Una universidad privada en México opera una plataforma híbrida de Machine Learning en Amazon SageMaker que predice el riesgo de deserción de alumnos de nuevo ingreso y de reingreso, para que la institución actúe de forma preventiva. La plataforma ingiere expedientes estudiantiles desde una base de datos on-premises a través de una VPN y se dispara completamente mediante una API. XalDigital, AWS Premier Tier Services Partner, diseñó e implementó la capa de seguridad que protege esa API, los datos de los estudiantes y los procesos de entrenamiento del modelo.
Como el pipeline no tiene interfaz de usuario, inicialmente se consideró que no necesitaba un esquema de seguridad tradicional. Sin embargo, la API protegida únicamente con una llave de acceso daba paso a datos sensibles y a procesos de alto costo:
XalDigital agregó una capa de seguridad sobre la arquitectura existente en AWS —Amazon API Gateway, AWS Lambda, AWS Glue, Amazon SageMaker Pipelines y Amazon S3, conectada a la base on-premises por AWS Site-to-Site VPN— sin modificar el flujo funcional del pipeline ni obligar a la universidad a cambiar de plataforma.
Protección de la API. Desplegamos AWS WAF frente a Amazon API Gateway con reglas administradas por AWS (Core Rule Set e inyección SQL) y un grupo de reglas propio ajustado al tráfico real de la universidad: límite de solicitudes, geo-restricción a México y Estados Unidos, bloqueo de métodos HTTP no usados y bloqueo de escáneres. Cada regla se validó en modo de observación con tráfico real antes de activarse.
Control de acceso por endpoint. Diseñamos una regla condicional que exige la llave de acceso solo en los dos endpoints que disparan los procesos más costosos —inicio de ingesta y reentrenamiento del modelo—, protegiéndolos sin afectar otras APIs institucionales que comparten la cuenta.
Gestión de credenciales. Centralizamos las credenciales de la base de datos en AWS Secrets Manager, cifradas con AWS KMS, y los procesos de AWS Glue las leen mediante su rol de ejecución, eliminando credenciales en texto plano del pipeline.
Monitoreo y auditoría. AWS CloudTrail registra la actividad de la cuenta, Amazon CloudWatch captura logs de cada paso del pipeline y Amazon SNS notifica el inicio, fin y registro de cada modelo. Los cambios se despliegan con CodePipeline, sin modificaciones manuales en la consola.
Personas y procesos. Entregamos una matriz de escalamiento y runbooks de validación con puntos de control y recuperación por fase del pipeline, para que el equipo de la universidad sepa exactamente cómo actuar ante una falla de ingesta, escritura o reentrenamiento.
La capa de seguridad queda como base para los nuevos proyectos de datos e Inteligencia Artificial de la universidad en AWS, que podrán incorporarse con los mismos controles de protección de API, gestión de credenciales y monitoreo desde el primer día.
Contáctanos y recibe asesoría de nuestro equipo de expertos.
Contáctanos y recibe asesoría de nuestro equipo de expertos.