Applied Systems

Cómo consolidar la seguridad entre usuarios, aplicaciones y redes para acelerar la transformación digital

Fundada en 1983, Applied Systems crea soluciones SaaS para el sector de los seguros. Con sede en Chicago, la empresa cuenta con más de 2500 empleados en Estados Unidos, Reino Unido, Canadá, Europa occidental e India. Applied Systems es líder mundial en el sector de los seguros y presta servicio a empresas de corretajes de seguros independientes de todos los tamaños, desde empresas internacionales y grandes empresas hasta agencias locales y pymes.

Applied Systems ha obtenido el reconocimiento mundial por su enfoque pionero en la tecnología dentro del sector asegurador, tales como el premio Best Broker Software Management House del Reino Unido 2022, concedido por Insurance Times, y el primer puesto en su categoría en los premios Golden Bridge Business and Innovation Awards de Estados Unidos 2023.

Desafío: Acelerar la transformación digital

La seguridad siempre ha sido de vital importancia para Applied Systems. La empresa debe proteger grandes volúmenes de datos financieros, registros de pagos, información de identificación personal (IIP) y otras clases de información regulada y sensible de sus clientes de seguros.

Con la incorporación de un nuevo director general y del equipo ejecutivo en 2019, Applied ha priorizado cada vez más las iniciativas de transformación digital que le ayuden a responder a las necesidades de clientes empresariales más grandes y más exigentes. La incorporación de Tanner Randolph, CISO de la empresa, en 2021, supuso la reevaluación de la arquitectura tecnológica de Applied y la búsqueda de oportunidades para ser más ágiles, más eficientes y más seguros.

"Applied está en el camino. Nos estamos convirtiendo rápidamente en una empresa nativa de la nube", afirma. "Cuando me incorporé, teníamos componentes de distintos proveedores de seguridad, como Zscaler y Cisco, y distintas rutas de red hacia nuestros centros de datos. En los últimos años, nos hemos centrado en la consolidación en torno a una pila unificada de seguridad y redes".

En 2022, Applied Systems empezó a consolidar un gran número de funciones de seguridad y redes en Cloudflare, entre las que se incluyen:

• Protecciones y mejoras de rendimiento en sitios web y aplicaciones accesibles desde Internet.
• Conectividad segura y escalable en toda la infraestructura de red.
• Postura de seguridad Zero Trust para empleados y recursos internos.

"La consolidación de los controles en Cloudflare, en lugar de la utilización de numerosos planos de control de los sistemas de varios proveedores, permite a mis equipos centrarse en el crecimiento del negocio", continúa. No conozco muchos equipos de seguridad que puedan decir lo mismo".

Protección de sitios web y aplicaciones

Lo que nos empujó a considerar Cloudflare fue la necesidad de modernizar las experiencias de software de los clientes, sobre todo a medida que migraban la funcionalidad de las aplicaciones de cliente pesado heredadas de Applied Systems a entornos SaaS.

"Queríamos asociarnos con un proveedor que fuera nativo de la nube y comprendiera lo que esperaban los clientes nativos de la nube", señala Randolph. "De ese modo, podríamos ofrecer a nuestros clientes experiencias impecables y seguras en nuestras últimas aplicaciones".

Applied Systems ha implementado los servicios de aplicaciones de Cloudflare, como el firewall de aplicaciones web (WAF), la red de entrega de contenidos (CDN), la mitigación de DDoS y la limitación de velocidad para bloquear el tráfico malicioso y mejorar el rendimiento de sus aplicaciones. Según Randolph, la fiabilidad de Cloudflare ha facilitado el proceso de migración de las aplicaciones accesibles desde Internet de Applied Systems a la nube.

"Cloudflare ha sido muy eficaz y coherente a la hora de proteger nuestras aplicaciones contra el tráfico malicioso y reducir la latencia en todos los ámbitos", continúa.

Protección de las conexiones de red

Para fomentar su crecimiento y objetivos, Applied Systems ha optimizado su arquitectura de conectividad de red con Cloudflare con la implementación de Magic Transit y Magic Firewall, un firewall como servicio. Juntos, estos servicios, que se han adaptado al crecimiento de la empresa, han acelerado el tráfico de red, han brindado protección contra amenazas (incluidos los ataques DDoS a la capa 3) y han permitido a los administradores aplicar filtros de seguridad cuando ha sido necesario.

"Cloudflare escala con nosotros, y ese es nuestro mejor beneficio", indica Randolph. "A medida que nuestros clientes más importantes migran a nuestras implementaciones nativas en la nube, Cloudflare puede gestionar el aumento de tráfico sin que tengamos que añadir dispositivos de red ni comprar ancho de banda adicional. Si hubiéramos recurrido a nuestros proveedores anteriores, nuestros costes se habrían duplicado con creces".

Applied Systems ha sido especialmente ágil a la hora de ampliar e implementar políticas de firewall jerárquicas. Sus primeras políticas de firewall eran básicas, como el bloqueo del tráfico de determinadas zonas geográficas. Con el tiempo, sin embargo, Applied Systems ha empezado a escribir sus propias reglas de firewall a partir de datos de registro analizados en su SIEM, y a automatizar la implantación de esas reglas personalizadas aprovechando la integración basada en API de Cloudflare con Terraform, la herramienta de infraestructura como código.

"Hemos observado una reducción drástica en el volumen de tráfico de amenazas. La capacidad de poder escribir reglas universales en todos nuestros centros de datos es increíble", sostiene. "La adopción de las prácticas recomendadas de DevOps y el uso de la automatización ha multiplicado nuestra eficiencia a la hora de implementar cambios con Cloudflare".

Adopción de Zero Trust y sustitución de Zscaler y Cisco

La adopción de una arquitectura Zero Trust era la principal prioridad de Randolph cuando se incorporó.

Anteriormente, Applied Systems utilizaba servicios de Zscaler y Cisco, en concreto, Zscaler Internet Access para las conexiones salientes a Internet y la VPN Cisco AnyConnect para el acceso a aplicaciones internas. Según Randolph, la gestión de estas soluciones específicas dispares añadía complejidad y deficiencias de visibilidad para su equipo y se preveía que podían ser caras a largo plazo a medida que la empresa seguía creciendo.

También citó algunos puntos conflictivos específicos de cada servicio. Los desarrolladores se quejaban con frecuencia de que Zscaler bloqueaba sitios web esenciales para el desempeño del trabajo y afectaba la productividad, y en respuesta, Applied Systems empezó a flexibilizar las políticas y a aceptar más riesgos de los que deseaba. La VPN Cisco AnyConnect no solo era lenta para los usuarios finales, sino que también creaba un riesgo excesivo al conceder a los empleados acceso a toda la red, en lugar de verificar cada solicitud a aplicaciones específicas.

La sustitución de las soluciones de estos proveedores por Cloudflare Zero Trust ha ayudado a Applied a unificar los controles de seguridad en los entornos web, de nube y de aplicaciones privadas.

"Hemos recibido comentarios muy positivos sobre Cloudflare Zero Trust. Es más fácil de implementar y mejor para nuestros usuarios", afirma. "Somos más eficientes como organización con la misma cantidad de tiempo de que disponemos".

Caso práctico: Acceso denegado por defecto a aplicaciones autoalojadas

En concreto, el servicio de acceso a la red Zero Trust (ZTNA) de Cloudflare ha ayudado a Applied Systems a implementar políticas más granulares en sus aplicaciones autoalojadas y en su infraestructura para los más de 2500 empleados.

"Cloudflare nos ha ayudado a pasar de una postura de autorización por defecto a una de denegación por defecto", explica Randolph. "Hemos implementado una comprobación de la postura de seguridad que nos permite conceder acceso en función de lo que sabemos sobre el grupo de usuarios al que perteneces, el dispositivo que utilizas y también otros parámetros".

El equipo de seguridad tiene flexibilidad para aplicar controles más o menos estrictos para satisfacer las distintas necesidades de los usuarios y ajustarse al nivel de riesgo de la aplicación. Por ejemplo, los usuarios que utilizan el cliente de dispositivo de Cloudflare en un dispositivo personal pueden seguir accediendo a su portal de RR. HH. para enviar solicitudes de vacaciones, pero los desarrolladores deben estar en un dispositivo gestionado y pasar controles más estrictos para acceder a entornos de producción cuyo riesgo es mayor en comparación.

Caso práctico: Protección de las herramientas emergentes de IA y los datos

Cloudflare Zero Trust también ayuda a Applied Systems a proteger el modo en que los usuarios interactúan y utilizan datos confidenciales en herramientas emergentes de inteligencia artificial (IA) como ChatGPT.

En concreto, Applied ejecuta la instancia pública de ChatGPT en un navegador aislado de Cloudflare. Al ejecutar todo el código web de esta herramienta ChatGPT en la red de Cloudflare, el equipo de seguridad de Randolph puede controlar cómo los usuarios manipulan los datos en la herramienta, lo que incluye la restricción de la descarga, la carga, copiar y pegar, etc.

"Queríamos permitir a los usuarios usar la IA y, garantizar al mismo tiempo la seguridad", sostiene Randolph. "Evitamos que los usuarios copien y peguen datos confidenciales de otras aplicaciones en nuestra instancia aislada de ChatGPT, lo que impide que mucha información de la empresa quede expuesta a la herramienta".

El aislamiento de ChatGPT ha ayudado a la empresa a estar más segura mientras experimentaba con la herramienta, lo que a su vez dio confianza a Applied Systems para desarrollar y mejorar su propia instancia en Slack. Este caso práctico muestra el enfoque más amplio de Randolph sobre la protección de datos. Los controles de seguridad deben ser "pragmáticos" y no ir en detrimento de la productividad del equipo.

"Estamos aplicando esta filosofía al correo electrónico", señala. "La gente quiere poder consultar su correo electrónico personal, pero no tiene por qué poder copiar/pegar, cargar/descargar en su correo electrónico personal".

La implementación de servicios de Cloudflare como la seguridad del correo electrónico, el agente de seguridad de acceso a la nube (CASB) y la prevención de pérdida de datos (DLP) ayudará a Randolph y a su equipo a seguir ampliando el control y la visibilidad a más entornos y datos. La empresa estará preparada no solo para proteger la información, sino también para cumplir las normativas en constante evolución en Estados Unidos y en todo el mundo.

"Cuando nuestros clientes nos preguntan por la conformidad normativa, solo le decimos a su CISO que somos clientes de Cloudflare y le explicamos los productos que utilizamos", explica. "Solo con esto solemos responder a las preguntas que hacer normalmente".

¿Y ahora qué?

La inversión en nuevos controles de seguridad va de la mano de la inversión en experiencias informáticas y de seguridad de alta calidad. Para ello, Applied Systems fue uno de los primeros en implementar la solución Digital Experience Monitoring (DEX) de Cloudflare. DEX proporciona visibilidad histórica y en tiempo real de la conectividad de los usuarios finales y los dispositivos, el rendimiento de las aplicaciones y las conexiones de red en toda la organización.

"Cuanta más información tengamos a nuestra disposición, más eficaz podrá ser mi equipo a la hora de ofrecer servicios informáticos que mantengan la productividad de nuestros usuarios", según Randolph. "Herramientas como Cloudflare DEX tienen el potencial de marcar una gran diferencia a la hora de dotarnos de la visibilidad y los conocimientos necesarios para impulsar decisiones de desarrollo futuras".

Trabajar con Cloudflare

En tan solo unos años, Applied Systems ya ha realizado importantes progresos en la consolidación y la modernización de la seguridad de sus usuarios, aplicaciones y red con Cloudflare.

Trabajar tan estrechamente con Cloudflare en distintas implementaciones ha ayudado a reforzar la capacidad de respuesta y la calidad de la asistencia al cliente en este tiempo, especialmente a medida que los equipos de Cloudflare se familiarizan con la arquitectura de Applied.

"Puedo ver la diferencia en cuanto a la calidad del producto y el soporte cada mes", asegura Randolph. "Con la ayuda de Cloudflare, mi equipo trabaja de forma más eficaz y puede centrarse en nuestra estrategia de seguridad".