Guía del Arquitecto para Implementar la Microsegmentación: Administración del Proceso de Implementación

Parte 1 y parte 2 de esta serie exploran las implicaciones de alterar su modelo de seguridad y los recursos necesarios para el éxito con su implementación de microsegmentación.

En la parte 3, examinaremos la mejor manera de administrar el proceso de implementación con puntos de verificación específicos para agregar a su plan.

En muchos sentidos, la implementación de la microsegmentación es solo otro proyecto de TI. Hay trabajo técnico, trabajo político, y trabajo de coordinación como con cualquier proyecto. A continuación, destacaré las consideraciones especiales que hacen que una implementación de microsegmentación sea lo más fluida posible. Estas son las “mejores prácticas” que hemos obtenido de muchas implementaciones empresariales a gran escala y que se pueden adaptar a implementaciones de cualquier tamaño.

Garantizar una amplia capacitación general para todo el equipo del proyecto

Obtenga a tantas personas como sea posible a través de la clase de capacitación general del proveedor. Esto basa a los asistentes en la arquitectura, el lenguaje de políticas y los conceptos centrales de la microsegmentación. Cuando todo el equipo del proyecto asiste a esto en conjunto, todo el proceso de diseño se vuelve más robusto. Cada miembro del equipo multifuncional mencionado anteriormente tiene una visión diferente de TI y comprende las limitaciones y la arquitectura existente desde un punto de vista único.

Cuando cada persona sabe lo suficiente sobre la implementación de la microsegmentación para verbalizar dónde pueden surgir complicaciones, pruebas o certificación obtenidas, y otros detalles similares, es mucho más fácil construir un plan de implementación completo. Cuanto antes se escuchen estas perspectivas en el proceso de planeación, mejor. Si el equipo es traído uno por uno a medida que avanza el proyecto, muchos elementos de “ruta crítica” no se descubrirán hasta semanas después. Este aviso temprano le da a toda la organización un mejor tiempo para planificar y reaccionar.

Espere entregas de diseño completas

Una implementación de microsegmentación tiene varios conceptos nuevos, como señalamos anteriormente. Estos deben reflejarse en el plan y el cronograma del proyecto. Si el plan del proyecto solo tiene hitos técnicos y pierde la coordinación, las notificaciones entre equipos y otros puntos de contacto, el proyecto se deslizará varias semanas al final del proyecto. Cada empresa organiza y rastrea proyectos con sabor local, pero cada proyecto debe tener:

• Un plan de implementación detallado. Un proveedor debe proporcionar una plantilla del “trabajo por realizar” que contenga todas las “lecciones aprendidas” y las “mejores prácticas”. Esto debe integrarse en un plan de implementación procesable, con nombres y fechas asignados según corresponda. El plan debe ser firmado por los equipos que lo ejecutan y el patrocinador ejecutivo debe esperar una cadencia de reporte sobre el progreso.
• Un plan de etiquetado y metadatos. Dado que la política de microsegmentación se basa en nombres y etiquetas en lugar de direcciones IP, el equipo tendrá que evaluar las fuentes de datos actuales e identificar las lagunas. Para las operaciones en curso, puede ser necesario crear o mejorar políticas y flujos de trabajo en torno a cómo se crean y mantienen los metadatos a medida que las aplicaciones van y vienen.
• Una política de seguridad inicial detallada. Nuestras implementaciones más rápidas se han producido donde el equipo de implementación tenía un objetivo de política claro al comienzo del proyecto. La microsegmentación es capaz de obtener más granularidad de la que han tenido las empresas en el pasado. Para la mayoría de nuestros clientes, la microsegmentación ofrece mucho más de lo que inicialmente se requiere. El equipo de proyecto sabio cumplirá primero con los objetivos del proyecto y no se dejará absorber por todo lo que eventualmente será posible con la plataforma. Lo mejor es detallar la política inicial y que el equipo corra duro en ese objetivo. Una vez que todas las cargas de trabajo están aseguradas según la política de seguridad inicial, se puede hacer un endurecimiento de acuerdo con las necesidades del negocio y de acuerdo con el riesgo ajustado. Evita “tratar de hervir el océano”.
• Una lista y descripción de toda la automatización requerida y quién la va a escribir. La implementación masiva de agentes, la importación de etiquetas y metadatos, y muchas otras cosas probablemente se realicen a través de la automatización. Dependiendo de qué equipo tome la posición de líder tecnológico, este trabajo puede ser realizado por otros equipos. Esto requerirá una programación y coordinación adicionales. Saber temprano exactamente lo que se necesita y para cuándo ayudará a cada equipo a evitar sorpresas y a mantenerse en el buen camino.
• Una lista y descripción de todos los puntos de integración requeridos y quién lo hará. Como mínimo, los registros operativos y de seguridad probablemente se enviarán a un SIEM o a una plataforma de análisis de big data. Es posible que sea necesario personalizar, cuadros de mando y otras herramientas adicionales. A menudo esta es un área que involucra a otros equipos además del equipo líder del proyecto. Su proveedor tendrá ingenieros de servicio profesionales con experiencia específica y necesitará obtener los recursos adecuados para su proyecto. Es importante averiguar quién está haciendo qué trabajo al principio del proyecto para que los horarios se alineen.
• Una lista de los procesos internos y flujos de trabajo que se verán afectados por la implementación de microsegmentación. La microsegmentación cambia la forma en que su organización crea la política de seguridad. Si alguien altera las etiquetas o los metadatos, eso alterará la política de seguridad aplicada a una carga de trabajo. En teoría, esto no es diferente a solicitar un cambio de regla de firewall. Sin embargo, la mayoría de las organizaciones encuentran que existen flujos de trabajo clave que deben aplicarse o ampliarse para que se apliquen las protecciones existentes. Espere que el equipo los identifique y los eleve a los niveles adecuados para la coordinación y la aprobación. Esto es clave para lograr la propiedad a largo plazo de una solución de microsegmentación y un trabajo que no se puede realizar sin la aprobación y coordinación a nivel de administración.

Cadencia de informes

Las implementaciones de microsegmentación ocurren sin problemas cuando hay tres niveles de reporting, cada uno con su propia cadencia:

1. Estado técnico del proyecto: El líder del equipo, los ingenieros de servicio profesionales del proveedor y otras personas profundamente comprometidas en el nivel del trabajo necesitan comunicarse regularmente. A menudo vemos esto en horarios tan cortos como diarios a una llamada de estado semanal en el extremo largo. Estas llamadas normalmente son dirigidas por los PM y el líder tecnológico y se enfocan directamente en el trabajo. A esta convocatoria se invita a una amplia gama de personas y participan según sea necesario.
2. Estado del proyecto: Esta es una convocatoria a la que asisten los PM, el líder del equipo, y los directivos y directores interesados de ambos lados. Normalmente esto es quincenal o una vez al mes. Está diseñado para comunicar el estado general rojo-verde, identificar brechas, solicitar escalaciones o recursos adicionales, etc. No es una llamada técnica, sino una llamada de administración de proyectos diseñada para mantener al tanto al proveedor como a la empresa al tanto del estado.
3. Estado ejecutivo: Las empresas implementan microsegmentación para obtener beneficios específicos para el negocio. Una cadencia mensual o trimestral con el patrocinador ejecutivo y los ejecutivos de proveedores y el gerente de cuentas asegura que el proyecto aún esté alineado con los objetivos y prioridades generales del negocio. Proporciona un foro permanente para que ambos equipos interactúen y prioricen adecuadamente para el éxito del proyecto. Por lo general, se trata de una reunión de 30 minutos, pero puede durar más tiempo antes de los hitos clave, como entrar en la aplicación de la ley por primera vez.

Y eso es todo. En el corazón de cada implementación exitosa de microsegmentación se encuentra la comunicación. Cuando todos los miembros del equipo están debidamente capacitados, se describen y se respetan los entregables, y se acuerda y se mantiene la cadencia de reporting, una implementación efectiva de microsegmentación no solo es alcanzable, sino más fácil de lo que piensa.

Consulte la parte 4 de esta serie, donde discutiremos cinco lugares para “apoyarse” con el fin de acelerar el éxito con su implementación de microsegmentación.