Seguridad Zero Trust: Una guía completa

«Zero Trust es un conjunto de conceptos e ideas diseñados para minimizar la incertidumbre a la hora de tomar decisiones de acceso precisas y con menos privilegios por solicitud en sistemas y servicios de información frente a una red que se considerada comprometida». - Instituto Nacional de Estándares y Tecnología (NIST)

Imagine un mundo sin amenazas cibernéticas.

Sin piratas informáticos, infiltrados maliciosos o fugas de datos, no hay razón para preocuparse en absoluto. Es posible que ni siquiera tenga un equipo de seguridad en primer lugar.

Desafortunadamente, no vivimos en un mundo perfecto, y tampoco sus datos confidenciales. En realidad, los vectores de amenazas son numerosos, su superficie de ataque se está expandiendo y la próxima filtración de datos está a la vuelta de la esquina.

La buena noticia es que el acceso seguro no es solo una quimera. Con un marco Zero Trust, puede proteger con confianza sus activos corporativos y mitigar los obstáculos del entorno empresarial actual en rápida evolución.

Siga leyendo para conocer la importancia de Zero Trust, cómo beneficia la seguridad empresarial y qué puede hacer su organización para realizar una transición exitosa a una arquitectura Zero Trust.

El exanalista de Forrester, John Kindervag, desarrolló el concepto de seguridad Zero Trust en 2010. Lo definió como un marco que asume que cada conexión, dispositivo y usuario es una amenaza potencial y debe ser tratado como tal.

A diferencia de la mayoría de las otras estrategias de seguridad cibernética, elimina la confianza implícita y requiere que todos los usuarios, ya sea dentro o fuera de la organización, se autentiquen continuamente antes de que se les otorgue acceso a la red. En pocas palabras, Zero Trust es tal como suena: una política de seguridad bajo la cual nadie, independientemente de su rol o responsabilidad, se asume inherentemente que está a salvo.

Además, el modelo Zero Trust rechaza la suposición de un borde de red. En el panorama posterior al perímetro actual, las redes se extienden mucho más allá de sus límites tradicionales y pueden ser locales, en la nube o una combinación de ambos. Además, con el auge del acceso remoto, casi no se sabe dónde se puede ubicar un recurso.

Por lo tanto, el enfoque Zero Trust está diseñado específicamente para abordar los desafíos modernos de seguridad de datos, lo que garantiza el acceso seguro a los activos críticos en cualquier momento y lugar. En términos generales, una red Zero Trust hará lo siguiente:

• Registrar e inspeccionar todo el tráfico para identificar actividades sospechosas y posibles vectores de amenazas
• Limitar y controlar el acceso de los usuarios, autorizando solicitudes solo después de que se haya confirmado la identidad del usuario
• Verificar y asegurar los activos corporativos para evitar el acceso no autorizado y la exposición

Por qué es importante Zero Trust

Las empresas se enfrentan a un volumen sin precedentes de ciberamenazas, tanto internas como externas. Los ciberdelincuentes han incrementado significativamente sus esfuerzos y ahora se enfocan en datos confidenciales a un ritmo implacable.

De hecho, a fines de 2021, había más de 900 ataques por organización cada semana. Peor aún, los hackers atacaron las redes corporativas con un 50 % más de frecuencia en 2022 que lo hicieron el año anterior.

Como era de esperar, los ciberdelincuentes no han cedido ni un poco. Según datos de PwC, dos tercios de los ejecutivos consideran el cibercrimen su amenaza más importante en el futuro inmediato. Casi la mitad (45 %) prevé un mayor aumento de los ataques de ransomware en el futuro.

Para complicar aún más las cosas, las organizaciones han adoptado rápidamente políticas de trabajo remoto e híbrido en los últimos años. Esto ha llevado a una explosión de dispositivos personales no administrados que se conectan a la red corporativa, aumentando así la superficie de ataque de la empresa.

Sin la capacidad de proteger o monitorear los datos confidenciales almacenados y accedidos por estos puntos finales, las organizaciones corren un mayor riesgo de violación de datos que nunca. Esto es especialmente significativo si se tiene en cuenta el precio asombroso de una protección contra amenazas deficiente. Como informa IBM, el costo promedio de una sola violación de datos es de 4,5 millones de dólares. Sin embargo, aquellos que implementan un modelo de seguridad Zero Trust ahorran más de $1 millón por incidente.

Las empresas también deben considerar los riesgos asociados con la transformación digital. Con una mayor dependencia de las aplicaciones basadas en la nube fuera de las instalaciones, las empresas deben implementar estrategias nuevas y sofisticadas para el control de acceso y la aplicación de políticas de seguridad.

¿Cómo se compara Zero Trust con la ciberseguridad tradicional?

Las estrategias tradicionales adoptan un enfoque de "confiar, pero verificar". En otras palabras, asumen que todo lo que está detrás del firewall corporativo es intrínsecamente seguro y protegido.

La seguridad de Zero Trust (Confianza cero), como su nombre lo indica, hace lo contrario. Enmarca las políticas de acceso a través de una lente de "nunca confíes, siempre verifica". Independientemente de dónde se origine una solicitud o qué recurso pretenda utilizar, los entornos Zero Trust se autenticarán, autorizarán y cifrarán por completo antes de otorgar acceso a la red, nunca después.

Por lo tanto, los recursos corporativos son inaccesibles de forma predeterminada. Sus empleados solo pueden usarlos en las circunstancias adecuadas, según lo determinado por una serie de factores contextuales. Estos pueden incluir la identidad del usuario, el rol en la organización, la confidencialidad del recurso solicitado, el dispositivo en uso, etc.

Tal como lo describe el Instituto Nacional de Estándares y Tecnología (NIST) e en la Publicación especial 800-207, el enfoque Zero Trust se basa en varias filosofías fundamentales. Fundamentalmente, hay tres principios de Zero Trust integrales para esta política de seguridad única:

• Autenticación continua: Esto se refiere a los medios para otorgar un acceso seguro basado en niveles aceptables de riesgo. De acuerdo con el enfoque Zero Trust, debe autorizar a los usuarios en función de su identidad, ubicación, dispositivo, servicio, carga de trabajo, clasificación de datos, etc. Después de este análisis contextual, simplemente se le puede permitir o solicitar al usuario que proporcione información adicional mediante otro desafío de autenticación o, si el riesgo es muy alto, se lo bloquea.
• Limitar el radio de explosión: Las organizaciones siempre deben asumir una violación de datos. Eso significa que deben segmentar continuamente la red a un nivel granular, verificando el tráfico de extremo a extremo y maximizando la visibilidad de la actividad del usuario. Esto les permite impulsar la detección de amenazas, detectar anomalías y mejorar siempre sus defensas.
• Acceso menos privilegiado: El acceso de los usuarios debe limitarse en función de las políticas de control de acceso “justo a tiempo” y “solo lo suficiente”. En otras palabras, los usuarios solo deben tener permiso para usar los recursos que necesitan para hacer su trabajo y completar tareas críticas.

5 pilares del Modelo de Madurez de Zero Trust

En 2021, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) creó una hoja de ruta para implementar Zero Trust. Este documento es conocido como el Modelo de madurez de Zero Trust y describe cómo las organizaciones pueden aplicar mejor los principios de Zero Trust en cinco pilares fundamentales:

• Identidad: Esta área se enfoca en verificar y autorizar usuarios y dispositivos antes de otorgar acceso a la red. Puede incluir la implementación de una solución de gestión de acceso e identidad (IAM) o autenticación multifactor (MFA).
• Dispositivos: Todos los dispositivos IoT y otros conectados a la red corporativa pueden explotarse para comprometer datos confidenciales. Este pilar implica crear un inventario de todas las conexiones y monitorear su integridad para una detección rápida de amenazas.
• Redes: Una red Zero Trust asegura todo el tráfico independientemente de la ubicación o el recurso y se segmenta para limitar el movimiento lateral.
• Aplicaciones y cargas de trabajo: Este pilar implica proteger las cargas de trabajo locales y basadas en la nube a través de políticas de acceso a nivel de aplicación y otros mecanismos.
• Datos: Todos los datos en reposo, en uso o en movimiento se cifran, supervisan y protegen para evitar la divulgación no autorizada.

Es importante tener en cuenta que no existe una solución Zero Trust de una sola vez. Más precisamente, las empresas requieren una variedad de herramientas y tecnologías en capas. Cuando se usan en combinación, estas capacidades forman una arquitectura Zero Trust (ZTA).

A un alto nivel, algunas de estas tecnologías incluyen:

• Biometría del comportamiento
• Autenticación adaptativa basada en riesgos
• Microsegmmicroentación
• Conciencia contextual
• Inicio de sesión único (SSO)
• Inicio de sesión sin contraseña

Aunque Zero Trust todavía está en sus inicios, muchas organizaciones se están preparando para sumergirse de lleno en sus principios. De hecho, 36 % de los CISO dicen que ya comenzaron a implementar Zero Trust, y otro 25 % planea hacerlo en un futuro cercano. Además, Gartner predice que para 2026 al menos el 10 % de las grandes empresas tendrán una arquitectura Zero Trust madura y medible.

Una vez que considera las ventajas, es claro ver por qué este es el caso. Una sólida política de seguridad Zero Trust le permite:

• Reduzca el riesgo organizacional minimizando la confianza implícita y yendo más allá de la seguridad de red tradicional
• Respalde el cumplimiento protegiendo los datos confidenciales y mitigando los vectores de amenazas
• Proteja implementaciones de nubes múltiples e híbridas con control de acceso a nivel de aplicación
• Reemplace o aumente una VPN para fortalecer el acceso remoto y el cifrado
• Incorpore empleados rápidamente y escale su negocio con la confianza de que la superficie de ataque está bien defendida

En términos generales, el proceso de implementación se puede dividir en unos pocos pasos básicos:

1. Identificar la superficie de protección: En otras palabras, evaluar todos los activos críticos, incluidos los puntos finales, los usuarios, las aplicaciones, los servidores y los centros de datos, a los que podrían apuntar los piratas informáticos.
2. Asignar flujos de tráfico: Esto le permite inspeccionar y verificar las transacciones de la red para asegurarse de que solo los usuarios y las aplicaciones correctos tengan acceso a los activos correctos.
3. Invertir en una cartera de IAM: La identidad del usuario está ahora a la vanguardia de la seguridad de los datos. Por lo tanto, las tecnologías de administración de acceso e identidad son clave para evitar que las credenciales caigan en manos equivocadas.
4. Monitorear, mantener, mejorar: El monitoreo continuo de su entorno no solo agiliza la detección de riesgos, sino que también le permite detectar vulnerabilidades de manera proactiva y mitigarlas en tiempo real.

Cabe señalar que las organizaciones que esperan embarcarse en un viaje Zero Trust primero deben superar una serie de obstáculos. Con una amplia gama de políticas, procedimientos y tecnologías requeridas, el proceso suele ser un esfuerzo de varios años.

Además, los sistemas heredados plantean otro desafío abrumador, ya que muchas herramientas antiguas no pueden funcionar ni respaldar algunos principios de Zero Trust. Reemplazar los controles de seguridad existentes y modernizar la tecnología puede ser un proceso costoso, y las restricciones financieras podrían introducir barreras adicionales.

Teniendo en cuenta estos factores, lo mejor es adoptar un enfoque por etapas. La adopción del marco por etapas puede aliviar la carga de introducir nuevas herramientas (o potencialmente revisar los sistemas antiguos).

Consulte esta guía para obtener más información sobre cómo implementar Zero Trust.

En Entrust, sabemos que Zero Trust es la próxima evolución de la ciberseguridad empresarial. Es por eso que hemos desarrollado una cartera de soluciones de IAM que pueden sentar las bases para su arquitectura Zero Trust.

En conjunto, nuestra solución está diseñada para cubrir las bases y mantenerlo protegido en tres componentes críticos:

• Identidades resistentes al phishing: Las credenciales robadas y comprometidas son dos de las causas raíz más comunes de las filtraciones de datos. Combinamos MFA, seguridad sin contraseña, políticas de control adaptativo, biometría y otras herramientas para mitigar el riesgo de ataques basados en la identidad.
• Conexiones seguras: Los datos se mueven constantemente a través de redes públicas y privadas, a través de puntos finales no administrados y en manos de usuarios que pueden no estar autorizados para acceder a ellos. Protegemos estas conexiones con certificados digitales para garantizar que solo las personas adecuadas accedan a la información correcta, ni más ni menos.
• Datos seguros: Nuestra cartera cifra los datos en reposo, en uso y en movimiento, al mismo tiempo que mantiene una infraestructura clave descentralizada. Esto garantiza la confidencialidad, la integridad y el acceso seguro, al mismo tiempo que cumple con los estrictos requisitos de cumplimiento.

Más que un simple proveedor, somos su socio en cada paso del camino.