El concepto Zero Trust, o “nunca confíes, siempre verifica”, está ganando popularidad rápidamente, y, ¡no es de extrañar! Está diseñado para mejorar la flexibilidad y resolver los desafíos de la infraestructura de seguridad de TI moderna, así como para proteger contra vectores de ataque en constante evolución. Analicemos los conceptos básicos de este modelo para comprender por qué es tan atractivo para las empresas.
La migración de aplicaciones comerciales a la nube las ha tornado más accesibles, pero también, más vulnerables. La superficie de ataque se está expandiendo constantemente, por lo que la definición de un perímetro lógico ya no es posible. El equipo de TI empresarial debe adoptar una estrategia reactiva basada en un perímetro para proteger las debilidades de la TI de “herencia”, un concepto de seguridad que construye una barrera entre la red corporativa y el resto del mundo. La seguridad perimetral funcionó perfectamente cuando la zona de confianza se limitaba a la red de acceso local. Pero, a medida que creció el número de empleados que usan teléfonos móviles y trabajan de forma remota, la seguridad perimetral requería de más y más parches. De hecho, los ciberdelincuentes ya no hackean las redes empresariales; simplemente se conectan por medio de credenciales débiles, robadas o de alguna manera comprometidas.
Síguenos en Google Noticias para mantenerte siempre informado
Creando un nuevo paradigma con Zero Trust
Por lo contrario, el concepto Zero Trust, funciona perfectamente para combatir las amenazas que se dirigen a las iniciativas de transformación digital. Fue presentado hace más de 10 años por el analista principal de Forrester Research, John Kindervag, como una alternativa a la seguridad perimetral. El modelo Zero Trust divide la infraestructura corporativa y otros recursos en pequeños nodos, los cuales pueden constar de tan solo un dispositivo o aplicación. El resultado son muchos perímetros microscópicos, cada uno con sus propias políticas de seguridad y permisos, lo que concede flexibilidad en la gestión de accesos y permite a las empresas bloquear la propagación incontrolable de una amenaza dentro de la red.
El concepto Zero Trust supone que cada conexión y endpoint es una amenaza potencial. Es decir, una red Zero Trust registra y analiza todo el tráfico de la red corporativa, limita y controla el acceso a esta y verifica y asegura todos los recursos de la red. Además, garantiza que los datos y los recursos sean inaccesibles de forma predeterminada. Los usuarios solo pueden acceder a ellos en casos limitados bajo circunstancias específicas. Por lo tanto, si una cuenta de usuario individual es hackeada, solo una parte de la infraestructura se verá comprometida.
La doctrina Zero Trust dicta que cualquier intento de acceso a la información corporativa se debe tratar como si fuese una amenaza potencial hasta que se demuestre lo contrario. Por ende, para cada sesión, el usuario, dispositivo y aplicación debe pasar un procedimiento de autenticación y demostrar que tiene derecho a acceder a los datos en cuestión.
¿Ya nos tienes en Facebook? Danos like y recibe la mejor información
Entonces, ¿cómo se implementa Zero Trust?
La implementación de Zero Trust es un proceso largo, que puede ser cuestionado por los empleados a nivel personal y por la gerencia a nivel empresarial. Esto es comprensible, ya que el equipo de TI debe tener la capacidad de controlar todos los dispositivos y aplicaciones de trabajo. También es esencial registrar y analizar la información sobre cada evento en los endpoints y demás componentes de la infraestructura.
Si sus empleados usan tanto equipos corporativos como dispositivos personales en el trabajo y para desempeñar su labor, entonces todos los equipos deben ser inventariados. Las políticas corporativas deben configurarse en los dispositivos requeridos para el trabajo, y los otros deben ser bloqueados de la red corporativa. Para las grandes empresas con sucursales en varias ciudades y países, el proceso inevitablemente tomará un tiempo.
No todos los sistemas son igualmente adaptables a una transición Zero Trust. Si la empresa tiene una infraestructura compleja, por ejemplo, incluye dispositivos o software obsoletos que no pueden soportar los estándares de seguridad actuales; reemplazar estos sistemas llevará tiempo y dinero.
Sigue la información sobre los negocios y la actualidad en Forbes México
Eso significa que, en muchos casos, las empresas necesitarán de un plan de transición gradual a Zero Trust. Por ejemplo, Google necesitó siete años para construir el framework BeyondCorp basado en Zero Trust. El tiempo de implementación puede ser sustancialmente más corto para organizaciones corporativas menos complejas, pero no se debe suponer que el proceso se reducirá a un par de semanas, o incluso meses.
Nuestra empresa ha iniciado la transformación de las herramientas de protección tradicionales para uso en un entorno de nube. El concepto Zero Trust se está convirtiendo en el centro de nuestros nuevos servicios, asegurando la conectividad entre los valiosos recursos corporativos y los usuarios, independientemente de su ubicación.
Contacto:
Eugene es un experto en ciberseguridad de renombre mundial y empresario. Es cofundador y Director General de Kaspersky, proveedor privado de soluciones de ciberseguridad y protección de endpoints más grande del mundo que trabaja, entre otros con la INTERPOL y Europol en temas contra el cibercrimen. *
Las opiniones expresadas son sólo responsabilidad de sus autores y son completamente independientes de la postura y la línea editorial de Forbes México.
