Qué son las aplicaciones de terceros y por qué necesitan una supervisión especial

Las aplicaciones de terceros han demostrado su valor a lo largo de los años, y muchos entornos de TI dependen cada vez más de ellas. Son programas que no vienen integrados en el sistema operativo ni en la plataforma. Al proceder de otras fuentes, descargarlas e instalarlas puede introducir riesgos. Por eso la gobernanza del acceso de terceros se ha convertido en una disciplina crítica para los equipos de TI y de seguridad.

Desde software de escritorio y aplicaciones móviles hasta extensiones de navegador e integraciones SaaS, las aplicaciones de terceros funcionan fuera de los límites de confianza nativos de la plataforma. Para ayudarte a mantener la seguridad, te explicamos paso a paso cómo aplicar una supervisión específica a las aplicaciones de terceros.

Un vistazo rápido

Requisitos previos

Antes de empezar con la gestión de aplicaciones de terceros, ten en cuenta lo siguiente:

• Conocimientos generales de sistemas operativos y aplicaciones
• Conocer los mecanismos de instalación y actualización de aplicaciones
• Familiaridad con los conceptos básicos de seguridad y acceso

Tarea 1: define qué se considera una aplicación de terceros

Es fundamental entender qué es una aplicación de terceros para saber cuáles requieren una supervisión especial. Aquí se incluyen aplicaciones de escritorio, aplicaciones móviles, integraciones SaaS y extensiones.

Una aplicación de terceros es cualquier aplicación que:

• La desarrolla un proveedor externo: son programas que no vienen integrados en el sistema operativo, por lo que los crean proveedores externos y se pueden obtener de fuentes ajenas a la plataforma.
• Se instala sobre un sistema operativo o una plataforma: como estas aplicaciones se descargan de fuentes externas, hay que instalarlas sobre un sistema operativo o plataforma ya existente.
• Recibe acceso a recursos del sistema, identidades o datos: estas aplicaciones suelen necesitar permisos para acceder a los recursos del dispositivo, a las identidades de los usuarios o a los datos de la organización para funcionar correctamente.

Tarea 2: diferencia entre aplicaciones propias y del sistema

Para entender por qué hace falta una supervisión especial, conviene comparar las aplicaciones de terceros con las que vienen integradas en el sistema operativo. Esto es lo que caracteriza a una aplicación propia y a una del sistema:

• Las aplicaciones propias las desarrolla el proveedor de la plataforma y están sujetas a su ciclo de vida de seguridad y actualizaciones.
• Las aplicaciones del sistema son componentes esenciales para el funcionamiento del SO. Al desempeñar un papel fundamental en el sistema operativo, el usuario no puede desinstalarlas por completo.

Estas son las diferencias de las aplicaciones de terceros:

• Sus prácticas de desarrollo varían mucho de un proveedor a otro
• La frecuencia de las actualizaciones es irregular o depende del usuario
• Su nivel de seguridad depende del proveedor

Tarea 3: comprende por qué las aplicaciones de terceros aumentan el riesgo

Como acabamos de ver, la falta de un control uniforme es lo que convierte al software de terceros en un reto de gobernanza aparte. Por estas carencias, las aplicaciones de terceros pueden introducir los siguientes riesgos:

• Vulnerabilidades sin parchear: fallos de seguridad en aplicaciones de terceros que siguen siendo explotables porque las actualizaciones se retrasan, se pasan por alto o no se aplican de forma centralizada.
• Permisos excesivos: solicitudes de acceso que van más allá de lo que la aplicación necesita para funcionar, lo que aumenta el impacto potencial si la aplicación se ve comprometida o se usa de forma indebida.
• Compartición de datos con servicios externos: transmisión o almacenamiento de datos de la organización fuera de la plataforma principal, a menudo regidos por las prácticas de privacidad y seguridad del propio proveedor.
• Exposición en la cadena de suministro: riesgo que llega a través de las dependencias de la aplicación, sus mecanismos de actualización o sus proveedores upstream, donde código o actualizaciones comprometidos pueden distribuirse a entornos de confianza.
• Las integraciones profundas aumentan el riesgo: las aplicaciones conectadas a sistemas de identidad, navegadores o repositorios de datos sensibles pueden amplificar el impacto, ya que permiten el secuestro de cuentas, el abuso de sesiones o un acceso amplio a los datos si se ven comprometidas.

Tarea 4: reconoce las distintas categorías de aplicaciones de terceros

Aunque hemos visto que las aplicaciones de terceros pueden introducir vulnerabilidades, no todas presentan el mismo nivel de riesgo: depende de la categoría a la que pertenezcan. Estas son las categorías más habituales:

• Aplicaciones de endpoint: software instalado en los ordenadores de sobremesa y portátiles gestionados por una organización.
• Aplicaciones móviles: programas que se ejecutan en dispositivos móviles.
• Extensiones de navegador: herramientas que facilitan la navegación web y pueden modificar el contenido y las sesiones.
• Integraciones SaaS: aplicaciones en el cloud conectadas mediante API u OAuth.
• Aplicaciones SaaS: aplicaciones que se ejecutan en el cloud y a las que accedes desde un navegador.

Ten en cuenta que cada categoría tiene requisitos distintos de visibilidad, controles y procesos de revisión. Revisa las aplicaciones de terceros de tu sistema operativo o plataforma y aplica políticas de seguridad según la categoría a la que pertenezcan.

Tarea 5: aplica la gobernanza a todo el ciclo de vida de la aplicación

Una gestión eficaz de las aplicaciones de terceros no se limita a aprobarlas una vez. Exige monitorización, evaluación y gobernanza continuas durante todo el ciclo de vida. Para lograrlo hace falta:

• Aprobación: criterios claros de instalación y uso
• Revisión de accesos: validación de permisos e integraciones
• Actualizaciones y parches: evaluación continua de las actualizaciones del proveedor
• Retirada: eliminación de las aplicaciones cuando ya no son necesarias

Tratar las aplicaciones de terceros como activos permanentes sin volver a evaluarlas aumenta la exposición a largo plazo, sobre todo a medida que cambian las necesidades del negocio y el panorama de amenazas.

Otros aspectos a tener en cuenta

Estos son algunos factores que conviene recordar al gestionar aplicaciones de terceros:

• Permanencia: las aplicaciones de terceros suelen seguir instaladas mucho después de que desaparezca la necesidad que las justificaba.
• Shadow IT: el shadow IT se manifiesta con frecuencia en forma de herramientas de terceros no gestionadas.
• Lagunas de control: las aplicaciones móviles y SaaS pueden eludir los controles tradicionales de endpoint.
• Verificación continua: la confianza en el proveedor no sustituye a la verificación continua.

Resolución de problemas

Al gestionar aplicaciones de terceros puedes encontrarte con algunos problemas. Estos son los más habituales y sus posibles soluciones.

Integración con NinjaOne

Los administradores, los equipos de TI y los técnicos pueden usar NinjaOne para simplificar la gestión de aplicaciones de terceros. Así es cómo:

• Visibilidad centralizada: ofrece un inventario consolidado de todas las aplicaciones instaladas en endpoints y dispositivos móviles, para que los equipos de TI puedan identificar y gestionar el software de terceros cuando sea necesario.
• Inventario de aplicaciones: identifica las aplicaciones de terceros instaladas para reducir los puntos ciegos y el shadow IT.
• Seguimiento de actualizaciones y parches: supervisa el estado de los parches de las aplicaciones de terceros y permite desplegar actualizaciones en todos los dispositivos gestionados para reducir la exposición a vulnerabilidades conocidas.
• Aplicación de políticas: aplica controles homogéneos de instalación y eliminación.
• Gobernanza estructurada: permite una gestión proactiva de las aplicaciones alineada con los objetivos de seguridad y de operaciones.

Las aplicaciones de terceros y la necesidad de una supervisión especial

Las aplicaciones de terceros son programas que no vienen integrados en el sistema operativo ni en la plataforma. Aunque son seguras si se obtienen de fuentes fiables, muchas pueden introducir riesgos que expongan tus entornos de TI a vulnerabilidades. Aquí es donde entra en juego la gobernanza del acceso de terceros, que mantiene la seguridad mientras se usan estas aplicaciones.

Conclusiones clave:

• Las aplicaciones de terceros funcionan fuera de los límites de confianza de la plataforma
• El riesgo depende de los permisos, el acceso y el comportamiento de las actualizaciones
• Una definición clara permite aplicar una gobernanza coherente
• La gestión del ciclo de vida reduce la exposición a largo plazo
• La supervisión debe abarcar endpoints, SaaS y entornos móviles

Si entiendes qué son las aplicaciones de terceros, en qué se diferencian de los programas propios y qué riesgos pueden introducir en tu entorno de TI, podrás reducir el software no gestionado, limitar los accesos innecesarios y aplicar una gobernanza del acceso de terceros coherente.

Temas relacionados:

• Parcheo de aplicaciones: cómo parchear aplicaciones de terceros
• Cómo automatizar la gestión de parches
• Cómo priorizar los parches de terceros según la puntuación de riesgo del proveedor
• Cómo crear una política de aprobación de SaaS de terceros para clientes pymes
• Cómo estandarizar la propiedad de las aplicaciones SaaS entre departamentos