No confíes en nadie: el auge de la ciberseguridad Zero Trust

Camilo Suárez, director de Tecnología y Portafolio para Colombia y Ecuador de Logicalis

Zero Trust es un novedoso modelo de seguridad de red adaptado para atender la fuerza de trabajo moderna. Basado en la premisa de que ningún dispositivo dentro y fuera de la red es seguro, este sistema busca que la identidad de aquel que desee conectarse se autentique y compruebe constantemente. Tal es su necesidad que, según el Informe de Riesgos Globales 2022 del Foro Económico Mundial, en el mundo se detectan alrededor de 100 intentos de ciberataques por minuto.

En los últimos años, los factores de riesgo a la seguridad empresarial han incrementado potencialmente. Con la digitalización, son más los trabajadores que llevan a la oficina sus dispositivos personales con el fin de conectarse a la red y acceder a los servicios que ofrece el lugar, haciendo a las compañías aún más vulnerables a un ciberataque. Asimismo, la reciente popularidad del teletrabajo también ha significado un desafío en este ámbito.

Para entender mejor el concepto es necesario colocarlo en términos de seguridad física: cada vez que una persona entra a un edificio, debe mostrar al guardia de seguridad su tarjeta de identificación con el fin de verificar que sí trabaja allí, aun cuando lo haya hecho día tras día. En otras palabras, Zero Trust se basa en la verificación continua de la identidad y del control de acceso, al no suponer que un mismo usuario se conecta siempre desde el mismo dispositivo y la misma ubicación.

Para toda organización, es vital no adoptar enfoques de seguridad provenientes del pasado, pues mantenerse actualizados otorga una enorme ventaja ante los posibles ataques. Las formas de ciberseguridad antiguas ya no funcionan cuando los usuarios llevan dispositivos personales o cuando los usuarios trabajan fuera; lo que sucede más a menudo en los últimos años. Con esto se muestra que la única forma de garantizar que todos los usuarios y dispositivos sean quien dicen ser es limitando el acceso y no confiando en ninguno”.

¿Cómo se construye el Zero Trust?

Existen tres elementos fundamentales para tener en cuenta a la hora de lograr un enfoque adecuado:

• Usuarios: Es necesario verificar la identidad de los usuarios antes de concederles acceso a los servicios, independientemente de que trabajen de forma local o remota. Una simple combinación de nombre de usuario y contraseña es susceptible de ser comprometida, por lo que se requiere un mecanismo más robusto como la autenticación multifactor (MFA).
  La MFA permite métodos sofisticados adicionales de verificación de usuarios en dispositivos móviles, incluyendo el uso de códigos de acceso y técnicas sin contraseña, como la biometría
• Redes: Si bien las redes proporcionan acceso a los servicios, también pueden denegarlos a todo dispositivo (incluido el IoT) que no esté autorizado. El acceso definido por software (SDA) aprovecha las capacidades de redes definidas por software y de microsegmentación para conseguirlo. Las redes definidas por software tienen un plano de control en el que las identidades de los dispositivos pueden clasificarse y verificarse, y luego las políticas de acceso pueden aplicarse de forma centralizada en todo el tejido de la red (por cable, inalámbrica, en la nube) en función de la clasificación de los dispositivos.
  La microsegmentación permite la segregación de la red entre usuarios, dispositivos y aplicaciones, limitando la superficie de ataque de los malos actores. También permite el aislamiento dinámico de la red de los malos actores en respuesta a las amenazas en tiempo real, como el fracaso de un desafío de identidad…
• Aplicaciones: La última consideración para Zero Trust es la aplicación. Los dos controles que podemos aplicar son el acceso de mínimo privilegio y la microsegmentación. El acceso a cualquier aplicación será controlado por MFA, aquí es importante asegurar que cualquier usuario sólo reciba los privilegios suficientes para realizar sus tareas y que todas las aplicaciones estén segregadas unas de otras. El acceso con menos privilegios se configura utilizando los controles de acceso basados en roles (RBAC) para cada aplicación. La mayoría de las aplicaciones modernas tienen roles predefinidos que han establecido niveles recomendados de restricciones de acceso, para simplificar este proceso.
  La microsegmentación segrega los conjuntos de sistemas de cada aplicación entre sí, limitando de nuevo la superficie de ataque de los malos actores. Las comunicaciones hacia y desde las aplicaciones segregadas se controlan de forma centralizada mediante políticas, y no por la vía tradicional de las listas de control de acceso (ACL) configuradas manualmente en todos los dispositivos de la red.