¿Es Zero Trust el futuro de la seguridad de los datos?
Antes de la llegada de la pandemia de coronavirus, muchos veían el término “confianza cero” como otra palabra de moda en la industria que se circulaba hasta que aparecía la siguiente. Sin embargo, como los empleados de todo el mundo se vieron obligados a trabajar desde casa como resultado de las restricciones impuestas, las empresas se vieron obligadas a adaptar su estrategia de seguridad para adaptarse a la “nueva normalidad”. La implementación de la confianza cero ahora se considera un paso crucial para mantener seguros nuestros sistemas y datos en un entorno de trabajo remoto.
El enfoque tradicional de seguridad de datos basado en el perímetro es análogo al castillo rodeado por un foso, donde los buenos están en el interior defendiendo el castillo de los intrusos. A medida que los entornos de trabajo se vuelven más distribuidos y dinámicos, este paradigma se está volviendo obsoleto rápidamente.
El primer problema con este enfoque es que se basa en el supuesto de que todos los que están dentro del castillo tienen buenas intenciones o que no cometerán errores que permitan a un intruso entrar. Desafortunadamente, ninguno de estos supuestos es cierto. La realidad es que los iniciados, ya sean malintencionados o negligentes, presentan una enorme amenaza para la seguridad de nuestros sistemas y datos.
A medida que cada vez más organizaciones trasladan sus operaciones comerciales a la nube, ya no existe un castillo, y mucho menos un foso. Como tal, la solución obvia sería diseñar protocolos que se alineen con el mantra “nunca confiar, siempre verificar” que forma parte del espíritu de confianza cero.
¿Cómo están adoptando las empresas un enfoque de confianza cero?
Según un informe realizado antes del brote del coronavirus, América del Norte está liderando el camino y el 60% de las organizaciones dicen que están haciendo la transición a un modelo de confianza cero. El 50% de las organizaciones de Australia y Nueva Zelanda, y el 18% de las organizaciones de Europa y Oriente Medio, también han mostrado interés en cambiar hacia un enfoque de confianza cero.
El informe también señaló que ciertas industrias, como la atención médica, las finanzas y la manufactura, estaban más interesadas en la confianza cero que otras, que es lo que esperaríamos dado que las organizaciones de estas industrias son responsables de grandes cantidades de datos confidenciales y Por lo tanto, son frecuentemente el objetivo de los ciberdelincuentes.
En los primeros días de la pandemia, se recomendó a muchas organizaciones que hicieran cumplir el uso de VPN (redes privadas virtuales) como medio para garantizar que los trabajadores remotos pudieran conectarse a su red, desde ubicaciones potencialmente no seguras, de una manera que no ser interceptado por los adversarios. Si bien este enfoque aún puede ser aconsejable en algunos escenarios, no debe verse como una solución permanente para todos los empleados, ya que las VPN no fueron diseñadas para este propósito. En otras palabras, el simple hecho de usar una VPN no constituye confianza cero. Las empresas deben realizar evaluaciones exhaustivas de su entorno y decidir qué sistemas y datos corren mayor riesgo. Deben desarrollar una estrategia integral de confianza cero, implementar la estrategia, monitorear continuamente la efectividad de la estrategia y realizar mejoras cuando sea necesario.
Es importante comprender que el cambio a un modelo de confianza cero no es algo que sucederá de la noche a la mañana. Requiere una cuidadosa consideración y planificación. Requiere gestión y mantenimiento continuos, y todo ello requiere tiempo, esfuerzo y dinero. También debe asegurarse de que sus empleados conozcan bien los nuevos procedimientos y protocolos y sean conscientes de las razones detrás de ellos, de lo contrario, podrían oponer resistencia.
¿Cuáles son las tendencias que impulsan la adopción de la confianza cero?
Como se mencionó anteriormente, la principal tendencia que está impulsando la transición hacia un paradigma de confianza cero es el cambio de un entorno de trabajo centralizado a uno descentralizado, ya que esto requiere un enfoque más remoto, flexible y ágil para acceder a los recursos de la empresa. Sin embargo, hay otras tendencias importantes que deberíamos analizar, entre ellas;
El uso creciente de API
Cada vez más organizaciones y proveedores de software utilizan API (interfaces de programación de aplicaciones) para agregar datos de múltiples plataformas y fuentes. Las API pueden resultar muy útiles para tareas que implican automatización y orquestación, lo que a su vez ayudará a impulsar la adopción de la confianza cero. Las empresas pueden utilizar sus propias API internas, mientras que algunas serán desarrolladas por proveedores externos. Las API también conllevan una serie de riesgos de seguridad, por lo que es necesario controlar todas y cada una de las interacciones con una API que tiene acceso a datos confidenciales. Los desarrolladores deben tener control total sobre quién tiene acceso a la API, incluidas las funciones específicas que pueden utilizar. También deben tener control sobre los protocolos de autenticación que se utilizan para acceder a ellos, que pueden incluir autenticación básica, OAuth o MFA. Sin duda, las API desempeñarán un papel importante en entornos de confianza cero (y viceversa), ya que proporcionan una forma sencilla de interactuar con una multitud de sistemas y servicios, de forma segura y determinista.
Protección contra dispositivos comprometidos
Como se mencionó anteriormente, una gran cantidad de amenazas a la seguridad provienen de personas internas negligentes y maliciosas. Como tal, existe una creciente necesidad de que las organizaciones vigilen de cerca qué puntos finales se están conectando a su red y si esos puntos finales se han visto comprometidos de alguna manera. Es importante tener en cuenta que el hecho de que un empleador acceda a la red mediante un dispositivo proporcionado por la empresa no significa que deba confiar automáticamente en él. Después de todo, el dispositivo puede estar infectado con malware que monitorea las pulsaciones de teclas de un empleado para capturar sus credenciales. Lo ideal es que las empresas utilicen algún tipo de software de gestión de dispositivos, que se instalará en el dispositivo proporcionado por la empresa. Esto brindará a los administradores más información sobre si el dispositivo se ha visto comprometido y otra información relevante, como errores de configuración o software sin parches. Como siempre, el principio de privilegio mínimo (PoLP) es necesario para garantizar que los usuarios solo tengan acceso a los recursos que necesitan para desempeñar su función.
La necesidad de acceder y compartir información sanitaria protegida
Otro factor que está impulsando la adopción de la confianza cero es la necesidad de que los proveedores de atención médica compartan información entre pacientes y profesionales de manera segura y flexible. Como seguramente ya sabrá, por varias razones, la industria de la salud es un objetivo principal para los ciberdelincuentes. Para empeorar las cosas, los proveedores de atención médica suelen estar sujetos a restricciones presupuestarias y, por lo tanto, necesitan encontrar formas asequibles y efectivas de proteger sus sistemas y datos. La forma óptima de proteger los datos confidenciales de los pacientes, al mismo tiempo que se garantiza que sean accesibles para quienes los necesitan, es garantizar que cada registro de paciente tenga asignados sus propios controles de acceso únicos. Cuando un médico requiere acceso a la información de un paciente, el paciente o una autoridad confiable deberán autorizar la solicitud y revocar el acceso cuando ya no sea necesario. De esa manera, si un adversario obtuviera acceso a una cuenta con privilegios de nivel de administrador, aún necesitaría un conjunto adicional de credenciales para acceder a los registros del paciente. Con el tiempo, es probable que los pacientes tengan control total sobre quién tiene acceso a sus datos personales, incluido el derecho o la capacidad de transferir sus datos a contenedores de almacenamiento de terceros.
La confianza cero llegó para quedarse
Están surgiendo numerosas tecnologías diseñadas para facilitar la descentralización de Internet y, a su vez, de los perímetros que salvaguardan nuestros datos. En otras palabras, todos los sistemas, servicios, dispositivos y datos deberán tener sus propios perímetros y deberán autenticarse cada vez que necesiten acceder a sistemas y datos críticos.
Si desea ver cómo la plataforma Lepide Data Security puede ayudarlo a implementar la confianza cero en sus entornos locales y en la nube, programe una demostración con uno de nuestros ingenieros o comience su prueba gratuita hoy.