En un tribunal de justicia de los Estados Unidos, los acusados ​​se consideran inocentes hasta que se pruebe su culpabilidad. En un modelo de seguridad Zero Trust, lo contrario es cierto. Todo y todos deben considerarse sospechosos (cuestionados, investigados y verificados) hasta que podamos estar absolutamente seguros de que es seguro permitirse.

Zero Trust es un concepto creado por John Kindervag en 2010 durante su tiempo como vicepresidente y analista principal de Forrester Research . Al observar las fallas dentro de las organizaciones para detener los ataques cibernéticos, especialmente los movimientos laterales de amenazas dentro de sus redes, Kindervag se dio cuenta de que el modelo de seguridad tradicional operaba con el supuesto anticuado de que todo lo que se encuentra dentro de la red de una organización podía ser confiable. En cambio, Zero Trust invierte ese modelo, dirigiendo a los equipos de TI de acuerdo con el principio rector de «nunca confiar, siempre verifique» y redefiniendo el perímetro para incluir usuarios y datos dentro de la red.

En los últimos 10 años, más y más empresas se han movido hacia el modelo Zero Trust, demoliendo la vieja mentalidad de castillo y foso y aceptando la realidad de las amenazas internas . Echamos un vistazo a Zero Trust, incluidas sus fortalezas y debilidades, para ayudar a las organizaciones a evaluar si deben adoptar la filosofía dentro de sus propios muros o considerar diferentes métodos.

Definición de confianza cero

Zero Trust es un marco de seguridad de la información que establece que las organizaciones no deben confiar en ninguna entidad dentro o fuera del perímetro de su red en ningún momento. Proporciona la visibilidad y los controles de TI necesarios para asegurar, administrar y monitorear cada dispositivo, usuario, aplicación y red que pertenece o es utilizada por la organización y sus empleados y contratistas para acceder a los datos comerciales.

El objetivo de una configuración de confianza cero debe ser claro: restringir el acceso a datos confidenciales, aplicaciones y dispositivos según sea necesario. Los empleados en finanzas necesitan software de contabilidad; todos los demás deben estar excluidos. Los trabajadores remotos deberían usar VPN; debería prohibirse el acceso desde Internet abierto. El intercambio de datos debe ser limitado y controlado. El flujo libre de información que alguna vez fue una de las piedras angulares de Internet debe limitarse para proteger las redes de la penetración, los clientes de las violaciones de privacidad y las organizaciones de los ataques a la infraestructura y las operaciones.

La estrategia en torno a Zero Trust se reduce a examinar cualquier tráfico entrante o saliente. Pero la diferencia entre este y otros modelos de seguridad es que incluso el tráfico interno, es decir, el tráfico que no cruza el perímetro de la organización, también debe tratarse como un peligro potencial.

Si bien esto puede parecer grave, considere los cambios en el panorama de amenazas en los últimos 10 años : los cientos de filtraciones e infracciones de datos públicos; ataques de ransomware que detuvieron las operaciones en miles de puntos finales en ciudades, escuelas y organizaciones de atención médica; o millones de información de identificación personal de usuarios robada de bases de datos comerciales. A medida que los delincuentes cibernéticos continúan centrando su atención en los objetivos comerciales en 2020, Zero Trust parece un enfoque inteligente para frustrar un número creciente de ataques.

Implementando Zero Trust

Implementar un modelo de seguridad Zero Trust en una organización no es simplemente un cambio de mentalidad. Se requerirá una visión clara de las funciones dentro de los departamentos de la compañía, el software implementado actualmente, los niveles de acceso y los dispositivos, y cómo se verá cada uno de esos requisitos en el futuro.

A menudo, construir una red Zero Trust desde cero es más fácil que reorganizar una red existente en Zero Trust porque la red existente deberá permanecer funcional durante todo el período de transición. En ambos escenarios, los equipos de TI y seguridad deben idear una estrategia acordada que incluya la infraestructura final ideal y una estrategia paso a paso sobre cómo llegar allí.

Por ejemplo, al configurar centros de datos y recursos, las organizaciones pueden tener que comenzar casi desde cero, especialmente si los sistemas heredados son incompatibles con el marco de Zero Trust, y a menudo lo son. Pero incluso si las empresas no tienen que comenzar desde cero, es posible que deban reorganizar funciones específicas dentro de su política de seguridad, como la forma en que implementan el software o los empleados a bordo, o qué métodos de almacenamiento utilizan.

Fortalezas de la confianza cero

La creación de Zero Trust en los cimientos de la infraestructura de una organización puede fortalecer muchos de los pilares sobre los que se basan la TI y la seguridad. Ya sea para reforzar las políticas de identificación y acceso o segmentar los datos, al agregar algunas barreras simples de entrada y permitir el acceso según sea necesario, Zero Trust puede ayudar a las organizaciones a fortalecer su postura de seguridad y limitar su superficie de ataque.

Aquí hay cuatro pilares de Zero Trust que creemos que las organizaciones deberían adoptar:

  • Identificación sólida de usuarios y políticas de acceso
  • Segmentación de datos y recursos.
  • Fuerte seguridad de datos en almacenamiento y transferencia
  • Orquestación de seguridad
Identificación de usuario y acceso

El uso de una combinación segura de factores en la autenticación multifactor (MFA) debería proporcionar a los equipos información suficiente sobre quién realiza una solicitud, y una estructura de política bien pensada debería confirmar a qué recursos pueden acceder en función de esa identificación.

Muchas organizaciones bloquean el acceso a datos y aplicaciones al optar por plataformas en la nube de identidad como servicio (IDaaS) que utilizan servicios de inicio de sesión único. En un modelo de Zero Trust, ese acceso se protege aún más al verificar quién solicita el acceso, el contexto de la solicitud y el riesgo del entorno de acceso antes de otorgar la entrada. En algunos casos, eso significa limitar la funcionalidad de los recursos. En otros, podría estar agregando otra capa de autenticación o tiempos de espera de sesión.

Segmentación

Sin embargo, las políticas de acceso sólidas no tendrán sentido sin una segmentación adecuada de datos y recursos. La creación de un gran conjunto de datos donde todos los que pasan la prueba de acceso pueden participar y tomar lo que quieran, no protege los datos confidenciales de ser compartidos, ni impide que los iniciados utilicen mal las herramientas de seguridad u otros recursos .

Al dividir segmentos de la red de una organización en compartimentos, Zero Trust protege la propiedad intelectual crítica de usuarios no autorizados, reduce la superficie de ataque al mantener bien protegidos los sistemas vulnerables y evita el movimiento lateral de amenazas a través de la red. La segmentación también puede ayudar a limitar las consecuencias de las amenazas internas, incluidas las que pueden provocar un peligro físico para los empleados .

Seguridad de datos

Incluso con la restricción del acceso a los datos y la reducción de la superficie de ataque a través de la segmentación, las organizaciones están abiertas a violaciones, fugas de datos e interceptación de datos si no aseguran sus datos en el almacenamiento y en tránsito. El cifrado de extremo a extremo, los datos cifrados, las copias de seguridad automáticas y la seguridad de los depósitos con fugas son formas en que las organizaciones pueden adoptar Zero Trust en su plan de seguridad de datos.

Orquestación de seguridad

Finalmente, dibujar un hilo a través de todos estos pilares es la importancia de la orquestación de seguridad. Incluso sin un sistema de gestión de seguridad, las organizaciones que usan Zero Trust necesitarían garantizar que las soluciones de seguridad funcionen bien juntas y cubran todos los posibles vectores de ataque. La superposición no es un problema en sí misma, pero puede ser complicado encontrar la configuración correcta para maximizar la eficiencia y minimizar los conflictos.

Desafíos de la estrategia Zero Trust

Zero Trust se presenta como un enfoque integral para asegurar el acceso a través de redes, aplicaciones y entornos de usuarios, dispositivos de usuarios finales, API, IoT, microservicios, contenedores y más. Si bien tiene como objetivo proteger a la fuerza laboral, las cargas de trabajo y el lugar de trabajo, Zero Trust se enfrenta a algunos desafíos. Éstos incluyen:

  • Más y diferentes tipos de usuarios (en oficina y remotos)
  • Más y diferentes tipos de dispositivos (móviles, IoT, biotecnología)
  • Más y diferentes tipos de aplicaciones (CMS, intranet, plataformas de diseño)
  • Más formas de acceder y almacenar datos (unidad, nube, borde)
Los usuarios

En un pasado no muy lejano, era común que la gran mayoría de la fuerza laboral pasara la totalidad de sus horas de trabajo en su lugar de trabajo. No es cierto hoy, donde, según Forbes, al menos el 50 por ciento de la población de los EE. UU. Se dedica a alguna forma de trabajo remoto. Eso significa acceder a los datos de las direcciones IP, enrutadores o Wi-Fi público, a menos que use un servicio VPN.

Pero los usuarios no están necesariamente limitados a una fuerza laboral. Los clientes a veces necesitan acceder a los recursos de una organización, dependiendo de la industria. Considere a los clientes que desean seleccionar pedidos para su próxima entrega, verificar el inventario, participar en demostraciones o ensayos y, por supuesto, acceder al sitio web de una empresa. Los proveedores y las empresas de servicios de terceros pueden necesitar acceso a otras partes de la infraestructura de una organización para verificar las operaciones, la seguridad y el progreso.

Todas estas instancias apuntan a una amplia variación en la base de usuarios y a un mayor número de puntos de acceso para cubrir. Elaborar políticas específicas para cada uno de estos grupos e individuos puede llevar mucho tiempo, y mantener la afluencia constante de nuevos empleados y clientes agregará una carga de trabajo considerable para quien maneje esta tarea en el futuro.

Dispositivos

En esta era de políticas BYOD y equipos de IoT, además de la mentalidad de «siempre activo» que a veces afecta a los empleados remotos, las organizaciones deben permitir una gran variación en los dispositivos utilizados para el trabajo, así como los sistemas operativos que vienen con ellos. Cada uno de estos dispositivos tiene sus propias propiedades, requisitos y protocolos de comunicación, que deberán ser rastreados y asegurados bajo el modelo Zero Trust. Una vez más, esto requiere un poco más de trabajo por adelantado, pero probablemente arroje resultados positivos.

Aplicaciones

Otro factor desafiante a tener en cuenta al adoptar una estrategia Zero Trust es la cantidad de aplicaciones en uso en toda la organización para que las personas y los equipos colaboren y se comuniquen. La más versátil de estas aplicaciones está basada en la nube y se puede usar en múltiples plataformas. Sin embargo, esta versatilidad puede ser un factor complicado al decidir qué desea permitir y qué no.

¿Se comparten las aplicaciones con servicios, agencias o proveedores de terceros? ¿Las plataformas de comunicación están orientadas hacia el exterior, y no solo para los empleados? ¿Es esta aplicación necesaria solo para un departamento en particular, como finanzas, diseño o programación? Todas estas preguntas deben formularse y responderse antes de adoptar ciegamente una pila de 60 aplicaciones para toda la fuerza laboral.

Datos

Una razón por la cual las antiguas políticas de seguridad están creciendo en desgracia es que no hay una ubicación fija que deba protegerse por más tiempo. Las organizaciones no solo pueden proteger los puntos finales o las redes corporativas. Cada vez se almacenan más recursos, datos e incluso aplicaciones en entornos basados ​​en la nube, lo que significa que se puede acceder a ellos desde cualquier lugar y que pueden depender de granjas de servidores en varias ubicaciones globales.

Esto se complica aún más por el posible cambio a la informática de punta, que requerirá que los equipos de TI cambien de una infraestructura centralizada de arriba hacia abajo a un modelo de confianza descentralizado. Como hemos visto en nuestra serie sobre recursos en la nube con fugas ( buckets de AWS y servidores elásticos ), la configuración de la infraestructura de datos en los servicios en la nube y más allá tendrá que ser perfecta si las empresas no quieren que termine como el eslabón más débil en su Estrategia de confianza cero.

Confiar o no confiar

La revisión a un marco de seguridad Zero Trust no se logra fácilmente, pero creemos que es una fortaleza para la postura y la conciencia de seguridad general de una organización. Los equipos de TI que buscan convencer a los ejecutivos de la vieja guardia pueden buscar oportunidades principales, entonces, para argumentar. Por ejemplo, si ya hay un movimiento planificado hacia recursos basados ​​en la nube, es un buen momento para sugerir también adoptar Zero Trust.

Los cambios en el panorama de amenazas, incluidas las vulnerabilidades recientes en VPN y Citrix, más el ransomware que se entrega a través del Protocolo de escritorio remoto (RDP), podrían alentar a más organizaciones a investigar una solución de Confianza Cero, aunque solo sea para la gestión de identidad y acceso. Estas organizaciones tendrán que permitir un período de transición y estar preparados para algunos cambios importantes.

Un marco apropiado de Zero Trust que no permita automáticamente el tráfico dentro del perímetro ciertamente obstaculizará el movimiento de amenaza lateral que los piratas informáticos usan para apretar su agarre en una red violada. Las principales amenazas centradas en el negocio, como Emotet y TrickBot, se verían obstaculizadas de propagarse, ya que no podrían trabajar de un servidor a otro en una red segmentada. Dado que el punto de infiltración generalmente no es la ubicación objetivo de un atacante, la configuración de los perímetros internos también puede limitar la gravedad de un ataque exitoso.

Agregue a estas capas una fuerte higiene de la seguridad de los datos y una orquestación inteligente que brinde una amplia cobertura en todos los tipos de amenazas, sistemas operativos y plataformas, y las empresas tienen un marco de seguridad que sería bastante difícil de superar hoy en día. A nuestros ojos, eso hace que Zero Trust sea un héroe.