Seguridad de Cero Confianza: Asumir Nada, Verificar

Zero Trust es un modelo de seguridad de grado militar oficialmente respaldado por el Departamento de Defensa de EE. UU.. Es un paradigma de seguridad hermético que no otorga ninguna autorización definitiva y que constantemente examina las amenazas potenciales en cada nivel organizacional.

Las empresas están encontrando que la seguridad de Zero Trust es esencial para su operación porque la conectividad sin restricciones, el trabajo remoto y la colaboración transfronteriza han difuminado las líneas entre entornos empresariales seguros e inseguros.

En este artículo, descubrirás qué es Zero Trust, cómo y por qué deberías aplicarlo, y qué puedes obtener de él. Toma una página del libro del Pentágono y utiliza Zero Trust para fortalecer tu empresa contra los hackers.

¿Qué es Zero Trust?

Zero Trust es un modelo de seguridad que se aleja de las defensas tradicionales basadas en perímetros. En su lugar, impone autenticación de intervalos cortos y autorización de menor privilegio a cada actor dentro y fuera de una organización.

Zero Trust significa que cada persona dentro de la organización podría ser un vector de ataque potencial, ya sea intencional o no. El software malicioso, la ingeniería social y otras técnicas de hacking no dejan a nadie a salvo de convertirse en una herramienta en manos de un criminal.

Todos los beneficios de Zero Trust se pueden resumir en una declaración: máxima inmunidad a las amenazas y mínimas ramificaciones si ocurren. Todos los principios y tecnologías de Zero Trust trabajan hacia ese objetivo singular.

¿Cómo funciona Zero Trust?

En esencia, la arquitectura de Zero Trust se basa en una política de seguridad dinámica y una colección de inteligencia de seguridad a nivel de sistema.

Una política de seguridad dinámica requiere que las organizaciones definan reglas claras que rijan el acceso y el control sobre sus activos y recursos. Deben ser lo más granulares posible, lo que reduce las zonas de confianza y contiene las amenazas potenciales a áreas manejables.

Una vez que la política dinámica está en su lugar, la inteligencia de seguridad necesita funcionar. Esto implica recopilar y analizar registros de red, identificaciones de usuario, patrones de comportamiento, datos de geolocalización, bases de datos de amenazas y otra información que ayude a llevar a cabo la política.

Principales principios de seguridad de Zero Trust

La seguridad de Zero Trust se basa en los siguientes principios principales:

• Monitoreo y validación continuos. Todos los recursos están bloqueados por defecto. Los tokens de acceso expiran rápidamente, obligando a los usuarios a volver a ingresar credenciales en intervalos a corto plazo.
• Acceso de menor privilegio. Los usuarios solo están autorizados en la medida que les permite realizar sus tareas en un recurso.
• Control de acceso a dispositivos. La evaluación de seguridad se aplica no solo a los usuarios, sino también a las máquinas que intentan conectarse a la red.
• Microsegmentación. Todos los recursos se dividen en segmentos para que cualquier violación de seguridad solo afecte a una pequeña y manejable porción de los activos de la organización.
• Contención del movimiento lateral. Los hackers ya no pueden moverse libremente por la red una vez dentro porque todo acceso es a corto plazo, de menor privilegio y segmentado.
• Autenticación multifactor. Los usuarios deben proporcionar más de una pieza de evidencia para su identidad, por ejemplo, contraseñas y códigos SMS.

Casos de uso de Zero Trust

Zero Trust mejorará la seguridad en cada empresa, pero su implementación requiere un esfuerzo a nivel organizacional. Es comprensible que no todas las empresas estén listas para hacer ese compromiso. Sin embargo, invertir en Zero Trust vale la pena contemplar bajo varias circunstancias específicas. Considera Zero Trust si estás:

• Preocupado por el ransomware. Un ataque de ransomware exitoso depende de la capacidad del atacante para penetrar en el sistema objetivo y obtener un control lo suficientemente amplio como para realizar la encriptación.
• Empleando trabajadores remotos o comunicándote con fuentes de datos no empresariales. Cualquier tráfico externo hacia tu organización, ya sea de personas o servicios externos como SaaS o APIs, aumenta el peligro de ataques maliciosos.
• Buscando una alternativa más segura a VPN. Las VPN no son compatibles con los principios de Zero Trust porque permiten acceso general a tu red.
• Gestionando un entorno en la nube o multi-nube. Las infraestructuras en la nube, multi-nube o híbridas están más expuestas a ataques que las infraestructuras locales.
• Requerido por ley o por el seguro implementar Zero Trust. Algunas organizaciones, como instituciones gubernamentales en EE. UU., están obligadas por ley a seguir los protocolos de Zero Trust.
  Asimismo, una creciente ola de ataques de ransomware obliga a las aseguradoras a incluir requisitos similares en sus términos y condiciones.

¿Cómo implementar Zero Trust?

La implementación de Zero Trust abarca tres etapas principales.

Etapa 1: Visualización

Crear un mapa detallado de todos los recursos en la empresa, así como de las identidades de confianza, puntos finales, cargas de trabajo y posibles vías de ataque desde dentro y fuera de la organización.

Etapa 2: Mitigación

Diseñar y desplegar medidas de seguridad automatizadas: monitoreo y verificación en tiempo real, análisis continuos, acceso de menor privilegio, segmentación de red y otros medios que reduzcan la probabilidad y el impacto de las amenazas.

Etapa 3: Optimización

Mejorar la experiencia del usuario sin comprometer la seguridad. Una buena solución es el acceso condicional basado en riesgos, un mecanismo que solicita credenciales a los usuarios si detecta actividad sospechosa asociada con ellos.

Si deseas aprender más sobre la implementación de Zero Trust, consulta nuestra guía.

Mejores prácticas de seguridad de Zero Trust de Object First

En Object First, queremos que nunca tengas que pagar un rescate nuevamente. Zero Trust te ayudará a lograr ese objetivo, especialmente si recuerdas algunas mejores prácticas.

Conoce nuestros Seis Todo:

• Escanea todo. No podemos enfatizar esto lo suficiente: lo que no ves, no puedes controlar. Esfuérzate por monitorear el 100% de todo el tráfico en tu organización.
• Actualiza todo. Mantén tu firmware, software y bases de datos de amenazas actualizados. Toma menos tiempo explotar una vulnerabilidad o inyectar malware que leer este artículo.
• Restringe todo. Otorga autorización de menor privilegio únicamente. No le des a nadie las herramientas que no necesita, o podrías sorprenderte de cómo las usa.
• Segmenta todo. Fragmenta tu entorno para contener las violaciones si ocurren. Cuanto más fina sea la división, menor será el daño.
• Autentica todo con hardware. Un mensaje de texto puede ser falsificado o interceptado. Es más difícil falsificar un token basado en hardware.
• Equilibra todo. No le arrojes demasiados requisitos de seguridad al usuario. Un humano molesto no piensa con claridad y cede al error más fácilmente.

FAQ

¿Qué es Zero Trust en términos simples? 

En términos simples, Zero Trust asume que todo el tráfico puede llevar una amenaza, por lo que lo monitorea constantemente y otorga solo acceso limitado a los recursos.

¿Cuáles son los cinco pilares de Zero Trust? 

Los cinco pilares de Zero Trust se refieren a los dominios que proporcionan información y conocimientos sobre el sistema que está protegido por Zero Trust. Estos dominios incluyen: Identidad, Dispositivos, Aplicaciones y Cargas de Trabajo, y Datos.

¿Cuál es un ejemplo de Zero Trust?

La seguridad de Zero Trust es útil siempre que un recurso de propiedad empresarial se encuentre con un recurso no empresarial. Considera estos cuatro ejemplos:
1. Un contratista externo necesita acceso a tu red.
2. Un trabajador remoto en hardware de la empresa necesita conectarse a un servicio externo.
3. Tu empresa utiliza dispositivos IoT que externalizan su carga de trabajo a la computación en la nube.
4. Tu empresa utiliza computación distribuida.

¿Qué es ZTNA?

ZTNA significa Acceso a Red de Zero Trust. Es una puerta de enlace que protege y gestiona el acceso a los recursos bajo el paradigma de Zero Trust.
Las características clave de ZTNA incluyen otorgar acceso por recurso y por usuario, diferenciar entre acceso a la red y acceso a la aplicación, y ocultar direcciones IP de entidades autenticadas.

¿Qué es NIST SP 800-207?

NIST SP 800-207 es un marco de Zero Trust desarrollado por el Instituto Nacional de Estándares y Tecnología. Consiste en Control Plane, que filtra las solicitudes de acceso a través de un Punto de Decisión de Política (PDP); y Data Plane, que ejecuta las decisiones a través de un Punto de Aplicación de Política (PEP).