de seguridad, pero, como responsable de arquitectura, me pregunto si el equipo de seguridad está presente con usted desde el principio o si lo incorpora, en qué fase del proceso suele incorporar la seguridad y si considera que su enfoque integra la seguridad desde el diseño o si quizá no es así del todo porque los incorpora algo más tarde. What
0:20:35 Seb Leal Bennett:¿Se refiere a incorporarlos más tarde? Porque no es como cuando uno crea una aplicación por su cuenta y piensa: "Necesito añadir autenticación y autorización ahora"; como organización, se tienen normas estrictas y patrones reutilizables en el código que aportan seguridad de forma predeterminada. Creo que, cuando se incorpora OSS u otros productos comerciales, la seguridad es muy importante y debe tenerse en cuenta desde el principio. Por lo tanto, debe plantearse: "¿Cómo debemos integrar este sistema de derechos en el sistema del banco?" ¿Cómo nos aseguramos de que tenga los privilegios mínimos para no sobredimensionar a los usuarios? He visto situaciones en las que la gente ha omitido algo por error y no ha comprendido del todo el patrón de integración, y debido a eso, se les han otorgado permisos con los que pueden ascender a sus conocidos a privilegios de administrador. Obviamente, eso no ocurre. No lo hacen intencionadamente.
0:21:35 Seb Leal Bennett:Simplemente se les pasó por alto. Así que creo que la seguridad es verdaderamente importante. No creo que exista un enfoque unificado al respecto, pero colaborar con su equipo de CISO y asegurarse también de que la forma en que incorpora las aplicaciones al banco, integrándolas desde el principio, es realmente importante. De lo contrario, acabará teniendo problemas. Pero lo hemos visto cuando surgió CloudFirst: la gente dejaba por error su almacenamiento de blobs accesible al público con todas las contraseñas o lo que fuera. Por eso es muy importante dejarlo bien atado desde el principio; de lo contrario, se tendrán problemas. Y ya lo tenemos bien atado. El equipo es brillante. Están en todo. Y por eso, cuando contrata servicios de nuestro proveedor y los pone a disposición, forman parte de ello y se aseguran de que se pueda acotar, de que se pueda garantizar que los datos no se filtren y todo eso.
0:22:23 Seb Leal Bennett:Y, por tanto, cuando se utiliza como ingeniero, se tiene la confianza de que se está utilizando de la manera adecuada.
0:22:29 Emily Wearmouth:Es interesante porque a veces le planteo esa pregunta a alguien y, como usted, se muestra ligeramente incrédulo ante la forma en que lo he formulado. Y la razón por la que lo formulo así es que a veces le hago la pregunta a un profesional de la seguridad, por ejemplo, y me responde: «Es muy frustrante en mi organización». Ya se ha avanzado bastante antes de que se involucre a la seguridad». Así que ocurre, pero es estupendo saber que esa no es su experiencia y parece que avanzan de la mano de la seguridad sobre la marcha.
0:22:55 Seb Leal Bennett:Sí, tenemos que hacerlo. No hay margen para equivocarse.
0:23:22 Seb Leal Bennett:Sí, totalmente. Así que siempre vigilamos eso y, en cuanto surge una nueva tecnología como la nube, todo el mundo se abalanza. Es como niños en una tienda de golosinas, básicamente. Pero si no cuenta con medidas para asegurarse de que está haciendo lo correcto, terminará gastando de más. Y comprobará que a medida que las organizaciones migran a la nube, ejecutan su pila local (on-prem) y también su pila en la nube. Por lo que está duplicando los costos de inmediato. Así que tiene que deshacerse de la pila local lo antes posible. Sin embargo, incluso cuando se está en la nube, los costos pueden ser elevados si sus equipos no saben lo que hacen. Así que, por ejemplo, si considera contratar almacenamiento local, puede preguntar: bueno, ¿cuánto necesita? ¿Qué tipo necesita? ¿Dónde lo necesita? ¿Y necesita una copia de seguridad? Le hacen unas cuatro o cinco preguntas.
0:24:06 Seb Leal Bennett:Cuando empieza a analizar el almacenamiento en la nube, hay unas 15 o 20 preguntas, como cuántas operaciones de lectura y escritura continuas por segundo (IOPS) necesita. Los ingenieros no están diseñados tradicionalmente para responder a esas preguntas, así que nos equivocaremos. Y debido a eso, sobredimensionamos. Y como sobredimensionamos, pagamos por ello. Así que necesita tener algún tipo de gobernanza, foro o mecanismo en el que revise sus costos. Usted dice: «¿Hemos sobredimensionado?». ¿Puede identificar dónde puede ahorrar dinero? Por ejemplo, tiene todo su almacenamiento en almacenamiento caliente cuando en realidad el frío es suficiente. Hay una gran diferencia de precio. Podría deberse a que su patrimonio que no es de producción funciona las veinticuatro horas del día, los siete días de la semana. Probablemente no necesite estar funcionando por las noches o los fines de semana, así que apáguelo y enciéndalo cuando lo necesite. Y hay muchas formas diferentes en las que puede analizar cómo ahorrar dinero.
0:25:54 Seb Leal Bennett:Por lo tanto, dado que la gente dice que la nube no es una cuestión de costos, es una cuestión de eficiencia. Bueno, puede ser una cuestión de costos si diseña las aplicaciones correctamente y se comporta de la manera adecuada desde el principio en la nube. Por lo tanto, es necesario sacar esa lupa, encontrar esos ahorros y compartirlos. No es algo que deba hacer una sola persona o un solo equipo por su cuenta. Es necesario contar con mecanismos para decir, por ejemplo, que en realidad acabamos de ahorrar el 10 % de nuestro costo anual. ¿Quién más puede beneficiarse de eso? Y luego encontrar formas de automatizar eso. Así que, en lugar de decir "haz estos cinco pasos", se le presentan los datos a las personas diciendo "creemos que aquí se ahorra un 10 %", y luego se hace un seguimiento en función de eso. Pida un OKR, impóngalo desde arriba, y se sorprenderá porque creo que, en promedio, el 30 % de todo el gasto en la nube es un desperdicio. Vaya. Invertimos mucho en esto.
0:25:42 Seb Leal Bennett:Todos los años establecemos un OKR en todo el banco, le hacemos un seguimiento, lo perseguimos, lo revisamos y lo compartimos, y eso es lo mejor que se puede hacer.
0:25:52 Emily Wearmouth:Y ¿cree que la mayor parte de ese 30 % se debe a un exceso de aprovisionamiento o son servicios que simplemente no se están utilizando?
0:26:03 Seb Leal Bennett:Es una mezcla de ambas cosas. Predominantemente, se trata de un exceso de aprovisionamiento. Estaba revisando estadísticas el otro día porque llevamos haciendo un seguimiento de la propiedad desde 2023 sobre cuánto hemos ahorrado y lo hemos categorizado. La mayor parte, digamos que alrededor de un tercio, tal vez más de un tercio, correspondía al sobreaprovisionamiento. Ahora estamos empezando a desactivar cosas. Vemos que eso es también un factor muy importante. Pero también haga que su aplicación sea nativa de la nube. Es decir, todos los proveedores de la nube dicen: hágalo bien diseñado, hágalo nativo de la nube, hágalo elástico, de modo que escale desde cero hasta lo más alto según sea necesario, lo que significa que incluso durante los fines de semana se apagará por sí solo. Así de simple. No gaste donde no necesite gastar.
0:26:41 Emily Wearmouth:Cuando la gente habla de sobreaprovisionamiento, siempre me pregunto: tiene una narrativa empresarial que tiende a inclinarse hacia el optimismo. Así pues, la empresa quiere proyectar planes de crecimiento y la intención de escalar, pero dentro de la empresa hay que saber leer entre líneas y ver cuánto de eso es bravuconería y declaraciones que se quieren hacer. Y de manera realista, ¿necesita desarrollar y aprovisionar para un crecimiento agresivo o puede construir hasta un punto medio, pero con la escalabilidad necesaria para cubrirle si se da el mejor de los casos? ¿Hasta qué punto debe alguien escuchar los mensajes que su organización lanza al mercado y cuánto cree que es necesario moderarlos un poco para evitar el sobreaprovisionamiento?
0:27:22 Seb Leal Bennett:Nuestra empresa conoce su mercado a la perfección. Saben a dónde quieren crecer. Tenemos los datos históricos, de modo que sabemos cuáles son nuestras marcas de agua altas y podemos ver por dónde suele aumentar. Sabemos si un evento de impacto en el mercado va a crear una nueva marca de agua alta. Creo que la clave, y no a todos los equipos se les da bien esto en ninguna organización, son sus SLA o sus atributos de calidad. ¿Qué necesita diseñar esa aplicación para que haga? Porque eso es bastante importante cuando se trata también de su diseño, el costo. Por ejemplo, si tiene un sitio web, ¿esa página tiene que renderizarse en medio segundo o en realidad están bien 30 segundos? Porque la respuesta a esa pregunta cambiará su arquitectura, esa arquitectura determinará cuál es el costo y también cuán fácil es escalarla horizontal y verticalmente.
0:28:09 Seb Leal Bennett:Y si no se hace esas preguntas, si no muestra curiosidad cuando mantiene esas conversaciones con el negocio, va a dimensionar su aplicación de forma excesiva o insuficiente. Por lo tanto, tiene que mantener esa conversación para asegurarse de dar en el clavo y, a partir de ahí, trabajar. Consiga esos acuerdos de nivel de servicio (SLA) y los atributos de calidad para su negocio. Saben lo que quieren hacer con él, pero usted también puede oponer resistencia. Pero usar datos, eso es fundamental a partir de ahí. No mantengamos una conversación subjetiva basada en «bueno, creo que esto...», sino mirando los datos, podemos demostrarlo. Pensamos que en el estado actual podemos escalar hasta este punto. Y si necesitamos más, es decir, avanzado a la nube, debería escalarse de forma elástica si es posible.
0:28:50 Emily Wearmouth:El punto que mencionó sobre si esto necesita cargarse en medio segundo o si podría tardar 30 segundos. Mi mente pensó inmediatamente en la IA agéntica y en cómo eso podría estar cambiando las cosas. Porque si está construyendo arquitecturas para que las naveguen los humanos, sabemos que nuestra paciencia —tal vez solo mi paciencia— es bastante limitada y queremos que las cosas pasen muy, muy rápido. Pero si ya no es un proceso humano el que interactúa con ese recorrido arquitectónico, sino un agente, es posible que pueda aceptar una mayor tolerancia en aquellas áreas en las que no lo sea. Mientras el producto final no necesite ser súper rápido, si no depende del tiempo, el agente podría tener más tolerancia a una ruta más lenta y se pueden hacer mayores concesiones para servicios menos costosos.
0:29:34 Seb Leal Bennett:Podría hacerlo, y todo se reduce a cuál es la experiencia de usuario esperada para esa función en particular. Sea agéntica o no, eso va a dictar la arquitectura. Pero sí, es un punto interesante.
0:29:45 Emily Wearmouth:Sí. Eso va de mi parte, Seb. Puede aceptar eso. Apuntaré
0:29:51 Seb Leal Bennett:Eso
0:29:51 Emily Wearmouth:Yo. Añadiendo valor todos los días. Brillante. Bueno, lo sé, pero le hemos robado mucho tiempo y soy consciente de que tiene otra reunión a la que asistir. Así que voy a darle las gracias, Seb. He disfrutado enormemente de esta conversación y espero que nuestros oyentes también.
0:30:05 Seb Leal Bennett:Genial. Gracias por invitarme. He disfrutado mucho y me alegro de aparecer en futuros episodios.
0:30:09 Emily Wearmouth:Brillante. Ha estado escuchando el podcast Security Visionaries y yo he sido su anfitriona, Emily Wearmouth. Si ha disfrutado de este episodio, compártalo, pero asegúrese también de seguirnos en su plataforma de podcasts favorita o en YouTube, y así no se perderá ningún episodio en el futuro. Y nos vemos la próxima vez.
){kind=icon}
