Nunca confíes, siempre verifica
“Nunca confíes, siempre verifica”, primera premisa para una estrategia de seguridad eficaz
Ricardo Castaño, BDM Palo Alto Networks (foto) y José María González Garzón, Senior System Engineering, en Exclusive Networks Iberia
Las empresas continúan transformándose para adoptar un modelo de trabajo híbrido, trasladando su la arquitectura del centro de datos a la nube. Y en este viaje fuera del perímetro físico, ya no basta con proteger únicamente una tecnología, es necesario abarcar todo el ecosistema de controles: redes, endpoints, nubes, aplicaciones, IdC o identidades, independientemente de la situación, el usuario y su ubicación, el dispositivo, el origen de la conexión o el método de acceso.
Tampoco es efectivo permitir el acceso a estos recursos validándolo una única vez. Al contrario. En los actuales entornos altamente distribuidos y ante la naturaleza cambiante y cada vez más evolucionada de los ataques y las amenazas, es decisivo eliminar toda confianza implícita, certificando permanentemente cada etapa de la interacción digital.
El modelo Zero Trust funciona sobre el mínimo privilegio: "nunca confíes, siempre verifica", examinando continuamente el comportamiento del usuario, del dispositivo y de la aplicación durante toda la sesión del usuario. Gracias a esta técnica, se reducen los riesgos graves y se alcanza la resiliencia empresarial.
Sin embargo, y pese a que cada vez más empresas se muestran interesadas en adoptar este planteamiento, el despliegue de una estrategia Zero Trust efectiva a veces se torna complicado, primero, por la falta de recursos y de personal formado en TI y, después, por la dificultad y el alto coste que entraña implementar por separado las distintas herramientas de seguridad. La inserción aislada obliga a utilizar distintos agentes, dificultando su integración y coordinación.
Ante tal realidad y comprendiendo que una estrategia Zero Trust es una primera línea de defensa que es necesario aplicar, es momento de dar el paso hacia la adopción de una arquitectura de confianza cero que contemple la protección integral de todo el ecosistema corporativo.
¿Qué pedirle a una Arquitectura Zero Trust?
Para proteger adecuadamente usuarios, aplicaciones e infraestructuras, una arquitectura Zero Trust debe integrar mecanismos que permitan verificar de forma inequívoca la identidad de los usuarios y de los dispositivos desde los que se conectan. En el caso de aplicaciones o de infraestructuras en la nube, hay que identificar el dispositivo o microservicio, los recursos informáticos o de almacenamiento y las aplicaciones de los socios y de terceros antes de autorizar el acceso.
Adicionalmente, las empresas deben asegurarse de que los usuarios tengan acceso únicamente a los recursos imprescindibles para realizar su trabajo, restringiendo el acceso a los datos y a las aplicaciones. Hay que aplicar el principio del mínimo privilegio incluso después de la autenticación y de haber comprobado que el dispositivo está “limpio”.
Definir una política corporativa donde se precisen los roles de los usuarios y los permisos -solo los necesarios- que estos deben poseer para el desempeño de sus funciones, reducirá de forma considerable su superficie de ataque y el riesgo de propagación de malware.
Por último, la evaluación continua del modelo de confianza, basado en el análisis de todos los componentes de la arquitectura, facilitará el establecimiento de un sistema de aprendizaje y de mejora continua. Precisar patrones de comportamiento entre las aplicaciones, los usuarios y los dispositivos desde los que se conectan posibilitará la identificación de comportamientos anómalos que provoquen un aumento “dinámico y automático” de las medidas de seguridad ante determinadas alertas.
Zero Trust es el presente, pero también el futuro. Pero no todas las soluciones actuales cumplen la promesa y los principios que encierra este modelo, resolviendo solo algunos de los problemas asociados al acceso directo a las aplicaciones. En concreto, las soluciones ZTNA 1.0 quebrantan el principio del privilegio mínimo, no realizan una verificación continúa de confianza, sino que permiten e ignoran; no ejecutan inspecciones de seguridad; no salvaguardan los datos; y no pueden proteger todas las aplicaciones.
