La Sección 89 de NIS2 recomienda que las organizaciones adopten principios de Zero Trust para mejorar su postura de seguridad global. Sin embargo, los modelos tradicionales de Zero Trust suelen pasar por alto el entorno de copias de seguridad.
Zero Trust Data Resilience (ZTDR) es un enfoque integral de protección de datos que amplía Zero Trust a los sistemas de recuperación. Introduce elementos críticos como la separación del software de backup y el almacenamiento de copias de seguridad, la creación de múltiples zonas de resiliencia y la obligatoriedad de un almacenamiento inmutable y cifrado.
ZTDR es crucial porque proporciona un marco sólido basado en la premisa de brecha asumida, que respalda directamente la resiliencia y la responsabilidad que exige NIS2.
Sorprendentemente, la palabra “inmutabilidad” no se menciona explícitamente en la directiva NIS2. Sin embargo, la parte más crítica de la protección de datos es la capacidad de recuperación, y la inmutabilidad garantiza esa vía de recuperación.
Las medidas de ciberseguridad del Artículo 21 de NIS2 mencionan directamente la protección de datos, la higiene cibernética y el cifrado, pero todo ello puede verse comprometido.
En cambio, un destino de almacenamiento inmutable que siga las mejores prácticas de ZTDR —como cero acceso a root, segmentación arquitectónica inherente y el uso de S3 Object Lock en modo Compliance— aumentará significativamente la resiliencia.
Para garantizar la recuperación, se requiere Inmutabilidad Absoluta, asegurando que nadie, ni siquiera el administrador más privilegiado o un atacante, pueda modificar o eliminar los datos.
La directiva hace numerosas referencias a la importancia de una estrategia de recuperación, incluida la existencia de un plan de recuperación ágil y la realización de simulaciones de recuperación antes de que se produzca un ataque.
Recomendamos que todas las organizaciones afectadas evalúen sus entornos actuales de protección de datos y realicen escenarios de recuperación de prueba para medir mejor sus verdaderos Objetivos de Punto de Recuperación (RPO) y Objetivos de Tiempo de Recuperación (RTO).
Comprender hasta qué punto en el tiempo puede ser necesario retroceder para recuperar los datos, junto con el tiempo que llevará hacerlo, es una parte vital de la capacidad de respuesta que exige NIS2.
:quality(75))
