Zero Trust, el modelo de ciberseguridad basado en la confianza cero que triunfa entre las empresas

El 89% de las empresas españolas que tienen alojados sus recursos en la nube están apostando por implantar una arquitectura de ciberseguridad Zero Trust, o lo que es lo mismo, un modelo de confianza cero. Y es que actualmente nos encontramos sumergidos en un escenario en el que todo está digitalizado e interconectado, de tal modo que la vulnerabilidad empresarial pudiese aparecer en cualquier momento, a través de cualquier fisura, y eso es lo que los responsables de TI quieren evitar.

De hecho, el 22% de los expertos TI aseguran que sus empresas cuentan con un férreo sistema de ciberseguridad Zero Trust. En este sentido, Hervé Lambert, Global Consumer Operations Manager de la empresa de seguridad para endopoints, Panda Security, afirma que “este enfoque es eficaz y que ayuda a mejorar la seguridad de las redes y protegerlas frente a amenazas internas y externas. De tal modo que debe ser puesto en funcionamiento de inmediato”.

Así mismo, Lambert asegura que los gobiernos y administraciones públicas deben ser de los primeros en aplicar estas medidas de ciberseguridad al ser los principales objetivos de cibercriminales. Al funcionar todo a partir de un sistema centralizado al que se conectan todo tipo de equipos y de dispositivos, cualquier mínimo error podría provocar la entrada de una nueva amenaza.

Un escenario cambiante

Anteriormente la seguridad perimetral tradicional dependía de firewalls, VPN y gateways, pero con la evolución de los dispositivos móviles de los empleados y a raíz de la conexión de estos a la red, los perímetros empezaron a verse mermados, y más aún con la implantación del cloud y los dispositivos IoT. Dicho esto, el modelo Zero Trust se presenta como una desconfianza total hacia la red, pues parte de la premisa de que ningún dispositivo puede ser de confianza por defecto, sino que todos deben sobrepasar una serie de verificaciones antes de acceder a los recursos de la red. Por tanto, se solicitará una autenticación y autorización para cada solicitud de acceso.

Al final, la mejora y perfeccionamiento de los ataques de los hackers con la incorporación de la ingeniería social lleva a las empresas a perfeccionar sus sistemas de seguridad. En este sentido, Lambert aconseja a las empresas a hacerse una serie de preguntas para saber si precisan de un modelo Zero Trust: ¿se poseen recursos y capacitación técnica humana para detener un ataque de ransomware o fugas de datos? ¿se conocen los puntos vulnerables del sistema de seguridad de la empresa? ¿cuántas personas pueden acceder a la información confidencial y comprometer datos de propiedad intelectual? En ese caso, si no existen respuestas contundentes a dichas cuestiones, habrá que implantar un modelo de protección Zero Trust.

Aplicación del modelo Zero Trust

Una vez que la empresa se ha decidido por incorporar un modelo de seguridad Zero Trust y blindarse frente a cualquier tipo de ciberamenaza que pudiese originarse, sería conveniente establecer una serie de pasos encadenados para que cobrase el máximo efecto.

• Autenticación multifactor (MFA): Garantizará la protección de la identidad digital mediante mecanismos como factor del conocimiento (con información que solo sabe el usuario, como una contraseña), factor de posesión (como un dispositivo concreto), factor de inherencia (según las características biométricas de la persona, como la huella digital o el escaneo de retina).
• Microsegmentación: Dividir los perímetros de seguridad en zonas más acotadas y reducidas hasta establecer un mayor control sobre los datos almacenados. D este modo, se crearían listas de usuarios y direcciones IP específicas que darían acceso a una parte muy específica de la red.
• Incorporación de APIs: Si se siguen una serie de protocolos básicos en el desarrollo de los softwares de las aplicaciones se lograrán conectar con plena seguridad todos los servicios básicos y adquirir informaciones conjuntas sobre el comportamiento y acceso del usuario en las aplicaciones y las redes.
• Formar al personal: Todos los trabajadores de la compañía deberán proteger la seguridad de datos, redes, usuarios, aplicaciones y dispositivos, velando por el cumplimiento de la política Zero Trust de la empresa. De este modo, cada usuario deberá monitorear la actividad en su red y realizar informes regulares sobre cualquier anomalía para contribuir en la detección a tiempo de posibles riesgos futuros.
• Validar todos los dispositivos: Se debe desconfiar de cualquier dispositivo que no se haya verificado previamente y registrado en el sistema, ya que solo así se podrá conocer la ruta de acceso.

No existe como tal un método único para que se pueda aplicar correctamente la política Zero Trust, pues dependerá de los mecanismos de ciberseguridad que establezca cada empresa y del enfoque que se le pretenda dar, aunque será prioridad que fuese implantado de manera inminente frente a la vulnerabilidad que supone la conectividad constante.

La entrada Zero Trust, el modelo de ciberseguridad basado en la confianza cero que triunfa entre las empresas es original de MuySeguridad. Seguridad informática.