Por qué Zero Trust se simplifica en exceso

Muchos proveedores hablan de endurecimiento y Zero Trust como si fueran intercambiables. No lo son. El endurecimiento es un componente de Zero Trust, centrado en reforzar las defensas y controlar quién entra. Zero Trust va más allá al obligar a los equipos a asumir la brecha y preguntarse qué ocurre cuando los atacantes entran. 

Los ataques modernos eluden de forma rutinaria los controles de endurecimiento mediante escalada de privilegios, robo de credenciales y vulnerabilidades sin parchear. Una vez que un atacante alcanza privilegios elevados en un sistema, la diferencia entre endurecimiento y Zero Trust se vuelve crítica para evaluar el riesgo y garantizar la recuperabilidad. 

El problema no es que el endurecimiento sea poco importante o que no forme parte de Zero Trust — sí lo es. El problema es que muchos proveedores animan a las organizaciones a quedarse en el endurecimiento.  Etiquetan el endurecimiento como Zero Trust, lo que deja a la organización con una falsa sensación de protección. 

«Los atacantes no entran y se detienen. Avanzan capa por capa hasta llegar a los sistemas con más valor». 

Endurecimiento: qué es y dónde ayuda 

El endurecimiento es la reducción disciplinada del riesgo en todo el entorno. Incluye acceso de mínimo privilegio, MFA, segmentación y monitorización—controles que están destinados a prevenir la intrusión. Estas medidas ralentizan el avance de un atacante y limitan el radio de impacto durante un ataque de ransomware. 

Sin embargo, el endurecimiento se apoya en una premisa: que los controles evitarán la intrusión. Los sistemas, equipos e infraestructura del día a día rara vez se comportan de forma tan limpia. Las ventanas de mantenimiento introducen excepciones, los parches se retrasan y las configuraciones derivan. Además, los atacantes no dependen de un único punto de entrada. Encadenan vulnerabilidades, credenciales y configuraciones erróneas hasta llegar a un sistema con autoridad significativa. 

Los hipervisores, los proveedores de identidad y las plataformas de bases de datos comparten la misma limitación estructural: requieren control privilegiado para funcionar. Una vez que los atacantes comprometen estas capas, el entorno se comporta exactamente como el atacante quiere. Esta limitación no es exclusiva de ninguna categoría de producto: es inherente a los sistemas diseñados para una amplia autoridad operativa. 

Por ejemplo, un hipervisor debe poder crear, modificar y eliminar cargas de trabajo; un sistema de base de datos debe poder alterar esquemas, datos y permisos. Ese poder operativo es necesario, pero también significa que, una vez que un atacante llega al servidor con privilegios elevados, esa infraestructura puede ser accedida o desmantelada. La misma dinámica se aplica en todos los planos de control de alto privilegio. Estas capas están diseñadas para el control operativo, y ese mismo control se convierte en un pasivo cuando se ven comprometidas. 

El endurecimiento muchas veces conduce a una conclusión falsa: que no se producirá una intrusión. La realidad es que habrá brechas, y una vez que un atacante alcanza un sistema diseñado para ejercer un control amplio, puede interrumpir o cambiar las operaciones. 

Zero Trust: qué es y cómo funciona 

Zero Trust a menudo se reduce a una colección de técnicas de endurecimiento. Sin embargo, Zero Trust no es una lista de verificación de controles: es una mentalidad basada en Asumir la Brecha. Asumir la Brecha significa aceptar que los atacantes entrarán en el entorno, escalarán privilegios, obtendrán credenciales y alcanzarán sistemas de alto valor.   La clave es diseñar planes para recuperarse de la brecha. 

Aquí es donde la industria duda. Muchos proveedores evitan la conversación de Asumir la Brecha porque sus sistemas no pueden sobrevivirla. El endurecimiento es una afirmación de seguridad cómoda. Asumir la Brecha no lo es. Por lo tanto, destacan MFA, segmentación, y detección, evitando la pregunta de qué ocurre cuando esos controles fallan. El resultado es una interpretación estrecha de Zero Trust que se detiene en el punto en el que el atacante tiene éxito. 

Zero Trust en Object First se define de forma diferente: un sistema de almacenamiento con Zero Access para ejecutar acciones destructivas, de modo que ningún administrador, ningún atacante y ningún proceso pueda modificar o eliminar los datos de copia de seguridad, incluso con credenciales completas. 

Esto se aplica mediante inmutabilidad nativa de S3, un dispositivo de almacenamiento dedicado y controles Seguro‑by‑Design que eliminan por completo las vías privilegiadas. Esto impide el acceso root, el acceso a shell y las acciones administrativas, incluidas la eliminación y la modificación. 

Zero Trust debe mantenerse en la capa donde los controles de endurecimiento han fallado. 

Las capas de protección en el almacenamiento de datos de copia de seguridad 

La protección de datos moderna no se asienta en un único plano. Abarca múltiples capas de control, cada una con sus propias responsabilidades y sus propios modos de fallo. La estratificación de seguridad de Object First se modela a partir del Modelo de Madurez de Zero Trust de CISA, que es una forma útil de entender dónde el endurecimiento y Zero Trust establecen las reglas. 

Identidad: el primer plano de control que los atacantes intentan comprometer 

Todo comienza con la identidad. Credenciales, tokens, MFA, servicios de directorio: esta es la puerta de entrada al entorno. El endurecimiento pertenece aquí, y aporta mucho valor. Pero la identidad también es la capa que los atacantes atacan con mayor agresividad. El phishing, el robo de tokens, el secuestro de sesión y la escalada de privilegios son habituales. Una vez que un atacante suplanta a un usuario legítimo, el resto del entorno empieza a abrirse. 

Dispositivos: la capa donde la deriva, las excepciones y las operaciones crean aperturas 

Los endpoints, servidores, hipervisores y appliances entran en esta categoría. En teoría, cada dispositivo está endurecido, parcheado y monitorizado. En la práctica, los dispositivos son donde aparece la realidad operativa: parches retrasados, reglas temporales de firewall, ventanas de mantenimiento y deriva de configuración. Estas brechas se acumulan con el tiempo, y los atacantes saben cómo encontrarlas. Un dispositivo comprometido se convierte en un punto de apoyo que se integra en las operaciones normales. 

Redes: la segmentación ralentiza a los atacantes, pero no los detiene 

La segmentación, la microsegmentación y los controles de tráfico están diseñados para limitar los ataques por movimiento lateral una vez que han obtenido acceso a un sistema. Ayudan, pero no eliminan el problema. Una vez que un atacante tiene credenciales válidas o un token privilegiado, la red se convierte menos en una barrera y más en un obstáculo menor. La suposición de que la segmentación contendrá una brecha rara vez se sostiene frente a un actor malicioso decidido. 

Aplicaciones & Cargas de trabajo: donde el privilegio se concentra 

Aquí es donde la autoridad del entorno empieza a converger. Hipervisores, sistemas de orquestación y servidores de copia de seguridad viven aquí. Estos sistemas deben poder crear, modificar y eliminar cargas de trabajo o trabajos de copia de seguridad. Ese poder operativo es necesario, pero también significa que, una vez que un atacante alcanza esta capa con privilegios elevados, el impacto se vuelve severo. El endurecimiento reduce el número de errores fáciles, pero no puede cambiar el hecho de que estos sistemas son intrínsecamente privilegiados. 

Datos Backup: la única capa que debe permanecer intacta cuando todas las demás fallan 

La capa de datos es donde Zero Trust debe ser absoluta. Si los atacantes comprometen la identidad, los dispositivos, las redes y las aplicaciones, los datos de copia de seguridad y su cadena de custodia deben sobrevivir. Eso requiere una arquitectura de almacenamiento que no permita acciones destructivas incluso cuando el atacante tiene credenciales completas. 

Veeam y Object First están diseñados para exactamente este escenario. Ambos asumen que ya se ha producido una brecha, y que la recuperación puede necesitar comenzar incluso si Veeam en sí mismo ha sido comprometido. En un evento de peor caso—cada secreto expuesto, cada credencial robada y cada plano de control comprometido—los datos de copia de seguridad en Ootbi permanecen inmutables e imposibles de eliminar, proporcionando una base confiable desde la que recuperarse. 

Esa capacidad de supervivencia es lo que separa Zero Trust del endurecimiento. El endurecimiento afirma que no se producirán brechas; Zero Trust exige evaluar que los atacantes comprometerán el objetivo, y aun así no podrán destruir los datos necesarios para la recuperación. Veeam documenta explícitamente cómo recuperar Veeam en sí mismo ante una brecha grave, y Object First proporciona la capa almacenamiento inmutable que hace posible esa recuperación. 

Qué deberían buscar las organizaciones 

Al evaluar el almacenamiento de copias de seguridad, el indicador más importante es si el sistema está diseñado con una auténtica mentalidad de Asumir la Brecha. Los sistemas que dependen del acceso privilegiado, la detección o la inmutabilidad en la capa de software siguen siendo vulnerables a los mismos modos de fallo que las capas por encima de ellos. Usar una solución que aplique Zero Access garantiza que nadie—ni siquiera un administrador—pueda realizar acciones destructivas sobre los datos de copia de seguridad 

Los administradores de Backup deben planificar para el escenario de peor caso: restaurar desde un entorno comprometido donde todas las credenciales están expuestas. Si se conocen todos los secretos, los atacantes también los conocen. El sistema de almacenamiento debe construirse para resistir esa realidad. 

Igualmente importante, las organizaciones deben poder demostrar esa capacidad de supervivencia, no solo confiar en la afirmación. Una plataforma creíble permite a las organizaciones validar la inmutabilidad, probar la recuperación ante escenarios destructivos y confirmar que los datos siguen siendo recuperables incluso cuando el entorno está totalmente comprometido. Si un proveedor restringe o prohíbe este tipo de pruebas, esa limitación se convierte en una señal de seguridad por sí misma. 

Hacia dónde se dirige la industria 

A medida que Zero Trust se define con mayor rigor, los proveedores tendrán que demostrar, no simplemente afirmar, cómo se comportan sus sistemas bajo un compromiso total de privilegios. Tendrán que documentar las vías privilegiadas, demostrar la inmutabilidad independiente del software de copia de seguridad y mostrar capacidad de supervivencia cuando todas las credenciales estén expuestas.  

El almacenamiento Backup debe funcionar como la última línea de defensa, no como otro sistema que colapsa cuando los atacantes obtienen acceso total.