Proteja su organización con una seguridad de confianza cero

El nuevo marco de seguridad de confianza cero

Históricamente, la mayoría de las organizaciones utilizaban un modelo de castillo y foso para asegurar la seguridad de la red. Los usuarios y dispositivos situados dentro del perímetro de la red eran de confianza de manera predeterminada y los que estaban fuera de él no. Esto tenía sentido cuando la mayor parte o la totalidad de los equipos y empleados se encontraban en las propias instalaciones, lo que garantizaba un perímetro de red claramente definido.

Durante la última década, la computación en la nube y la movilidad han cambiado radicalmente los entornos de datos de las organizaciones, pues han reducido el castillo y han desdibujado el perímetro de la red. La caída definitiva del modelo de castillo y foso se produjo con la pandemia de la COVID-19, la cual forzó a las organizaciones a expandir rápidamente sus redes y funciones de seguridad para facilitar la implementación del trabajo remoto.

El perímetro de la red no solo se desdibujó: ya no existía. El castillo estaba en ruinas, el foso se secó y las organizaciones comenzaron a avanzar hacia un acceso a la red moderno y de confianza cero.

Comprender la confianza cero

El marco de seguridad de confianza cero gira en torno a tres principios básicos: asumir la violación, verificar explícitamente y asegurar el acceso de privilegio mínimo.

En lugar de confiar de manera implícita en todos los usuarios y dispositivos dentro del perímetro de la red, la confianza cero no se fía de nada ni nadie. Esta asume que todos los usuarios y dispositivos podrían verse potencialmente vulnerados y que todos (humanos o equipos) deben verificarse antes de que puedan acceder a la red. Una vez que se haya accedido, los usuarios deberían tener el mínimo acceso posible a la red: solo el necesario para hacer su trabajo. Ni más ni menos.

Cuando se implementa adecuadamente, el modelo de confianza cero ofrece a los administradores de TI una visibilidad completa sobre todos los usuarios, sistemas y dispositivos; permite asegurar el cumplimiento de la normativa vigente y ayuda a evitar los ataques cibernéticos causados por credenciales de usuario vulneradas.

Por qué las VPN y la confianza cero no son compatibles

Con la irrupción de la pandemia de la COVID-19, las organizaciones se vieron obligadas a mejorar rápidamente sus redes y seguridad para facilitar el despliegue de fuerzas de trabajo remotas. Como este cambio sucedió de manera repentina y sin aviso, muchas organizaciones simplemente implementaron más de lo que ya tenían. Normalmente, esto significaba usar VPN para proteger las conexiones remotas.

Cuando el acceso remoto estaba limitado únicamente a casos de uso específicos, las VPN funcionaban suficientemente bien, pero cuando las organizaciones intentaron expandirlas para cumplir con las necesidades de los trabajadores remotos, sus desventajas se hicieron pronto aparentes.

Las VPN no se adaptan bien en absoluto. Además, son costosas y están llenas de problemas de latencia, fiabilidad y disponibilidad. Requieren muchos gastos administrativos y son extremadamente difíciles de usar para los usuarios finales. Y lo peor de todo es que la mayoría no admiten el acceso de confianza cero a la red.

Cómo aplicar la confianza cero

No existen normas universales sobre la “implementación de confianza cero” y saber por dónde empezar puede ser todo un reto. No obstante, las siguientes buenas prácticas son universales y le ayudarán a diseñar el viaje de su organización hacia la confianza cero.

• Comprométase con la confianza cero a largo plazo: la tecnología, los flujos de trabajo y los entornos de amenaza cambian constantemente y se vuelven cada vez más complejos. Lo mismo ocurre con la arquitectura de confianza cero.
• Asegúrese de que las altas directivas están de acuerdo: todos los niveles de liderazgo deben estar de acuerdo y tener un compromiso claro para aplicar la confianza cero. Un estudio realizado por CRA descubrió que las organizaciones que aplicaban correctamente la confianza cero contaban con el apoyo de las altas directivas, mientras que las que carecían de ese apoyo tenían dificultades.
• Empiece poco a poco: comience implementando la confianza cero migrando primero los recursos empresariales de bajo riesgo y pase después a recursos más críticos mientras que el equipo va ganando experiencia con el proceso.
• Céntrese primero en la IAM: CRA descubrió que la gestión de identidades y accesos (IAM) fue el componente de la confianza cero más aplicado por las organizaciones que tenían un mayor éxito, pues un 86 % había aplicado las estrategias de confianza cero a sus controles y procesos de IAM.