?Qu¨¦ es la Zero Trust?
Zero Trust (ZT) es un objetivo y enfoque arquitect¨®nico para la seguridad de la red que asume que cada transacci¨®n, entidad e identidad no son de confianza hasta que se establece la confianza y se mantiene a lo largo del tiempo. Las estrategias de Zero Trust contrastan con la visi¨®n heredada de que una red es segura a menos que los sistemas de seguridad identifiquen una filtraci¨®n.
Seguridad m¨¢s all¨¢ de los l¨ªmites
A lo largo de la ¨²ltima d¨¦cada las empresas se han vuelto cada vez m¨¢s digitales. Ahora incluyen arquitectura de nube, incorporan m¨¢s trabajo a distancia y han a?adido soluciones como servicio entre otros cambios transformadores. Los equipos de seguridad han escalado la seguridad de la red correspondientemente, a menudo fortaleciendo las medidas de seguridad segmentando la red en zonas m¨¢s peque?as.
Desafortunadamente, esta estrategia cre¨® m¨¢s oportunidades para los atacantes. Cuando los atacantes acceden a la informaci¨®n de inicio de sesi¨®n del usuario, pueden moverse lateralmente por la red, propagando el ransomware y a?adiendo privilegios a medida que avanzan.
La autenticaci¨®n multifactor (MFA) mejor¨® la fortaleza de las credenciales, pero a?adi¨® solo una capa extra de autenticaci¨®n. Una vez dentro, los hackers siguen teniendo acceso hasta que cierran sesi¨®n o el sistema les cierra la sesi¨®n.
Las nuevas formas de trabajo, incluidas la de ?Traiga su propio dispositivo (Bring Your Own Device, BYOD), el trabajo remoto y la arquitectura de la nube a?adieron un nuevo conjunto de vulnerabilidades. Pero incluso las nuevas y m¨¢s potentes protecciones de seguridad con mayor visibilidad terminan en los l¨ªmites de la red empresarial y m¨¢s all¨¢ de ellos, no ven nada.
Modelo de seguridad de Zero Trust
El enfoque de Zero Trust con la ciberseguridad da un giro al viejo paradigma. La ciberseguridad ya no se define por los segmentos de red o en una demarcaci¨®n de red empresarial. La confianza no se concede con base en si una empresa o individuo posee una conexi¨®n o activo. Tampoco se concede con base en la ubicaci¨®n de la red o f¨ªsica: red de ¨¢rea local o internet.
En su lugar, la confianza cero se centra en los recursos, usuarios y activos individualmente, sin importar qui¨¦n los posee ni d¨®nde est¨¢n localizados. La autenticaci¨®n se realiza de forma individual para un recurso empresarial antes de que se le conceda acceso a un usuario.
El objetivo final es no confiar en ning¨²n elemento de la red hasta que este se haya verificado.
Los beneficios de la confianza cero
Zero Trust (ZT) ofrece un enfoque proactivo de la ciberseguridad mediante la aplicaci¨®n de un principio de ?nunca conf¨ªe, verifique siempre?. Este marco elimina la confianza impl¨ªcita, garantizando que cada usuario, dispositivo y transacci¨®n se valide continuamente, independientemente de su ubicaci¨®n o segmento de red que tenga muchas ventajas:
Postura de seguridad mejorada
Zero Trust reduce significativamente la superficie de ataque al requerir una verificaci¨®n continua de cada usuario, dispositivo y transacci¨®n, independientemente de su ubicaci¨®n o segmento de red. A diferencia de los modelos de seguridad heredados que conf¨ªan impl¨ªcitamente en el tr¨¢fico interno de la red, ZT asume que cada interacci¨®n podr¨ªa ser maliciosa. Esta suposici¨®n minimiza los riesgos asociados con las amenazas internas, el uso indebido de credenciales y el movimiento lateral dentro de las redes, proporcionando un enfoque proactivo para prevenir las filtraciones antes de que ocurran.
Visibilidad y control mejorados
ZT mejora la visibilidad de la red garantizando que todas las solicitudes de acceso, ya sean de usuarios, dispositivos o aplicaciones, se autentiquen y registren. Los equipos de seguridad obtienen un control granular sobre qui¨¦n accede a los recursos cr¨ªticos y en qu¨¦ condiciones. Al supervisar y analizar continuamente la actividad, Zero Trust evita los puntos ciegos en el tr¨¢fico de la red, proporcionando a los equipos del centro de operaciones de seguridad (SOC) la informaci¨®n procesable que necesitan para detectar y responder a anomal¨ªas en tiempo real.
Impacto de filtraciones reducido
Uno de los principios fundamentales de Zero Trust es "asumir el compromiso", operando bajo la creencia de que las filtraciones son inevitables y deben contenerse r¨¢pidamente. Al segmentar recursos y requerir autenticaci¨®n para cada interacci¨®n, la ZT limita la capacidad de un atacante de moverse lateralmente dentro de la red. Esta contenci¨®n reduce el da?o potencial de una filtraci¨®n, evitando la interrupci¨®n generalizada y la exfiltraci¨®n de datos.
Escalabilidad y flexibilidad
Zero Trust es inherentemente escalable, por lo que es adecuado para organizaciones en crecimiento e infraestructuras digitales en evoluci¨®n. Ya sea a?adiendo nuevos servicios en la nube, empleados remotos o integraciones de terceros, ZT puede escalar sin problemas para adaptarse a estos cambios sin comprometer la seguridad. Su arquitectura flexible garantiza que las pol¨ªticas se adapten din¨¢micamente para respaldar nuevos flujos de trabajo, tecnolog¨ªas y requisitos empresariales, manteniendo la resiliencia a medida que las redes se expanden.
Est¨¢ndares de Zero Trust
El resumen de los est¨¢ndares y las certificaciones de confianza cero es que no existe ninguno. El??(NIST), fundado en 1901 y ahora parte del Departamento de comercio de los EE.?UU. proporciona tecnolog¨ªa, medici¨®n e informaci¨®n de est¨¢ndares para los EE.?UU. Su objetivo es aumentar la competitividad de la tecnolog¨ªa.
El NIST crea est¨¢ndares de comunicaciones, tecnolog¨ªa y pr¨¢cticas de ciberseguridad. El grupo a¨²n no ha creado est¨¢ndares o certificaciones para la confianza cero, pero cre¨® una??(Special Publication, SP) analizando los objetivos de la arquitectura de confianza cero.
El resumen del documento describe la confianza cero de este modo: ?Confianza cero es un t¨¦rmino acu?ado a un conjunto de paradigmas de ciberseguridad en evoluci¨®n que traslada las defensas desde el modelo est¨¢tico de per¨ªmetros basados en la red para centrarse en usuarios, activos y recursos?. El documento contin¨²a describiendo el enfoque de confianza cero en profundidad.
Confusi¨®n sobre Zero Trust
Hay cierta confusi¨®n en el mundo de la ciberseguridad acerca de lo que es ZT. Algunos proveedores se aprovechan de esta confusi¨®n para vender productos etiquetados como ?Productos de ZT?. Para aquellas personas desinformadas, esto puede conducirles al malentendido de que la ZT se basa en productos.
La confianza cero no se trata acerca de productos espec¨ªficos, aunque hay productos nuevos y heredados que pueden ser bloques fundamentales para la arquitectura ZT. La confianza cero es un enfoque revolucionario para la ciberseguridad. Se apoya firmemente en la realidad de c¨®mo las organizaciones y los trabajadores se conectan y trabajan en la actualidad.
De camino hacia la Zero Trust
Si una empresa est¨¢ creando su infraestructura desde cero, es posible y quiz¨¢s m¨¢s sencillo, identificar los flujos de trabajo esenciales y los componentes, y crear una estructura puramente ZT. A medida que la empresa y la infraestructura cambia, el crecimiento puede continuar adhiri¨¦ndose a los principios de ZT a largo plazo.
En la pr¨¢ctica, la mayor¨ªa de las implementaciones de ZT ser¨¢n un proceso. Las organizaciones permanecer¨¢n en cierto equilibrio de ZT y la seguridad basada en per¨ªmetro durante un tiempo, implementando gradualmente las iniciativas de modernizaci¨®n.
Es probable que la arquitectura ZT completamente establecida lleve varios a?os y que abarque un n¨²mero discreto de proyectos antes de lograr el objetivo final ZT. Sin embargo, nunca hay una ?llegada? a ZT. Se trata de continuar implementando y aplicando la estrategia ZT o a lo largo del tiempo, teniendo en cuenta los futuros cambios infraestructurales y empresariales.
El desarrollo de un plan de acci¨®n con antelaci¨®n puede fragmentar el proceso en peque?as piezas y lograr el ¨¦xito con el tiempo. Comenzar con un exhaustivo cat¨¢logo de sujetos, procesos empresariales, flujos de tr¨¢fico y mapas de dependencia le prepara para abordar los sujetos, activos y procesos empresariales dirigidos.
?Cu¨¢les son los principales principios de Zero Trust?
La arquitectura de confianza cero es un objetivo y un enfoque que lleva tiempo y atenci¨®n implementar. No se trata de una instalaci¨®n de una sola vez que puede implementar y pasar a la siguiente. Es una filosof¨ªa de ciberseguridad que se basa en cuatro principios fundamentales. Un principio espec¨ªfico puede confiar en una t¨¦cnica de seguridad en particular como la MFA para la identidad, pero la t¨¦cnica utilizada a lo largo del tiempo puede cambiar.
Hay tres funciones b¨¢sicas que subyacen en el enfoque de confianza cero.
- Postura: en una seguridad basada en per¨ªmetro anterior a la confianza cero, la verificaci¨®n de la identidad rara vez era blanca o negra, segura o no segura. El enfoque de confianza cero significa evaluar las identidades, dispositivos, aplicaciones y usos de datos en busca de posibles y graves riesgos. La postura es cualitativa y observa el panorama completo.
- Evaluaci¨®n continua: el enfoque de confianza cero es evaluar constantemente todas las transacciones. Un enfoque anterior, el control de admisi¨®n de red (Network Admission Control, NAC) ten¨ªa un grado de esta cualidad, pero era un solo punto cr¨ªtico, verificaba un n¨²mero peque?o de criterios y, a continuaci¨®n, conced¨ªa confianza. La arquitectura de confianza cero considera cada intento de acceso como un punto cr¨ªtico.
- Compromiso asumido: los equipos del centro de operaciones de seguridad (Security Operations Center, SOC) a menudo operan en una pol¨ªtica de ?verificar y, a continuaci¨®n, confiar?. Es el supuesto de que todo est¨¢ bien hasta que el sistema de seguridad emite una alerta. La confianza cero comienza con la asunci¨®n de que nada es seguro y de que nada debe proceder hasta que todo est¨¦ claro.
El viaje de la confianza cero
La confianza cero se debe implementar progresivamente y se debe aplicar de forma continua. No es un reemplazo completo ni una implementaci¨®n de una sola vez que tiene lugar para toda la vida de la red. Es un proceso gradual de varios proyectos y varios a?os que implica diversos aspectos de la red y de que necesitar¨¢ una constante evaluaci¨®n a medida que cambian las amenazas, la tecnolog¨ªa y los h¨¢bitos de trabajo.
La forma en la que su organizaci¨®n implemente el enfoque de confianza cero depende de su operaci¨®n. Sus activos m¨¢s valiosos son un buen punto de partida.
El viaje de la confianza cero incluye cuatro componentes:
- Gesti¨®n de acceso e identidad (IAM): los usuarios desean un inicio de sesi¨®n ¨²nico y los administradores desean una administraci¨®n de usuarios consolidada. Para que un proyecto de IAM tenga ¨¦xito, tiene que equilibrar la necesidad de la organizaci¨®n para la seguridad con disponibilidad, usabilidad y rentabilidad. Comienza con el dise?o de qu¨¦ usuarios necesitan acceso a qu¨¦ recursos y a?ade MFA si el recurso es especialmente sensible.
- Gesti¨®n de acceso privilegiado (PAM): para los recursos m¨¢s sensibles, una herramienta de PAM como CiberArk, BeyonTrust o Thycotic a?ade un nivel adicional de seguridad. Esto aumenta la seguridad y a?ade visibilidad.
- Contrase?as: la filosof¨ªa de contrase?a cambia con el tiempo. El NIST ha publicado recientemente unas directrices. Con base en sus an¨¢lisis, recomiendan contrase?as largas utilizando palabras familiares de un grupo de caracteres aleatorios que sea dif¨ªcil de recordar. Adem¨¢s, los agentes maliciosos utilizan contrase?as comprometidas r¨¢pidamente y la opini¨®n del NIST es que el cambio de contrase?a cada 90?d¨ªas no disminuye el riesgo, cosa que s¨ª hace el MFA.
- Supervisi¨®n continua: defina las pol¨ªticas de acceso de su organizaci¨®n para el acceso, ya sea se basen en tiempo, solicitudes de nuevos recursos, modificaciones de recursos o anomal¨ªas. La autenticaci¨®n y la autorizaci¨®n se deben aplicar estrictamente antes de conceder acceso.
Soluci¨®n Zero Trust de live casino online
Comience con base s¨®lida de arquitectura de confianza cero en consonancia con las mejores pr¨¢cticas de la industria.
Investigaciones relacionadas
Art¨ªculos relacionados