?Qu¨¦ es la arquitectura Zero Trust?
El enfoque de arquitectura ZT asume que ninguna conexi¨®n, usuario o activo es fiable hasta que est¨¦ verificado. Por el contrario, el paradigma de seguridad perimetral tradicional conf¨ªa en las conexiones una vez se han autenticado y les concede acceso a toda la red, lo que deja los activos empresariales potencialmente abiertos a los cibercriminales. Los proyectos de ZT son transformativos y conllevan tiempo, y desarrollan y reutilizan la arquitectura existente.
Arquitectura de confianza cero
La arquitectura ZT es un concepto en evoluci¨®n que en la actualidad no tiene certificaciones o est¨¢ndares pr¨¢cticos. Numerosas empresas conf¨ªan en las certificaciones como la normativa de la Organizaci¨®n Internacional de Normalizaci¨®n (ISO, por sus siglas en ingl¨¦s) y la ausencia de par¨¢metros bien definidos en el caso de ZT crean cierta confusi¨®n.
Para m¨¢s desconcierto, algunos proveedores etiquetan un producto o servicio como una soluci¨®n completa de ZT, ignorando el principio fundamental de que ZT es un enfoque que utiliza productos y servicios nuevos y ya existentes, pero que no consiste en un conjunto espec¨ªfico de productos o servicios. Lo que es peor, muchos aplicar¨¢n esta pr¨¢ctica de ?lavado de Zero Trust? a los productos heredados a pesar de que faltan propiedades b¨¢sicas.
Marcos de ZT
Hay numerosos marcos y enfoques de ZT. ZT es un concepto, pero los aspectos b¨¢sicos de un marco de confianza cero los ha definido el National Institute of Standards and Technology (NIST) y las empresas de analistas como Gartner, Forrester, IDC y ESG.
- , el NIST analiza c¨®mo el gobierno de EE.?UU. utiliza las estrategias de ZT. El documento de 50?p¨¢ginas define los aspectos b¨¢sicos de una implementaci¨®n ideal de confianza cero y ofrece casos de uso y escenarios de implementaci¨®n del gobierno federal. Si bien Gartner, Forrester, IDC, ESG y otras empresas de analistas est¨¢n de acuerdo con el NIST acerca del t¨¦rmino ?Zero Trust? y numerosas definiciones, enfoques y marcos, estas empresas difieren en la terminolog¨ªa para muchos de los mismos conceptos.
- Por ejemplo, Gartner utiliza el t¨¦rmino ?Secure Access Service Edge (SASE)? para describir la combinaci¨®n de ?Cloud Access Security Broker (CASB)?, ?Secure Web Gateway (SWG) y red privada virtual (?VPN?) avanzada, mientras que Forrester lo llama ?Zero Trust Edge (ZTE)?.
?
Las empresas de analistas est¨¢n comenzando a ofrecer planes de desarrollo junto con una valiosa orientaci¨®n, y las organizaciones pueden encontrar valiosa informaci¨®n procedente de estas fuentes para iniciar su viaje hacia ZT.
Principios b¨¢sicos de ZT
ZT inicia un conjunto de principios que cada empresa implementa en funci¨®n de sus necesidades de seguridad y empresariales.
- Considerar todos los datos y servicios como recursos: muchas distintas clases de dispositivos y servicios componen las redes actuales. Servicios como SaaS, servicios de nube y los dispositivos personales que accedan a los recursos empresariales son candidatos para la inclusi¨®n en el alcance del paraguas de ZT.
- No confiar en la identidad o ubicaci¨®n de la red: la seguridad de per¨ªmetro tradicional solo opera con una sola puerta para que los usuarios obtengan acceso a los recursos empresariales. Una vez autenticados, un usuario obtiene amplio acceso a los activos propiedad de la empresa. Esta pr¨¢ctica tambi¨¦n abre la puerta a agentes maliciosos. Una vez que obtienen acceso, pueden moverse lateralmente por toda la red, instalando malware y ransomware a medida que avanzan.
- Conceder acceso a un recurso para una sesi¨®n solo: establecer confianza antes de conceder acceso y dar el menor nivel de privilegios para realizar la tarea.
- Determinar el acceso con base en una pol¨ªtica din¨¢mica: la pol¨ªtica es un conjunto de reglas de acceso asignadas a un sujeto, activo o aplicaci¨®n. Establecer la pol¨ªtica con base en las necesidades de su empresa y el nivel de riesgo que puede aceptar. Una pol¨ªtica din¨¢mica puede incluir una supervisi¨®n continua de los niveles de riesgo de usuarios, dispositivos y atributos de comportamiento como los patrones de uso observados. Tambi¨¦n puede incluir atributos ambientales como la ubicaci¨®n de la red, la hora y los ataques activos.
- Asumir que ning¨²n activo es inherentemente fiable: evaluar la postura de seguridad del activo durante una solicitud de recurso utilizando un sistema de supervisi¨®n continua. Tambi¨¦n incluir dispositivos personales, seleccionando el nivel de acceso que tendr¨¢n estos dispositivos. Esto no es tan radical como parece, dado lo r¨¢pido que se demuestra que los servidores seguros se pueden aprovechar mediante las revelaciones de vulnerabilidades o cambios en un peque?o componente, como una inclusi¨®n en una biblioteca de open source.
- Verificar la confianza continuamente. La confianza no es un estado fijo. Si el riesgo del usuario o dispositivo aumenta, emprender acciones inmediatamente interrumpiendo las conexiones o restableciendo las cuentas.
- Aplicar estrictamente la autenticaci¨®n y autorizaci¨®n: utilizar los principios din¨¢micos para analizar continuamente, evaluar amenazas, adaptarse y volver a analizar la confianza durante las comunicaciones. Establecer un sistema de gesti¨®n de acceso, credenciales e identidades (ICAM), incluida una autenticaci¨®n multifactor (MFA) para los recursos correspondientes. Una reevaluaci¨®n de la pol¨ªtica base, actividad inesperada o solicitud para un nuevo recurso, por ejemplo.
- Recopilar tanta informaci¨®n como sea posible: la informaci¨®n acerca de la postura de seguridad del activo, el tr¨¢fico de la red y las solicitudes de acceso son sumamente valiosas. Utilizarla para obtener perspectivas sobre c¨®mo mejorar las pol¨ªticas de seguridad y su aplicaci¨®n.
Componentes del modelo de Zero Trust
Una implementaci¨®n de ZT implica distintos componentes. Algunos pueden ser servicios internos y otros pueden estar basados en la nube. Admita que cualquier arquitectura ZT o que implemente llevar¨¢ tiempo. Durante este periodo es fundamental educar a las partes interesadas acerca de todas las piezas m¨®viles y acordar que ZT es un esfuerzo continuo sin un inicio y final claramente definidos. Sea consciente de que a medida que los cambios en sus necesidades empresariales y de TI alteran su progreso, puede maximizar el impacto de su enfoque de confianza cero reevaluando continuamente su arquitectura.
Los especialistas hacen hincapi¨¦ en que no hay una infraestructura de confianza cero est¨¢ndar para todos. Cada empresa, y por tanto cada implementaci¨®n de ZT, ser¨¢ distinta. Asimismo, la infraestructura de ZT se implementa normalmente a lo largo del tiempo en una serie de proyectos de modernizaci¨®n de la infraestructura m¨¢s peque?os. El modelo de ZT ideal raramente existe, si es que existe.
Uno de los atributos del modelo de ZT es su naturaleza din¨¢mica, por lo que es posible que el modelo de ZT ideal actual no sea ideal en el futuro.
Diagrama de ejemplo del documento de NIST, p¨¢gina 18. Componentes del modelo Zero Trust.
- El motor de pol¨ªticas (Policy engine, PE): toma las decisiones a medida que concede o no acceso con base en la pol¨ªtica y entradas procedentes de los sistemas de CDM y los servicios de informaci¨®n sobre amenazas.
- El administrador de pol¨ªticas (Policy administrator, PA): crea o suprime una comunicaci¨®n con base en las decisiones del PE.
- El punto de aplicaci¨®n de pol¨ªticas (Policy enforcement point, PEP): concede, supervisa y detiene conexiones.
?
Un gran n¨²mero de fuentes de datos proporcionan informaci¨®n que ayudan al motor de pol¨ªticas en la toma de decisiones de acceso.
- El sistema de mitigaci¨®n y diagn¨®stico continuo (Continuous diagnostics and mitigation, CDM): informa al motor de pol¨ªticas si un activo empresarial o no empresarial que solicita acceso tiene o no el sistema operativo (SO) correcto, la correcta integridad de los componentes del software o cualquier vulnerabilidad conocida.
- El sistema de cumplimiento de normativa de la industria (Industry compliance system, ICM): la mayor¨ªa de las empresas tienen un conjunto de regulaciones de cumplimiento de normativa a las que adherirse, como es el caso del sector sanitario. El ICM contiene las reglas de pol¨ªticas y supervisa el cumplimiento de normativa.
- Las fuentes de informaci¨®n sobre amenazas: estas son fuentes internas o externas que proporcionan informaci¨®n acerca de las nuevas vulnerabilidades, errores de software y malware al PE, el cual a continuaci¨®n decide si conceder o denegar el acceso.
- Los registros de actividad del sistema y la red: proporcionan informaci¨®n en tiempo real sobre los activos, tr¨¢fico, acciones de acceso y otros eventos. Le permiten evaluar la actividad reciente y tomar las correspondientes decisiones sobre pol¨ªticas.
- Pol¨ªticas de acceso de datos: son reglas que definen la forma en la que se conceden los privilegios de acceso. Se basan en la misi¨®n, los roles y necesidades de la organizaci¨®n.
- Infraestructura de clave p¨²blica empresarial (Enterprise public key infraestructura, PKI): genera y registra los certificados de los recursos, sujetos, servicios y aplicaciones.
- El sistema de gesti¨®n de ID: crea, almacena y gestiona la informaci¨®n del usuario, incluido el nombre, la direcci¨®n de email y los certificados. Este sistema gestiona la informaci¨®n del usuario para los empleados que no pertenecen a la empresa y que pueden estar colaborando con la misma.
- Sistema de administraci¨®n de eventos e informaci¨®n de seguridad (Security information and event management, SIEM): recopila la informaci¨®n de seguridad que puede contribuir a la creaci¨®n de la pol¨ªtica y advertir de los ataques.
Diagrama de arquitectura Zero Trust
Ventajas de la arquitectura Zero Trust
La adopci¨®n de una arquitectura de confianza cero (ZTA) permite a las organizaciones proporcionar controles de acceso precisos y sensibles al contexto que son esenciales para proteger a los usuarios y los datos en un entorno empresarial moderno y din¨¢mico.?
Como el principio principal de Zero Trust Network Access (ZTNA), un modelo de confianza cero bien implementado ofrece varias ventajas clave:
Habilite un acceso seguro y eficiente para usuarios remotos
ZTA facilita un acceso r¨¢pido y seguro a aplicaciones y datos para empleados y partners, independientemente de su ubicaci¨®n.?Esto mejora la experiencia del usuario y admite el trabajo remoto a la vez que mantiene estrictos est¨¢ndares de seguridad.?
Simplifique la gesti¨®n de la seguridad
Al reemplazar tecnolog¨ªas obsoletas como VPN, ZTA proporciona un enfoque m¨¢s optimizado para gestionar y aplicar pol¨ªticas de seguridad en todos los usuarios y dispositivos.?Esto resulta en una gesti¨®n m¨¢s sencilla de las pol¨ªticas y una aplicaci¨®n coherente de los controles de seguridad.?
Proteja la informaci¨®n confidencial en todos los entornos
Tanto si los datos y las aplicaciones se alojan en las instalaciones como en la nube, ZTA garantiza que est¨¢n protegidos con s¨®lidas medidas de seguridad, incluido el cifrado, la autenticaci¨®n y las comprobaciones continuas de estado.?
Mitigue las amenazas internas
ZTA reduce el riesgo de amenazas internas al eliminar la confianza predeterminada para cualquier usuario o dispositivo dentro del per¨ªmetro de la red.?Todas las solicitudes de acceso se examinan minuciosamente, minimizando el potencial de que las personas con informaci¨®n privilegiada maliciosa aprovechen los recursos de la red.?
Limite el movimiento lateral
Al aplicar controles de acceso granulares hasta recursos espec¨ªficos, ZTA restringe el movimiento lateral dentro de la red.?Esta estrategia de contenci¨®n reduce las posibilidades de una filtraci¨®n a gran escala si un atacante obtiene acceso.?
Mejore la respuesta y recuperaci¨®n ante incidentes
Con supervisi¨®n continua y controles de acceso detallados, ZTA permite una detecci¨®n y respuesta m¨¢s r¨¢pidas ante incidentes de seguridad.?Esta capacidad ayuda a las organizaciones a minimizar el impacto de las filtraciones y recuperarse de forma m¨¢s efectiva.?
Mejore la visibilidad y la supervisi¨®n
ZTA proporciona una visibilidad completa de las actividades del usuario y del dispositivo mediante una detallada supervisi¨®n y registro de sesiones.?Este conocimiento m¨¢s profundo ayuda a los equipos de seguridad a comprender qui¨¦n accedi¨® a qu¨¦, cu¨¢ndo y c¨®mo, permitiendo una detecci¨®n y respuesta de amenazas m¨¢s eficaces.?
Evaluar y gestionar continuamente el riesgo
ZTA incorpora evaluaciones de riesgo en tiempo real mediante an¨¢lisis avanzados, comprobaciones de estado de dispositivos y supervisi¨®n del comportamiento.?Este proceso de evaluaci¨®n din¨¢mica ayuda a las organizaciones a adaptarse a las amenazas emergentes y a mantener una postura de seguridad s¨®lida.?
Al aprovechar la arquitectura de confianza cero, las organizaciones pueden garantizar una s¨®lida protecci¨®n de sus activos digitales a la vez que permiten operaciones seguras y eficientes en un panorama empresarial que cambia r¨¢pidamente.?
Otros factores de ¨¦xito cr¨ªticos
Otras consideraciones fundamentales incluyen la priorizaci¨®n de componentes de su arquitectura existente que est¨¢n obsoletos y aquellos que tienen un impacto significativo. Otro factor clave es centrarse en uno de los m¨¢s frecuentemente descuidados aspectos en los primeros proyectos de confianza cero: la visibilidad. Como los primeros en utilizar la confianza cero han remarcado al un¨ªsono, solo puede confiar en lo que ve.
La microsegmentaci¨®n es una t¨¦cnica viable, pero sin un s¨®lido componente de identidad de confianza cero, la inversi¨®n extra en la segmentaci¨®n tiene una menor rentabilidad en la misma.
Soluci¨®n Zero Trust de live casino online
Comience con base s¨®lida de arquitectura de confianza cero en consonancia con las mejores pr¨¢cticas de la industria.
Investigaciones relacionadas
Art¨ªculos relacionados