Ambientes de desarrollo, prueba y producción: Garantizando la Seguridad y Calidad de los Sistemas de Información
La separación adecuada de los ambientes de desarrollo, prueba y producción es esencial para garantizar la seguridad y la calidad de los sistemas de información en el sector financiero. El “Reglamento para la Gestión de Seguridad de la Información” en Bolivia, en su “Artículo 9° – Ambientes de desarrollo, prueba y producción” dentro de la “SECCIÓN 5: DESARROLLO, MANTENIMIENTO E IMPLEMENTACIÓN DE SISTEMAS DE INFORMACIÓN“, establece disposiciones importantes en este sentido. A continuación, profundizaremos en las directrices clave de este artículo:
Separación Física o Lógica de Ambientes:
Las entidades supervisadas deben implementar controles y mecanismos que garanticen la separación física o lógica de los ambientes de desarrollo, prueba y producción. Esto significa que los sistemas en desarrollo o pruebas no deben tener acceso directo a los sistemas y datos en producción.
Segregación de Funciones:
La segregación de funciones es un componente crítico en este contexto. Los encargados del desarrollo y mantenimiento de sistemas no deben tener acceso a los sistemas y datos en producción. Esto evita posibles conflictos de interés y reduce el riesgo de cambios no autorizados.
Entorno Controlado para Pruebas:
Los sistemas deben someterse a pruebas en un entorno controlado antes de su uso oficial. Esto garantiza que cualquier problema o error se detecte y solucione antes de que los sistemas entren en producción.
Autorización Expresa de la Gerencia General:
En casos excepcionales donde la segregación de funciones no pueda aplicarse, la Gerencia General debe autorizar de manera expresa el acceso de los funcionarios del área de TI a los datos en producción. Esta autorización debe registrarse y estar disponible para ASFI.
Seguimiento y Control:
La instancia responsable de la seguridad de la información debe realizar un seguimiento constante para garantizar que el acceso autorizado a los datos en producción se utilice únicamente para los fines autorizados. Esto ayuda a prevenir cualquier uso indebido de los datos.
Imaginemos una entidad financiera que opera una serie de sistemas de información críticos para sus operaciones financieras, como sistemas de gestión de cuentas, procesamiento de transacciones y servicios de banca en línea. Para garantizar la seguridad, la confiabilidad y la calidad de estos sistemas, la entidad financiera decide implementar una estrategia de separación de ambientes utilizando tecnologías de virtualización.
Aquí está cómo funciona esta estrategia:
- Ambientes Separados: La entidad financiera utiliza tecnologías de virtualización para crear ambientes de desarrollo, prueba y producción completamente separados. Cada ambiente es una instancia virtualizada de los sistemas y aplicaciones, lo que significa que se ejecutan en servidores virtuales independientes.
- Desarrolladores en Ambientes de Desarrollo y Prueba: Los desarrolladores solo tienen acceso a los ambientes de desarrollo y prueba. Esto significa que pueden desarrollar y probar nuevas funcionalidades y aplicaciones en un entorno controlado y aislado. No tienen acceso directo al ambiente de producción para evitar cambios no autorizados o pruebas que podrían afectar la operación en vivo.
- Control y Monitoreo en Ambiente de Producción: El ambiente de producción, donde se ejecutan las aplicaciones en tiempo real utilizadas por los clientes, está estrictamente controlado y monitoreado por un equipo de operaciones dedicado. Este equipo es responsable de garantizar la disponibilidad, el rendimiento y la seguridad del ambiente de producción. Cualquier cambio en el ambiente de producción se realiza de manera planificada y bajo estrictos controles de cambio.
- Segregación de Funciones: La entidad financiera implementa una segregación de funciones clara y definida. Los desarrolladores tienen roles y responsabilidades específicas relacionadas con el desarrollo y la prueba de aplicaciones, mientras que el equipo de operaciones es responsable de administrar y mantener el ambiente de producción. Esta segregación ayuda a prevenir conflictos de interés y minimiza el riesgo de cambios no autorizados o errores en la producción.
La separación adecuada de ambientes y la segregación de funciones son fundamentales para garantizar la seguridad y la calidad de los sistemas de información en el sector financiero. Al mantener los ambientes de desarrollo y prueba separados del ambiente de producción y al limitar el acceso solo a las personas autorizadas, se reduce significativamente el riesgo de errores, cambios no autorizados o problemas de seguridad que podrían afectar a los clientes y las operaciones financieras en general. Esta estrategia también facilita la gestión de cambios y la implementación de nuevas funcionalidades de manera controlada y segura.
REDTISEG, como expertos en seguridad de la información, está listo para ayudarte a cumplir con estas regulaciones y fortalecer tus prácticas de separación de ambientes y control de acceso. Nuestro equipo puede proporcionarte orientación especializada y soluciones a medida para garantizar el cumplimiento con éxito.
Para obtener más información y explorar cómo REDTISEG puede apoyarte en la implementación de controles de seguridad en ambientes de desarrollo, prueba y producción, te invitamos a ponerte en contacto con nosotros a través de nuestra página de contacto en REDTISEG – Contacto. Protege tu empresa y cumple con las regulaciones vigentes con el apoyo de profesionales en seguridad de la información.
