¿Qué es la confianza cero?
La confianza cero es un modelo de seguridad de "filtración asumida" creado para los arquitectos de soluciones de ciberseguridad, integradores de sistemas y equipos de DevOps para integrar capacidades de ciberseguridad esenciales en un entorno de TI omnipresente que permita la planificación y la toma de decisiones en materia de ciberseguridad.
Antes: Confíe en todo aquel que esté dentro del perímetro de la red
Tradicionalmente, las organizaciones utilizaban un modelo de "castillo y foso" para asegurar la seguridad de la red. Los usuarios y equipos situados dentro del perímetro de la red eran de confianza por defecto, lo que significaba que no tenían que autenticarse antes de acceder a los recursos de la organización. Solos los usuarios y dispositivos ubicados fuera del perímetro de la red tenían que hacerlo. Se trataba de un marco lógico cuando todos los empleados y equipos se ubicaban virtualmente dentro de los confines de un edificio, lo que aseguraba un perímetro de red claramente definido.
Incluso antes de la pandemia de la COVID-19, la computación en la nube y la movilidad estaban desbaratando el concepto de "perímetro de la red". Las secuelas de los confinamientos por la pandemia lo destruyeron por completo. Para habilitar a todos los nuevos empleados remotos, las organizaciones se vieron obligadas a acelerar sus planes de transformación digital de meses o años. Las empresas migraron rápidamente a entornos basados en la nube (la mayoría multinube o híbridos) para que sus empleados pudieran acceder a los recursos del trabajo desde cualquier lugar. Esto produjo que se multiplicara exponencialmente el número de puntos de conexión, páginas web, sistemas, bases de datos y aplicaciones que requerían autenticación y cifrado de extremo a extremo.
Los administradores de TI intentaron meter con calzador soluciones dispares creadas para infraestructuras homogéneas en la nube en entornos heterogéneos, pero les resultó imposible conseguir una visibilidad, seguridad y control completos de las redes y los puntos de conexión. El modelo de castillo y foso se desmoronó y los ciberataques se dispararon cuando los atacantes se aprovecharon de las insuficientes defensas de seguridad de las organizaciones.
Hoy: No confíe en nadie
A diferencia del modelo de castillo y foso, la confianza cero no confía en ningún usuario o dispositivo, independientemente de dónde se ubiquen. En un entorno de confianza cero, todos los usuarios y dispositivos deben autenticarse antes de poder acceder a los recursos de la organización. En lugar de confiar en la ubicación de los usuarios, la confianza cero les hace probar que son quienes dicen ser.
Si se implementa correctamente, el acceso a la red de confianza cero proporciona a los administradores de TI una visibilidad total de todos los usuarios, sistemas y dispositivos. Las personas, las aplicaciones y los servicios pueden comunicarse de forma segura, incluso en entornos de red. No importa si los usuarios se conectan desde sus casas, hoteles, cafeterías o aeropuertos, o incluso si utilizan sus propios dispositivos. Los administradores pueden ver exactamente quién se conecta a la red, desde dónde y a qué acceden, y los usuarios no pueden entrar hasta que hayan demostrado explícitamente ser quienes dicen ser.
Tres principios rectores constituyen el núcleo de la seguridad de confianza cero:
Asuma la filtración.
Cualquier persona o dispositivo podría estar potencialmente en riesgo, incluso si se conectan desde la oficina, por lo que el segundo principio rector dice…
Verifique de forma explícita.
Todas las personas y equipos deben probar que son quienes dicen ser antes de poder acceder a los recursos de la red. Y eso no es todo…
Asegure el mínimo privilegio.
Incluso cuando un usuario se ha verificado de forma explícita, debería tener la mínima cantidad de acceso a la red que necesita para realizar su trabajo y nada más.
Los 6 pilares de la seguridad de confianza cero
Microsoft recomienda planificar la aplicación de la confianza cero en torno a los siguientes seis pilares, que deben ser evaluados y luego actualizados y reemplazados en consecuencia.3
Identidad
En un modelo de confianza cero, cada usuario (humano o máquina) debe tener una identidad digital única. Cuando esta identidad solicite acceso a un recurso, el sistema debe verificarlo con una autenticación fuerte, respaldada por un análisis de comportamiento que garantice que la solicitud de acceso no es anómala para dicho usuario. Cuando la identidad se haya autenticado, el acceso a la red debe seguir los principios del mínimo privilegio.
Para conseguir esto, asegúrese de que todos sus usuarios utilizan contraseñas únicas y fuertes para todas sus cuentas y que han activado la autenticación de varios factores (MFA) cuando sea compatible. Asimismo, aplique soluciones de detección en tiempo real, corrección automatizada e inteligencia conectada para supervisar el riesgo de las cuentas y responder a posibles problemas.
Puntos de conexión
Solo debe permitirse el acceso a los datos a las aplicaciones y dispositivos que cumplan las normas y sean de confianza. Antes de permitir que los empleados accedan a las aplicaciones y dispositivos móviles de la empresa, exíjales que registren sus dispositivos en la gestión de dispositivos móviles (MDM) y que validen la salud de sus dispositivos y el cumplimiento de las políticas de seguridad de la empresa. Las soluciones de MDM también ofrecen a los administradores visibilidad sobre la salud y el cumplimiento de sus dispositivos para aplicar políticas y controles de seguridad, como bloquear las opciones de copiar/pegar o descargar/transferir.
En los entornos actuales basados en la nube, los datos residen en todas partes y deben ser gestionados dondequiera que se ubiquen. Esto implica controlar y restringir estrictamente el acceso a los datos según los principios del mínimo privilegio y garantizar que los datos estén cifrados tanto en reposo como en tránsito.
Datos
En los entornos actuales basados en la nube, los datos residen en todas partes y deben ser gestionados dondequiera que se ubiquen. Esto implica controlar y restringir estrictamente el acceso a los datos según los principios del mínimo privilegio y garantizar que los datos estén cifrados tanto en reposo como en tránsito.
Aplicaciones
El acceso a las aplicaciones y los privilegios deben controlarse y restringirse con el mismo rigor que los datos. Controle el acceso a las aplicaciones, supervise su uso para detectar comportamientos anómalos y utilice el control de accesos basado en roles (RBAC) para garantizar que los permisos de los usuarios en las aplicaciones sean adecuados y sigan los principios del mínimo privilegio.
Infraestructura
Gestionar los permisos tanto de la infraestructura local como de los equipos virtuales basados en la nube, los contenedores y los microservicios puede ser un reto. Automatice tantos procesos como sea posible. Utilice el acceso justo a tiempo (JIT) para reforzar las defensas, desplegar análisis de seguridad para detectar anomalías y ataques y bloquear y marcar automáticamente los comportamientos de riesgo para su posterior investigación y corrección.
Red
Segmente las redes para evitar que los atacantes se muevan lateralmente y accedan a recursos confidenciales. Utilice controles de seguridad de la red canalizados para mejorar la visibilidad, incluidas las herramientas de protección contra amenazas en tiempo real, cifrado de extremo a extremo, supervisión y análisis.
Buenas prácticas para desplegar una arquitectura de confianza cero
Uno de los principales retos de aplicar la confianza cero es saber por dónde empezar. La confianza cero tiene muchas partes movibles y no existen normas universales para aplicarla. Aquí tiene algunas buenas prácticas para trazar el itinerario de confianza cero de su organización.
Tenga en cuenta que la confianza cero es un compromiso a largo plazo y no una solución temporal.
A medida que la tecnología, los flujos de trabajo y el entorno de las amenazas cambian, también lo hará su arquitectura de confianza cero.
Asegúrese de contar con la aprobación de la alta dirección.
La confianza cero requiere una mentalidad de "todo o nada" y un compromiso firme por parte de todos los niveles de liderazgo y equipos. El apoyo de la alta dirección fue un elemento común entre los "campeones" de CRA, mientras que la falta de apoyo fue el principal obstáculo citado por las organizaciones que siguen luchando por adoptar la confianza cero.4
Empiece poco a poco.
Para evitar interrupciones en la empresa, el NIST recomienda comenzar la aplicación de la confianza cero migrando primero los recursos empresariales de bajo riesgo y, a continuación, pasar a los recursos más críticos una vez que el equipo tenga más experiencia con la confianza cero.5
En caso de duda, concéntrese en la IAM sobre todo.
Entre los "campeones" de la confianza cero de CRA, la gestión de identidades y accesos (IAM) fue el componente de confianza cero más frecuentemente aplicado, pues un 86 % aplicó estrategias de confianza cero a sus procesos y controles de IAM.6
Buenas prácticas para elegir soluciones de confianza cero
Algunos dicen que la confianza cero es un paradigma, mientras que otros afirman que es una filosofía, un marco, un modelo o incluso un movimiento. Sea lo que sea, la conclusión es que el objetivo final de la confianza cero no es desplegar productos específicos, sino lograr los resultados deseados. En este sentido, la confianza cero es a la ciberseguridad lo que DevOps es al desarrollo del software: un cambio fundamental en la forma en que las organizaciones abordan la seguridad.
Existen en el mercado muchas soluciones compatibles con la confianza cero, pero no todas son adecuadas para su entorno de datos y para las necesidades específicas de su negocio. NIST7 recomienda considerar lo siguiente a la hora de elegir las herramientas de confianza cero:
¿Requiere la solución que se instalen componentes en el activo del cliente?
Las soluciones del lado del cliente pueden limitar los procesos empresariales e impedir la productividad. También crean una sobrecarga administrativa adicional para su equipo de TI.
¿Esta solución funciona en aquellos casos en los que los recursos de los procesos de la empresa existen localmente?
Algunas soluciones asumen que los recursos solicitados residen en la nube (denominado tráfico norte-sur) y no dentro del perímetro de la empresa (tráfico este-oeste). Esto plantea un problema en los entornos de nube híbridos, en los que las aplicaciones de línea de negocio heredadas que realizan funciones críticas pueden ejecutarse localmente porque migrarlas a la nube no sería posible.
¿Ofrece esta solución una manera de registrar las interacciones para su análisis?
Las decisiones de acceso de confianza cero dependen en gran medida de la recopilación y el uso de datos relacionados con el flujo de procesos, especialmente para las cuentas de acceso privilegiado.
¿Ofrece esta solución una amplia asistencia para diferentes aplicaciones, servicios y protocolos?
Algunas soluciones pueden ser compatibles con un amplio abanico de protocolos (SSH, web, etc.) y transportes (IPv4 y IPv6), pero otras puede que solo funcionen con la web o el correo electrónico.
¿La solución requiere cambios en el comportamiento del sujeto?
Algunas soluciones pueden requerir pasos adicionales para realizar un flujo de trabajo determinado, lo que podría obligar a su organización a realizar cambios en los flujos de trabajo existentes.
Cómo Keeper puede ayudar a que su organización adopte la confianza cero
El paquete de ciberseguridad de conocimiento cero y confianza cero de Keeper permite a las organizaciones adoptar un acceso remoto de confianza cero para sus trabajadores a distancia con una autenticación fuerte y un control y visibilidad granulares. Al unificar la gestión de contraseñas empresariales (EPM), la gestión de secretos (SM) y la gestión de conexiones con privilegios (PCM), Keeper ofrece a los administradores de TI y a los equipos de seguridad un panel único y omnipresente para rastrear, registrar, supervisar y proteger a todos los usuarios en todos los dispositivos y desde todas las ubicaciones, mientras realizan transacciones con todos los sitios, sistemas y aplicaciones permitidos.
- La plataforma de gestión de contraseñas empresariales de Keeper ofrece a las organizaciones un control y visibilidad totales sobre las prácticas de los empleados con las contraseñas necesarias para aplicar correctamente un modelo de confianza cero. Los administradores de TI pueden supervisar y controlar el uso de las contraseñas en toda la organización y aplicar controles y políticas de seguridad, como la MFA, el RBAC y el acceso de mínimo privilegio.
- Keeper Secrets Manager ofrece a los equipos de DevOps, de seguridad de TI y de desarrollo de software una plataforma basada en la nube para gestionar todos los secretos de su infraestructura, desde claves SSH y API hasta contraseñas de bases de datos y credenciales RDP. Todos los servidores, canalizaciones CI/CD, entornos de desarrollador y el código fuente extraen los secretos desde un punto final seguro de la API. Cada secreto se cifra con una clave AES de 256 bits, que se cifra con otra clave de aplicación AES-256. El dispositivo cliente recupera el texto cifrado desde la nube de Keeper y los secretos se descifran localmente en el dispositivo, no en el servidor.
- Keeper Connection Manager es una puerta de enlace de escritorio remoto y sin agentes que ofrece a los equipos de DevOps y TI un acceso sin esfuerzos a la red de confianza cero (ZTNA), al RDP, al SSH y a los puntos de conexión de Kubernetes a través del navegador web. Todos los usuarios y dispositivos se autentican completamente antes de permitir su acceso a los recursos de la organización.
