El concepto de "Zero Trust"

Nunca puedes estar 100% seguro de tu seguridad de la información. El desarrollo de nuevos tipos de protección de datos está llevando la tecnología de la información a un nivel superior. La autenticación multifactor y los usuarios privilegiados, la biometría para el acceso – todo esto se ha vuelto habitual. En un entorno corporativo, confiamos por defecto en las personas dentro de la red y desconfiamos de quienes están fuera de ella. Hoy exploraremos el concepto relativamente nuevo de "Zero Trust" (confianza cero) y su utilidad en el perímetro de una empresa, la nube y la seguridad móvil.

¿Qué es "Zero Trust"?

Por defecto, se considera que todos los usuarios, dispositivos, nubes, sistemas y redes están comprometidos, independientemente de si están protegidos por un firewall. El concepto de confianza cero implica un control muy estricto del acceso a los sistemas, de modo que incluso los usuarios autenticados pasan por varias etapas de verificación. Este método ayuda a reducir significativamente la probabilidad de un ataque exitoso al sistema.

Al restringir el acceso de distintos usuarios a segmentos de la red corporativa, los hackers tienen menos oportunidades de acceder a datos protegidos o confidenciales. Por supuesto, el valor clave del concepto de confianza cero es la autenticación multifactor (un mecanismo de seguridad que requiere un método adicional de autenticación en tiempo real usando una categoría de datos independiente del usuario).

Red corporativa vs. "Zero Trust"

Como ya hemos mencionado, el método obsoleto de proteger el perímetro de una empresa implica que cualquier usuario dentro de la red corporativa es, por defecto, una "persona de confianza", y cualquier usuario fuera de la red corporativa es, por consiguiente, "no confiable". Este modelo ha existido y prosperado durante los últimos 20 años para justificar que solo ciertas personas tengan acceso a programas y aplicaciones. Sin embargo, con el tiempo, este modelo de seguridad perimetral ha demostrado ser cada vez menos efectivo, en particular debido al enorme salto en el desarrollo de las tecnologías en la nube, las tecnologías móviles, los sistemas de protección de datos y la transición masiva de los empleados al trabajo remoto. Como resultado, en el nuevo entorno, el concepto de "persona de confianza" dentro y fuera de la red de la empresa ya no existe. El nuevo modelo trata a todos los usuarios como "no confiables" por defecto y los obliga a pasar por todos los pasos para obtener acceso, independientemente de sus privilegios. La política "Zero Trust" se discutió por primera vez a mediados de la década de 2000, y su idea principal era "desperimetrizar" la empresa y pasar a una estrategia de protección de los datos de la empresa en todos los niveles mediante cifrado y autenticación multifactor.

El desarrollo de "Zero Trust"

En 2010, John Kindervag, analista de Forrester Research, acuñó el término de la política "Zero Trust", cuya idea principal era la desconfianza hacia cualquier usuario, tanto dentro como fuera de la empresa. La empresa debe verificar a cualquiera que intente conectarse a la red antes de otorgarle acceso. La política "Zero Trust" pone en duda el modelo de protección basado en el uso de un firewall entre redes internas y externas. Esta estrategia de seguridad se derrumbará si un hacker compromete el sistema dentro del perímetro y quiere robar información confidencial. Por lo tanto, en un sistema convencional, los responsables de seguridad de la información deben verificar y proteger manualmente todos los recursos, otorgando y revocando el acceso a cada usuario de forma individual.

Seguridad en la nube y móvil en "Zero Trust"

Los tres principios fundamentales del concepto de seguridad cero:

• las empresas deben proporcionar acceso seguro a sus redes sin importar la ubicación de la empresa o del empleado;

• las organizaciones deben controlar el acceso de los usuarios para que solo puedan acceder a los recursos que necesitan. Además, las empresas deben evitar que los usuarios accedan a información potencialmente sensible y definir claramente los roles de los empleados. Esto se hace para garantizar que los datos privados permanezcan dentro de la empresa en caso de despido;

• las empresas deben inspeccionar y registrar el tráfico para asegurarse de que los usuarios actúan de manera lícita.

Con el creciente número de dispositivos conectados a las redes corporativas, cada vez más organizaciones han comenzado a implementar soluciones de software especiales que respaldan la política "Zero Trust". Probablemente todos hayan oído hablar de los sistemas DLP: software especial diseñado para prevenir fugas de información confidencial y monitorear la actividad de los empleados durante la jornada laboral. Veamos brevemente cómo funciona un sistema de este tipo, usando como ejemplo Anexet Ultimate de Scinero Software Limited.

Ejemplo del sistema DLP Anexet Ultimate de Scinero Software Limited

Anexet Ultimate es un sistema DLP que protege a las empresas de las fugas de datos causadas por los empleados, supervisa su actividad en el equipo, identifica amenazas potenciales y, en caso de incidente, notifica de inmediato la brecha al equipo de seguridad de la información de la organización, o incluso evita que ocurra el incidente.

La aplicación Anexet Ultimate Agent se instala en el equipo, donde intercepta los mensajes y archivos enviados y recibidos, y supervisa todas las acciones realizadas en el equipo. Toda la información interceptada se envía a tu servidor Anexet y se somete a un análisis inteligente. Si se detecta una infracción, el sistema puede bloquear la acción y notificar al servicio de seguridad de la información de la empresa.

El sistema DLP se puede usar en redes locales de la empresa, redes con arquitectura compleja, oficinas distribuidas geográficamente y puestos de trabajo móviles. Así, esta solución de software opera según los principios de una política "Zero Trust" y ayudará a reducir significativamente las probabilidades de perder datos confidenciales pertenecientes a una organización.

Además, de acuerdo con "Zero Trust", el uso de VPN es obligatorio al trabajar en un entorno corporativo. Actualmente, las empresas cuentan con su propia VPN corporativa, que funciona junto con otros métodos tecnológicos de protección de la información.

El futuro de Zero Trust

A medida que la tecnología avanza cada día y los atacantes idean formas cada vez más sofisticadas de atacar los sistemas, la comunidad global de TI ya ha reconocido la validez absoluta del concepto "Zero Trust" y está implementando ampliamente este modelo en las empresas. Por supuesto, las grandes empresas tecnológicas son las primeras en reconocer el potencial de "Zero Trust". En general, los analistas predicen que, para 2025-2030, el modelo "Zero Trust" se generalizará en todo el mundo.

Quienes priorizan la preservación de los datos confidenciales de la empresa son los primeros en adoptar "Zero Trust" y los sistemas DLP. Todo esto funciona en conjunto para garantizar la máxima seguridad de los datos de la empresa.