Existe una línea entre lo que pertenece a la empresa y lo que no. Esto es evidente en un contexto de teletrabajo, donde parece que el perímetro de la organización se ha difuminado entre los múltiples equipos que acceden a la información de la organización. Aunque nos hemos visto forzados a adoptar esta nueva normalidad del trabajo por medidas de resguardo y distanciamiento social, la desaparición —o restructuración— del perímetro de seguridad en las empresas no es algo nuevo. Desde el 2003 ya se auguraba una desperimetrización de la infraestructura de TI de las organizaciones; sin embargo no fue hasta el 2009 que surgió un modelo estructural posible, a partir de la creación del concepto de Zero Trust, confianza cero. Google fue de las primeras empresas en implementar este modelo, con un esquema denominado BeyondCorp, es decir, más allá de la corporación. Desde entonces, muchas otras compañías han buscado atender a esta clase de propuestas: el perímetro ya no debe ser fijo o, mejor dicho, ya no puede ser la única barrera entre tu información —tus activos— y tus usuarios.
Generalmente, la idea de erradicar el perímetro de seguridad suele causar miedo a muchas compañías. En este sentido, a lo largo de su trayectoria, Cisco se ha posicionado como la empresa líder en el establecimiento de políticas Zero Trust, cuya visión no apunta a diluir o desintegrar el perímetro, sino a fortalecerlo desde el interior.
La tradición de la confianza
El mecanismo usual para asegurar la información de una compañía se basaba en una serie de asunciones respecto a los usuarios y sus equipos. Se daba por sentado que todos los dispositivos y aplicaciones de trabajo eran propiedad de la compañía y, por lo tanto, administrados por ella. Las locaciones de usuario, así como las solicitudes de conexión eran predecibles a través de la red corporativa asegurada por un firewall administrado por el equipo de TI, lo que permitía que se estableciera un estatuto de confianza mutua entre los dispositivos.
El problema principal de esto se puede observar en dos diferentes vertientes, 1) no se puede asumir que las entidades internas sean confiables, tanto a nivel de seguridad de la red como a nivel de usuario; si un atacante logra librar una sola barrera de seguridad dentro de este perímetro, podrá desplazarse a lo largo del ecosistema, explotando vulnerabilidades en su camino. 2) Los problemas inherentes a la visión de confianza mutua comenzaron a ser evidentes con las políticas de BYOD (trae tu propio dispositivo), así como la adopción de la nube dada su eficacia para compartir y colaborar, lo que acarrea que una multiplicidad de dispositivos no centralizados ni administrados accedan a la red. Esto se ha exacerbado en los últimos años con el tránsito hacia el teletrabajo: los dispositivos ya son, en su mayoría, propiedad de los usuarios y no siempre acceden a los activos internos a través del perímetro.
En este contexto, el Zero Trust surge como un nuevo paradigma que puede resumirse en una sola frase:
No confíes: verifica.
Esto quiere decir que no se pueden subestimar las vulnerabilidades: todos los puntos de tu red son puertas de entrada para atacantes. Una visión de confianza cero implica el dejar de pensar al perímetro como un borde de la red y, más bien, es visualizarlo como cualquier punto donde se tiene que tomar una decisión de control de acceso; en otras palabras, donde un usuario o una aplicación intenta tener acceso a tu red, ahí se encuentra el perímetro.
De la duda a la seguridad: establecer un modelo Zero Trust
Existen cinco etapas para que implementes un modelo de confianza cero en tu negocio, las cuales parten de la observación y el reconocimiento de tu red:
Establecer parámetros de confianza interna Lo primero es descubrir, entender y definir los sistemas de la organización, a sus usuarios y sus funciones específicas dentro de la red interna, con el fin de delimitar la extensión de tu iniciativa Zero Trust.
Visibilidad de la red Al obtener visibilidad de los usuarios, los dispositivos, y de las aplicaciones y sus solicitudes de comuniación al interior de tu ecosistema, podrás entender las capacidades de tu red, así como las necesidades para su funcionamiento e integridad.
Control de acceso a la red Lo que sigue es configurar e implementar un mecanismo de autenticación y autorización para los usuarios que caben dentro de los límites de tu red. Nadie (ni usuarios ni dispositivos) que no estén autorizados deben de tener acceso a tu red controlada.
Políticas de segmentación Definir políticas de red basadas en las funciones de los diferentes equipos permite asegurar las comunicaciones requeridas para las operaciones de tu organización.
Zero trust Finalmente, al tener detalladas tus políticas y tus controles, a partir de una visibilidad total de lo que compone a tu red, se debe observar aquello que funciona y no, así como detallar aquello que necesita refinarse y redirigirse. Las políticas de confianza cero funcionan porque no son un proceso terminado sino una labor constante para mantenerse vigente ante aquello que la organización necesite en materia de Ciberseguridad y crecimiento.
Una política zero trust no requiere de una reinvención total de tu infraestructura. Las soluciones más exitosas son aquellas que logran integrarse a las inversiones que ya tienes, con el fin de generar un ecosistema variado y dinámico que permita regular e identificar a usuarios, accesos, contextos y vulnerabilidades.
Zero Trust de Cisco
Cisco es líder en la implementación de herramientas de confianza cero, sus soluciones ofrecen un acercamiento adecuado y adaptable para brindarle a tu ecosistema la seguridad de TI que necesitan. Cisco cuenta con programas que se integran entre sí para tejer una plataforma global de protección:
Duo protege a tu fuerza de trabajo: permite asegurar que solo los usuarios que deben acceder a tu red y tus aplicaciones tengan entrada, sin importar donde estén.
Tetration protege las cargas de trabajo: brinda un candado entre tus aplicaciones, desde las solicitudes de conexión hacia ellas, como el intercambio y acceso hacia tu data center.
SD-Access protege los espacios de trabajo: sea donde sea, asegura la conexión desde los dispositivos y usuarios a lo largo de tu red.
Implementa un modelo basado en seguridad con soluciones adaptables a los contextos diversos que enfrentamos día con día, con herramientas que te permitan establecer modelos de confianza cero para mitigar, detectar y responder a los riesgos de tu entorno. Nordstern te brinda las soluciones más robustas, adaptables y basadas en inteligencia de Cisco, empresa líder en seguridad de TI, implementadas y vigiladas por nuestros analistas.
No confíes, ¡verifica!
Comments