Hoy en día, las fugas de datos son comunes y las empresas siempre están a punto de comprometer severamente la información confidencial, por lo que las prácticas recomendadas de ciberseguridad son necesarias ahora más que nunca. Durante años, las empresas han modelado su ciberseguridad alrededor de un perímetro virtual de confianza que incluye infraestructura de red confiable, usuarios y dispositivos.
Desafortunadamente, los ciberdelincuentes y actores maliciosos han explotado este modelo de ciberseguridad durante años. Sin duda, existe una necesidad inmediata de sistemas de ciberseguridad sólidos que no dejen lagunas (piense en numerosos dispositivos, puntos de contacto digitales y usuarios), proporcionando un ecosistema libre de riesgos. Aquí es donde entra en juego un modelo de confianza cero.
Entonces, ¿cómo puede convertir el concepto de seguridad de confianza cero en una realidad para su negocio u organización? Esta guía definitiva explica lo que significa la confianza cero y cómo funciona.
Tabla de contenidos:
¿Qué significa confianza cero?
¿Qué es una red de confianza cero?
¿Cómo funciona la confianza cero?
Principios de seguridad de confianza cero
¿Qué es la arquitectura de confianza cero?
Tecnología de confianza cero
¿Por qué es importante la confianza cero?
¿Cómo implementar la seguridad de confianza cero?
Beneficios de la seguridad de confianza cero
Desafíos de la seguridad de confianza cero
Conclusión
La confianza cero se refiere a una filosofía de seguridad derivada del concepto de "confiar en nada, verificar todo". El enfoque de ciberseguridad garantiza que las organizaciones otorguen acceso solo a usuarios, sistemas, redes y procesos autorizados y seguros confirmados. En consecuencia, evita que los actores maliciosos tengan acceso y hagan daño. Las empresas también pueden defenderse contra las amenazas siempre emergentes como el ransomware.
La confianza cero es un modelo de seguridad informática relativamente nuevo que requiere una estricta verificación de identidad para cada dispositivo o usuario que intente acceder a los recursos de una red privada, independientemente de si se encuentran dentro o fuera del perímetro de la red.
Si bien la tecnología primaria asociada con el modelo de confianza cero es el Acceso a la red de confianza cero (ZTNA), el marco es un enfoque holístico de la seguridad de la red, incorporando varias tecnologías y principios diferentes.
En pocas palabras, la seguridad tradicional de la red de TI confía en los usuarios y dispositivos dentro de la red, mientras que la arquitectura de confianza cero no confía en nada ni en nadie.
La seguridad tradicional de la red de TI se basaba en el concepto de castillo y foso, donde es difícil obtener acceso desde el exterior, mientras que la red confía en todos los que están dentro de forma predeterminada. Sin embargo, surgieron problemas cuando los actores maliciosos obtuvieron acceso y disfrutaron de rienda suelta sobre todo lo que se encuentra dentro de la red.
En esencia, el modelo de seguridad de confianza cero se relaciona con un cambio de paradigma en la forma en que las empresas y las organizaciones conciben sus redes, sistemas e infraestructura de TI. Con el modelo anterior, todos los servidores, equipos y otros dispositivos existían en la misma red y confiaban entre sí.
Los equipos de TI tenían que configurar herramientas de seguridad como antivirus y firewalls, que consideraban todo lo que estaba fuera del perímetro virtual como malo y todo lo que estaba dentro como bueno, sin ningún escrutinio adicional. Sin embargo, la irrupción de los dispositivos móviles, el trabajo remoto y los servicios en la nube ha desafiado radicalmente esos supuestos. Hoy en día, las organizaciones ya no guardan sus datos en un solo lugar. En cambio, esta se distribuye entre servidores y proveedores de nube, lo que hace que sea difícil tener un control de seguridad principal para toda la red.
Las organizaciones actuales ya no pueden controlar físicamente cada dispositivo que usan sus empleados. Además, aunque pudieran controlar cada dispositivo dentro de sus redes, el viejo modelo nunca fue seguro. Una vez que un atacante eludía las defensas perimetrales remota o físicamente al infiltrarse en la organización, la red le otorgaba acceso, confianza y libertad.
La confianza cero es un concepto y una preocupación en marcha, no una acción puntual. Por ejemplo, en lugar de confiar en conexiones particulares, usuarios y dispositivos de ciertos lugares (como los empleados de una organización), la confianza cero exige que los usuarios demuestren que deben tener acceso.
Por lo general, obtener acceso a la red significa iniciar sesión en una cuenta corporativa utilizando nombres de usuario y contraseñas, además de datos biométricos o claves de seguridad de hardware, por lo que es más difícil para los actores maliciosos hacerse pasar por usuarios.
A su vez, el sistema se configura en función de la necesidad de acceso o de conocimiento, incluso después de haber accedido. Esto significa, por ejemplo, que si facturar a un contratista no forma parte de su trabajo, su cuenta corporativa no debería tener acceso a la plataforma de facturación. Así, una red de confianza cero:
Limita y controla el acceso a redes privadas
Registra e inspecciona todo el tráfico de la red
Verifica y mantiene la seguridad de los recursos de la red
Lo que esto significa es que el modelo de confianza cero garantiza que los datos y los recursos de red permanezcan inaccesibles por defecto. En consecuencia, los usuarios solo pueden acceder a ellos en las circunstancias adecuadas y por tiempo limitado; esto se conoce como acceso con privilegios mínimos.
El modelo de seguridad verifica y autoriza todas las conexiones, como cuando los usuarios se conectan a aplicaciones, software o conjuntos de datos mediante una interfaz para programación de aplicaciones (API). Además, garantiza que todas las interacciones cumplan con los requisitos condicionales de las políticas de seguridad de la organización.
Asimismo, una estrategia de seguridad de confianza cero autentica y autoriza dispositivos, flujos de red y conexiones en función de políticas dinámicas. Utiliza el contexto de numerosos orígenes de datos.
La confianza cero requiere una cartera de capacidades y experiencias de seguridad, que incluyen:
Identidad: define y gobierna las políticas de seguridad de confianza cero y administra el acceso entre usuarios y cuentas con privilegios mediante la autenticación multifactor, el inicio de sesión único y la administración del ciclo de vida.
Datos: protege los datos críticos utilizando las prácticas recomendadas comprobadas de confianza cero; descubre, clasifica y administra el acceso a los datos de acuerdo con el riesgo
Analítica y visibilidad: supervisa y hace aplicar políticas de confianza cero con análisis inteligentes; permite a las organizaciones ver y supervisar el comportamiento de los usuarios, los recursos y la conexión de datos
Dispositivos y cargas de trabajo: defiende a la organización mediante prácticas de confianza cero, desde aplicaciones seguras hasta monitoreo y administración de endpoints
Red y endpoint: aplica soluciones modernas y habilidades y experiencia comprobadas para proteger las infraestructuras de red y los endpoints
Automatización y orquestación: resuelve e itera rápidamente los problemas de seguridad como parte de la práctica de confianza cero mediante acciones orquestadas y manuales típicos
La confianza cero asegura y protege el entorno de TI de las empresas con base en los siguientes principios centrales:
1. Supervisión y validación continuas
El modelo de confianza cero asume la presencia de atacantes tanto dentro como fuera de la red. Por lo tanto, no otorga a nadie ni a nada confianza y acceso automáticos. Al contrario, verifica la identidad y los privilegios de cada usuario, además de la identidad y la seguridad del dispositivo. Además, las organizaciones pueden fijar plazos para que caduquen las conexiones y los inicios de sesión periódicamente una vez establecidos, lo que requiere la verificación continua de usuarios y dispositivos.
2. Principio de privilegios mínimos
El acceso con privilegios mínimos significa dar acceso a los usuarios en función de la necesidad de acceso y de conocimiento. Como resultado, minimiza la exposición de cada usuario a las secciones sensibles de una red.
Implementar el privilegio mínimo requiere una gestión cuidadosa de los permisos de los usuarios. Asimismo, las VPN no son adecuadas para enfoques de autorización con privilegios mínimos porque otorgan a los usuarios acceso a toda la red conectada.
3. Microsegmentación
Es la práctica de dividir los perímetros de seguridad de una red en zonas más pequeñas, lo que garantiza accesos separados para áreas separadas. Por ejemplo, una red que almacena archivos en un solo centro de datos podría microsegmentarlos en docenas de zonas separadas y seguras. De esta manera, un usuario o un programa requiere autorización separada para las diferentes zonas de archivos.
4. Control de acceso de dispositivos
La confianza cero también requiere controles de acceso estrictos para los dispositivos. Estos controles deben supervisar la forma en la que diferentes dispositivos intentan acceder a la red, asegurarse de que están autorizados y evaluarlos para determinar si los atacantes los han comprometido.
5. Prevención del movimiento lateral
En la seguridad de una red, el movimiento lateral se refiere a la capacidad de un atacante para moverse dentro de la red después de haber obtenido acceso. Los atacantes pueden comprometer otras partes de la red a medida que se mueven a través de ella, dificultando su detección. La segmentación de la red impide el movimiento lateral y permite al equipo de TI detectar y poner en cuarentena las cuentas de usuario o los dispositivos comprometidos.
6. Autenticación multifactor (MFA)
Requiere más de un solo dato para autenticar al usuario, lo que significa que ingresar únicamente un nombre de usuario y una contraseña no es suficiente para obtener acceso. Por ejemplo, la autorización de 2 factores (2FA) es una aplicación común de MFA que se utiliza en plataformas como Google y Facebook. La 2FA requiere que los usuarios ingresen una contraseña y un código de acceso que se envía a un dispositivo secundario.
La arquitectura de confianza cero (ZTA) se refiere a una infraestructura de ciberseguridad empresarial basada en componentes y principios de confianza cero diseñados para prevenir filtraciones de datos y redes y al mismo tiempo limitar el movimiento lateral interno. La ZTA fortalece la ciberseguridad de una organización, mantiene a los usuarios no autorizados fuera de la red privada y protege los activos de amenazas.
Esencialmente, la ZTA permite a los usuarios de una red acceder solo a lo que necesitan para realizar su trabajo. También identifica actividades potencialmente maliciosas o anómalas y permite poner en cuarentena a los segmentos afectados para evitar la propagación de ciberataques a través de la red.
La seguridad de confianza cero supone que los usuarios o dispositivos han comprometido la red y los desafía a demostrar que no son atacantes.
El Instituto Nacional de Estándares y Tecnología (NIST) ya estableció principios de arquitectura de confianza cero para las agencias gubernamentales. Estos principios del NIST también pueden aplicarse a las organizaciones privadas e incluyen los siguientes:
Las organizaciones deben considerar todos los orígenes de datos y servicios informáticos como recursos.
Deben proteger toda la comunicación independientemente de la ubicación de la red.
Deben otorgar acceso a los recursos individuales de la empresa según cada conexión.
Deben determinar el acceso a los recursos de acuerdo con las políticas, incluido el estado del sistema solicitante y la identidad del usuario, y otros atributos de comportamiento.
Deben garantizar que todos los sistemas (de propiedad y asociados) estén en un estado seguro y los deben supervisar para asegurarse de que permanecen protegidos.
Las empresas deben implementar estrictamente la autenticación del usuario antes de dar acceso. Es un ciclo constante de acceder, escanear y evaluar amenazas, adaptar y autenticar continuamente.
Existen algunas tecnologías y consideraciones que las organizaciones necesitan para implementar una arquitectura eficiente y efectiva de confianza cero. Estas incluyen:
Acceso a la red de confianza cero: la ZTNA permite que los nuevos servicios en la nube de confianza cero brinden a los trabajadores y a los equipos remotos acceso a redes privadas internas sin los riesgos, complejidades y embotellamientos de las Redes Privadas Virtuales (VPN).
Firewall de próxima generación: esta herramienta protege la red, ayuda con la microsegmentación y descifra el tráfico.
Prevención de pérdida de datos (DLP): esto permite a las organizaciones ir más allá de solo controlar el acceso de usuarios y dispositivos para administrar el uso de datos.
Supervisión continua: las organizaciones deben asumir la presencia de actores maliciosos dentro y fuera de sus redes, por lo que necesitan tecnologías que permitan la supervisión continua de sus sistemas y datos.
El modelo de confianza cero llegó en respuesta a un mundo digital sin fronteras donde innovaciones como las tecnologías en la nube, el uso de dispositivos propios (BYOD) e incluso el Internet de las cosas (IoT) definen el panorama de las organizaciones en todo el mundo. Hoy en día, los usuarios pueden trabajar de forma remota desde cualquier dispositivo y colaborar en línea a través de redes compartidas y herramientas SaaS basadas en la nube.
Las organizaciones almacenan información en la nube para que sea accesible desde cualquier lugar, mientras que los dispositivos personales han inundado el mercado y se han hecho lugar en las redes internas de confianza de las empresas. A medida que el mundo se vuelve más interconectado, desaparecen las fronteras digitales, aumentan las amenazas de ciberseguridad y el perímetro de confianza virtual se traslada a dispositivos finales y cuentas de usuario.
Para los piratas informáticos, ahora es más fácil atacar empleados individuales y dispositivos personales con un esquema de phishing (como el phishing social o por correo electrónico) para obtener acceso a redes privadas en lugar de directamente atacar redes protegidas.
Por lo tanto, la premisa de la confianza cero es evitar otorgar confianza implícita a cualquier dispositivo o usuario. En cambio, la red debe verificar esta confianza antes de otorgar acceso y reevaluarla con regularidad. Además, el modelo consiste en un conjunto de tecnologías que facilitan la evaluación constante de la confianza y el control de dispositivos digitales, identidades y servicios.
Las organizaciones necesitan planificar e implementar un modelo de seguridad de confianza cero para ayudar a aumentar su ciberseguridad y descubrir los beneficios de un paradigma de confianza cero en evolución.
Siga este plan de implementación de confianza cero de seis pasos para garantizar que está tomando todas las precauciones:
1. Reúna un equipo dedicado de seguridad de confianza cero
En primer lugar, las organizaciones deben identificar y formar un equipo dedicado de seguridad de confianza cero encargado de planificar e implementar la migración hacia la confianza cero. El equipo puede incluir miembros de otros equipos o departamentos de TI, como aplicaciones y seguridad de datos, identidad de usuarios y dispositivos y seguridad de redes e infraestructura.
2. Evalúe el entorno
El siguiente paso consiste en realizar un inventario integral de los dispositivos que tienen acceso a la red. La lista debe incluir tanto los dispositivos de propiedad privada como los de la organización. Luego, deberían ir un paso más allá y analizar el estado y los controles de seguridad de los dispositivos.
La organización puede analizar en más detalle los recursos de software y los usuarios, incluyendo cuentas, grupos, membresías de grupos, identidades, identidades no humanas (aplicaciones y cuentas de servicio) y máquinas virtuales y contenedores.
3. Defina la superficie de protección
Dado que el panorama actual de amenazas evoluciona rápidamente, no es viable ni recomendable tratar de reducir la superficie de ataque cada vez mayor de una organización. Sin embargo, el personal del equipo de TI puede identificar y definir la superficie de protección de la organización, que abarca lo siguiente:
Datos: información de salud protegida (PHI), información de tarjetas de crédito (PCI), propiedad intelectual (IP) e información de identificación personal
Activos: equipos médicos, controles de supervisión y adquisición de datos (SCADA), activos de fabricación, dispositivos IoT y terminales de punto de venta
Servicios: DNS, Active Directory y DHCP
Aplicaciones: software personalizado
Luego, la organización puede mover sus controles para asegurar la superficie protegida y crear un perímetro de seguridad con declaraciones de políticas limitadas, precisas y comprensibles.
4. Revise la tecnología de confianza cero disponible
El NIST identifica tres enfoques principales para implementar modelos de confianza cero. Estos enfoques son la microsegmentación, el perímetro definido por software y la gobernanza de identidad mejorada: IAM y PAM (gestión de acceso de identidad y gestión de acceso privilegiado, respectivamente).
La tecnología esencial que puede necesitar incluye acceso a la red de confianza cero (ZTNA), firewalls de próxima generación y prevención de pérdida de datos (DLP), entre otras.
5. Planifique su estrategia de seguridad de confianza cero
Las redes de confianza cero son personalizadas y se construyen alrededor de la superficie protegida de una organización. Un ejemplo de plan de configuración de red de confianza cero es el siguiente:
Comience con la autenticación multifactor y el inicio de sesión único (SSO) para que su sistema de ciberseguridad no tenga perímetros, especialmente a medida que el mundo incorpora cada vez más la adopción de software como servicio por parte de una fuerza de trabajo remota.
Implemente el acceso privilegiado para evitar que los piratas informáticos ingresen al sistema y se muevan lateralmente. La creación de bóvedas y la aleatorización de códigos de acceso para cuentas altamente privilegiadas disuade tales tácticas.
Incluya un firewall de próxima generación como gateway de segmentación que cree un microperímetro alrededor del perímetro de protección identificado. Aquí, puede aplicar capas adicionales de inspección y control de acceso.
Después de diseñar una red de confianza cero, las organizaciones necesitarán políticas sólidas para aprobar recursos y niveles de acceso. Cree un alto nivel de aplicación granular de políticas para garantizar que solo se admite el tráfico permitido y la comunicación de aplicaciones legítimas.
6. Supervise y haga el mantenimiento de la red
El paso final incluye revisar los registros internos y externos, enfocándose en los aspectos operativos de la confianza cero. Debido a que es un proceso iterativo, las organizaciones deberán inspeccionar y registrar todo el tráfico para obtener información valiosa sobre la eficacia de la red y mejorarla con el tiempo.
El principal beneficio de un enfoque de confianza cero es que ofrece protección desde todos los ángulos, dentro y fuera de la red. Los modelos de seguridad tradicionales no logran proteger a las organizaciones porque ponen el foco de la defensa en el perímetro de la red. En realidad, muchas filtraciones ocurren desde dentro de la red. Por ejemplo, podría ocurrir en manos de empleados o por amenazas externas que se infiltran en la red a través de conexiones VPN, correos electrónicos, navegadores, endpoints y otros medios.
Por lo tanto, la seguridad de confianza cero quita el acceso para todos hasta que la red protegida pueda determinar quiénes son los usuarios autorizados. Luego supervisa continuamente cómo los usuarios usan los datos y puede revocar los permisos de copiar o eliminar datos en otros lugares.
Los equipos de TI pueden diseñar capacidades de confianza cero en procesos de negocio, sistemas y servicios, de manera que estén mejor equipados para:
Prevenir las fugas de datos y utilizar la microsegmentación de aplicaciones para contener el movimiento lateral.
Ampliar la protección de seguridad en entornos informáticos y de contenedores, totalmente independiente de la infraestructura subyacente.
Supervisar y responder continuamente a amenazas o señales de riesgo. Registra, informa, alerta contra amenazas y reacciona en consecuencia.
Obtener visibilidad de los usuarios, los componentes, los dispositivos y las cargas de trabajo, identificando accesos y ejecuciones y haciendo cumplir las políticas.
Garantizar la seguridad de la organización y al mismo tiempo proporcionar una experiencia consistente para los usuarios.
Reducir las horas equivalentes de tiempo completo y las complejidades arquitectónicas.
Los modelos de seguridad de confianza cero también simplifican la administración de TI, optimizan para el personal actual de TI y seguridad, aseguran la fuerza de trabajo remota, garantizan el cumplimiento continuo, racionalizan el acceso de los usuarios y brindan tranquilidad a los ejecutivos senior.
No es fácil lograr un estado de confianza cero completo, y es un desafío encontrar una solución o tecnología que resuelva los diferentes problemas que conlleva lograr un entorno digital de confianza cero en muchos casos. Es un proceso que requiere pasos incrementales y no un esfuerzo de una sola vez.
Algunos de los desafíos de la implementación de la confianza cero incluyen:
Es complejo implementar la microsegmentación, un concepto fundamental de la confianza cero, particularmente en redes locales y servidores administrados por tecnologías de firewall heredadas.
Muchas organizaciones y negocios utilizan entornos digitales mixtos. Cuentan con infraestructuras alojadas en las instalaciones y en nubes públicas y privadas. También tienen dispositivos remotos para empleados alojados en distintos lugares.
Las organizaciones que utilizan el acceso heredado al servicio web deben actualizarse a versiones más nuevas, lo que brinda seguridad constante y garantiza evaluaciones de cumplimiento para usuarios, dispositivos y conexiones.
La necesidad de que los usuarios remotos mantengan un acceso fácil y flexible a la red desde cualquier lugar requiere que las organizaciones apliquen políticas flexibles completas con permisos, auditorías, controles y otras acciones dependiendo de las señales de seguridad que la red recoja sobre un usuario, dispositivo o conexión.
Resolver problemas de IoT sigue siendo un desafío porque las tecnologías que proporcionan confianza cero requieren un agente instalado en los dispositivos finales, lo que sigue siendo imposible con estos dispositivos.
Deben existir soluciones robustas que permitan a las tecnologías de confianza cero controlar la seguridad de los datos y el acceso a la nube.
Debido a la diversidad de soluciones y tecnologías que las organizaciones pueden aplicar, es necesario considerar la integración para evitar la superposición de funcionalidades. Esto también minimizará los costos y reducirá la complejidad del soporte y el mantenimiento.
A medida que los ciberataques contra las organizaciones aumentan y evolucionan, los enfoques tradicionales de ciberseguridad de red que optan por “confiar pero verificar” ya no son suficientes para disuadir ataques y proteger datos y sistemas. Los equipos de seguridad deben entender que confiar ciegamente en endpoints, dispositivos y usuarios dentro de una red pone a toda la organización en peligro de actores maliciosos, usuarios no autorizados, cuentas comprometidas y el descuido de personas con información privilegiada.
Por lo tanto, un modelo de seguridad de confianza cero es fundamental para proteger la organización. El enfoque de seguridad de “nunca confiar, siempre verificar” y los principios de privilegios mínimos y microsegmentación brindan una mejor protección contra el panorama actual de amenazas cibernéticas que se encuentra en constante evolución y expansión.
La confianza cero permite que las organizaciones implementen un mejor control de acceso, contengan filtraciones, protejan sus activos y mitiguen el potencial de daños. Sin embargo, sin una arquitectura y una estrategia cuidadosamente planificadas, todo podría conducir a un desperdicio de esfuerzos y recursos.
Los clientes de Veritas componen el 95 % de la lista Fortune 100, y NetBackup™ es la opción número uno para las empresas que buscan hacer copias de seguridad de grandes cantidades de datos.
Descubra cómo Veritas mantiene sus datos completamente protegidos a través de cargas de trabajo virtuales, físicas, en la nube y heredadas con los servicios de protección de datos para grandes empresas.
Póngase en contacto con nosotros hoy mismo para obtener más información.