Después de más de dos décadas trabajando con código abierto, todavía escucho una pregunta recurrente entre los gerentes de TI: ¿cómo funciona la seguridad en el open source?
O, mejor dicho, ¿un software open source es, de hecho, tan seguro como una plataforma propietaria?
La respuesta simple es: sí, el open source es seguro. Pero sabemos que eso, por sí solo, no alcanza como argumento a la hora de proponerle a la empresa cambiar un software comercial por uno open source.
En este artículo, mi objetivo es responder a esta y a otras preguntas sobre seguridad, certificaciones, proceso de desarrollo y lo que la llegada de la versión Zabbix 8.0 representa para el mercado latinoamericano.
Open source no es sinónimo de vulnerabilidad
La percepción de que el código abierto es más vulnerable suele partir de una falta de comprensión sobre lo que realmente es el open source hoy.
En resumen, el open source, además de una filosofía, es un modelo de distribución de software, y el fabricante detrás del desarrollo y la distribución se rige por reglas de seguridad como cualquier otro. En el caso de Zabbix, el proceso de desarrollo está certificado bajo la norma ISO/IEC 27001.
El mundo digital que conocemos, bancos, gobiernos, empresas de retail, educación, funciona sobre plataformas open source. Hoy no existe una empresa, de ningún sector de la economía, que pueda afirmar que no depende del open source.
Por supuesto, hablo del open source empresarial, con una empresa seria detrás, y no del proyecto de un desarrollador individual como pasatiempo. Esta todavía parece ser una brecha de comprensión de algunos gerentes sobre lo que realmente es el open source y cómo se desarrolla y distribuye.
Una trayectoria de 25 años, con 20 años como empresa
Es importante separar dos cosas:
- El proyecto Zabbix nació hace 25 años como software open source individual de nuestro fundador, Alexei Vladishev;
- Desde hace más de 20 años existe la empresa Zabbix, que sostiene y desarrolla el software Zabbix y que además desarrolla otros productos, como Zabbix Cloud, Zabbix Academy , y próximamente, Zabbix Mobile.
Los primeros cinco años del software fueron un proyecto de comunidad; después de eso nació una empresa que hoy se convirtió en una multinacional de software que sostiene operaciones críticas en todo el mundo.
Por eso considero que Zabbix es tan robusto, seguro y estable como cualquier plataforma propietaria licenciada, y la discusión sobre «si el open source es más o menos seguro» ya es una discusión superada.
Lo que vale la pena discutir es la capacidad de adaptación. Es decir, cuánto logra el equipo interno moldear la herramienta a la realidad de cada empresa.
Tenemos grandes clientes enterprise que iniciaron su camino con Zabbix hace 10 o 15 años y siguen evolucionando sus propios entornos, y eso habla de la flexibilidad, adaptabilidad y robustez de la plataforma.
Cómo es nuestro proceso de desarrollo seguro
El proceso sigue las normas de desarrollo de cualquier plataforma de software, con roadmap, priorización, especificación, desarrollo, pruebas, validaciones de vulnerabilidades, versiones beta lanzadas primero para la comunidad, y además el proceso con HackerOne, la empresa que contratamos para identificar vulnerabilidades de forma independiente antes de lanzar la versión de producción.
La gran diferencia es que el código fuente es totalmente abierto. Cualquiera puede auditarlo; no depende únicamente de que Zabbix lo haga.
Algunas empresas, incluso clientes nuestros, someten el código de Zabbix a auditorías propias o de terceros, algo que no existe en el entorno de las plataformas comerciales, porque allí el código es propiedad intelectual y nadie fuera del fabricante tiene acceso.
En más de 20 años, si existiera un proceso de desarrollo inadecuado o con fallas, ya se habría identificado fácilmente. Por eso tenemos capas adicionales de validación como, por ejemplo, el proceso interno certificado y auditado, HackerOne y la comunidad global revisando el código todo el tiempo.
Nuestro proceso de desarrollo está certificado bajo la norma ISO 27001, lo que brinda una garantía adicional a quienes evalúan proveedores: no se trata solo de confiar en que no dejamos fallas, sino de tener miles de ojos revisando el código todo el tiempo, sumado a un proceso certificado y auditado periódicamente.
Cómo funciona nuestro programa de bug bounty
Cuando detectamos o nos informan de una vulnerabilidad en alguna versión, primero avisamos a nuestra red de clientes y partners para que apliquen la corrección. Probamos, validamos, corregimos y les enviamos la corrección a ellos primero, y solo después de este proceso divulgamos públicamente la vulnerabilidad.
Esa es la diferencia de tener una relación cercana con el fabricante: usted recibe el aviso antes que el mercado. Solo después de que esa red tuvo tiempo de ajustar sus entornos, lo publicamos en el sitio web para que toda la comunidad, nuestros millones de usuarios, tenga acceso.
Aquí también entra nuestra política de ciclo de vida: una versión LTS, como Zabbix 8.0, tiene tres años de soporte completo y cinco años de soporte para correcciones de seguridad. Quien está en versiones fuera de soporte corre riesgos, porque esas vulnerabilidades pueden no tener prioridad de corrección. Por eso siempre recomendamos mantener actualizada la versión de producción.
Zabbix Cloud: la misma seguridad que on-premise, sin la carga operativa
Zabbix Cloud llega para resolver una necesidad real del mercado: la carga de mantener infraestructura propia y de contar con profesionales calificados para administrarla.
Es la diferencia entre tener que ser mecánico para cuidar su auto, o simplemente manejar mientras alguien más se encarga del mantenimiento. En seguridad, Zabbix Cloud tiene el mismo nivel que on-premise: comunicación cifrada entre proxy, server y frontend, doble factor de autenticación, y toda la gestión de actualizaciones, backup y restore la hacemos nosotros.
El cliente elige la ventana de mantenimiento, y actualizamos automáticamente a la última versión de producción, ya con las correcciones de seguridad aplicadas. En resumen, usted no se preocupa por el servidor, solo opera la plataforma.
En cuanto a escalabilidad, estamos presentes en cerca de 13 regiones de AWS, aunque no tengo certeza del número exacto, ya que crece cada trimestre, y el cliente elige en qué región levantar la instancia. La escalabilidad del producto es, en la práctica, la escalabilidad de la nube.
Zabbix y la NIS2 europea: qué significa para la región
La NIS2 es una norma europea específica, y lo importante es entender que Zabbix está preparado para cumplir con los requisitos que este tipo de directiva exige, sin importar de qué región provenga: doble factor de autenticación, auditoría de quién accedió y qué hizo, cifrado de extremo a extremo entre agente, servidor, proxy, frontend y base de datos, y gestión de claves entre los componentes.
Incluso tenemos una charla sobre Secure by Design que lo resume: Zabbix está construido considerando las mejores prácticas de seguridad para su operación. Conozca más sobre el cumplimiento de la NIS2.
Para América Latina, Zabbix puede apoyar a las empresas a adaptarse a cualquier norma que se establezca, ya sea nacional, regional o interna de cada compañía, pero primero es necesario identificar cuál es esa norma en cada país para analizar cada caso y configurar las funcionalidades de seguridad de Zabbix de acuerdo con sus exigencias.
Lo que viene con la versión 8.0
La versión Zabbix 8.0 llega preparada para integrarse de forma natural con plataformas de ciberseguridad, e incluso puede operar como una especie de SIEM hasta cierto punto, con algunas limitaciones: no hará todo lo que hace un SIEM dedicado.
Con ClickHouse y la nueva forma de manejar los datos almacenados, podremos hacer ingesta de logs dentro de Zabbix y combinarla con procesamiento complejo de eventos (CEP). Esto abre espacio para el monitoreo de ciberseguridad y la integración con plataformas tipo SIEM.
En el roadmap también tenemos mejoras de seguridad y compliance en la propia plataforma, como hardening en storage externo, cambios en la auditoría interna y mayor granularidad de permisos, todo alineado con directrices como la NIS2.
Garantizar la seguridad con Zabbix es un proceso continuo
La seguridad de una plataforma no se reduce a una certificación aislada o a una promesa de marketing. Está en la suma de todo esto: un proceso de desarrollo auditado, un programa activo de bug bounty, una política clara de ciclo de vida y un producto preparado para acompañar las exigencias regulatorias de cada país.
Si su empresa está evaluando cómo fortalecer la seguridad y la observabilidad de su operación, lo invito a conocer los servicios profesionales de Zabbix o a hablar con nuestro equipo para entender cómo Zabbix puede adaptarse a la realidad de su operación.
Prev Post 
