SAP Security Research: 20 años de innovación en seguridad y privacidad

En octubre de 2021, SAP Security Research celebra su 20 aniversario. Lo que comenzó con tres investigadores y un estudiante trabajador investigando innovaciones en seguridad móvil, ha madurado hasta convertirse en un grupo de investigación compuesto por 35 investigadores y estudiantes de doctorado, así como muchos estudiantes internos y de tesis. El crecimiento del grupo ha sido estimulado por la seguridad y la privacidad escalando cada vez más alto en la lista de prioridades de SAP y sus clientes, debido a los cambios en los paradigmas tecnológicos y los cambios sociales.

Impulsado por la transformación digital de las empresas y su demanda de recursos informáticos flexibles, la nube se ha convertido en el modelo de implementación predominante para los servicios y aplicaciones empresariales, introduciendo relaciones complejas entre las partes interesadas y superficies de ataque extendidas. Las tecnologías web dominan el consumo de servicios, lo que requiere la mitigación de sus vulnerabilidades específicas. El desarrollo de software se convirtió en una tarea distribuida de un gran ecosistema con sus vectores de ataque específicos. La hiperconectividad facilita la recopilación de grandes cantidades de datos, que a su vez alimentan a la Empresa Inteligente basada en IA pero son altamente sensibles al mismo tiempo. La ubicuidad de las nuevas y inteligentes tecnologías ofrece oportunidades sin precedentes, pero también conlleva nuevos o reforzados riesgos. La sociedad y los responsables políticos reaccionan a esos riesgos introduciendo regulaciones de seguridad y privacidad y priorizando el debate sobre el uso responsable de la tecnología.

Inventar el futuro de la seguridad significa identificar y comprender los nuevos riesgos y seguir innovando continuamente para mitigarlos. El núcleo de la misión de SAP Research es anticipar tanto los desarrollos evolutivos como los disruptivos en tecnología y negocios, evaluar su impacto en la seguridad y la privacidad y diseñar y prototipar nuevas soluciones de seguridad y privacidad que desbloqueen nuevas oportunidades comerciales. Basándonos en sólidos fundamentos científicos, nuestro objetivo es avanzar en el estado del arte en beneficio de SAP y sus clientes.

Mirando hacia atrás: cómo la seguridad móvil evolucionó hacia la seguridad de IoT y de borde

La historia de lo que comenzó como investigación en seguridad móvil en SAP refleja los factores de influencia a lo largo del tiempo. A principios y mediados de la década de 2000, la movilidad significaba principalmente conectividad, con requisitos de seguridad centrados en la autenticación y la confidencialidad e integridad de la transmisión de datos. Este enfoque no cambió mucho con la integración de sensores de comunicación en escenarios de aplicación, pero introdujeron desafíos de escala ("miles de millones de dispositivos") y requerían hacer frente a sus capacidades computacionales y de almacenamiento limitadas, lo que exigía el diseño de protocolos de seguridad específicos y ligeros. La integración de sensores ofreció nuevas oportunidades para escenarios de aplicación, por ejemplo, en cadenas de suministro distribuidas. Equipar productos o almacenes con sensores permitía monitorear bienes y optimizar cadenas de suministro compartiendo datos. Se necesitaba diseñar nuevos protocolos de seguridad para cumplir con los nuevos requisitos de integridad de la cadena de suministro distribuida y control de acceso a los datos del sensor.

En ese momento, Internet de las Cosas se convirtió en un negocio, y los prototipos avanzados de SAP Security Research para la seguridad de extremo a extremo de IoT (es decir, desde el dispositivo hasta el backend en la nube) pudieron integrarse en la plataforma de IoT y las aplicaciones de IoT. Esto se demostró, por ejemplo, en una aplicación de mantenimiento predictivo para el sistema de distribución de agua de la Ciudad de Antibes.

Pero esto no es el final de la historia: las capacidades mejoradas de sensores y pasarelas ahora permiten trasladar la lógica empresarial al borde, eliminando el cuello de botella del backend para el rendimiento. Pero cuando, por ejemplo, las cámaras distribuidas realizan preprocesamiento asistido por IA de flujos de video y son proporcionadas por diferentes proveedores y operadores, investigamos soluciones para proteger los modelos de aprendizaje automático desplegados en la cámara, así como para desinfectar los datos sensibles capturados en los flujos de video.

Investigación y innovación continuas

En seguridad de IoT y móvil, hemos visto cómo los desafíos de investigación en seguridad y privacidad han evolucionado desde asegurar la transmisión de datos hasta proteger los modelos de aprendizaje automático. De hecho, la historia de la seguridad móvil es un ejemplo típico de investigación aplicada exitosa. Cuando comenzamos la investigación, el IoT era una visión lejana en el futuro. Anticipar su potencial disruptivo e impacto empresarial e investigar en una etapa temprana permitió tener resultados de investigación listos para la innovación cuando llegó el momento adecuado, es decir, cuando el negocio reconoció al IoT como un cambio de juego y necesitaba innovaciones en seguridad para satisfacer las necesidades de los clientes. No detenerse ahí, sino continuar la investigación aplicada apuntando a resolver los próximos desafíos en el campo, es clave para facilitar la innovación continua y mantener el liderazgo intelectual.

Otras de nuestras áreas de enfoque en la investigación muestran características similares: por ejemplo, en el análisis de seguridad de software de código abierto, pasamos de la evaluación de vulnerabilidades conocidas a la protección contra nuevas amenazas utilizando software de código abierto y mecanismos de distribución para lanzar nuevos tipos de ataques. En Seguridad Web