¿Qué es Zero Trust y por qué es conveniente aplicar esta filosofía de seguridad?
Zero Trust es una iniciativa estratégica de seguridad que ayuda a prevenir violaciones de datos al eliminar el concepto de confianza dentro de la arquitectura de red de una organización. Se basa en algo tan aparentemente simple como el principio de «nunca confiar, siempre verificar».
De esta manera, Zero Trust está diseñada para proteger los entornos digitales modernos aprovechando la segmentación de la red, previniendo el movimiento lateral, proporcionando prevención de amenazas en la capa de aplicación, y simplificando el control granular del acceso de los usuarios.
Zero Trust es un concepto que fue diseñado por John Kindervag cuando era vicepresidente de Forrester Research. La idea surgió al darse cuenta de que los modelos de seguridad tradicionales funcionaban bajo el supuesto de que todo lo que está dentro de la red de una organización debe ser de confianza. Eso es algo que se ha quedado ciertamente obsoleto.
Cada vez son más las evidencias, y están más claras, de que es bastante accesible poner en cuestión la seguridad de una red corporativa desde dentro. Existen decenas de posibilidades para hacerlo, desde una red Wi-Fi insegura, un dispositivo mal configurado, una contraseña trivial o, el punto quizás más comprometido, la posibilidad de aplicar técnicas de ingeniería social a los empleados.
Un estudio de Positive Technologies, publicado en 2018, reveló cómo de vulnerables son los propios empleados de una empresa ante ataques relativamente sencillos de ingeniería social. Probaron a enviar más de 3.000 emails en diversos ataques de prueba, y en esos emails incluyeron enlaces a sitios de phishing falsos, adjuntaron archivos con permiso de ejecución (inocuos) y otras prácticas.
Encontraron que el 26% de los empleados hizo clic en un enlace a un sitio web de phishing, además de que aproximadamente el 50% de ellos y casi la mitad de ellos introdujeron sus credenciales en un formulario de autenticación falso. El 15% de los empleados abrió un archivo malicioso adjunto a un correo electrónico y el 12% estaban dispuestos a comunicarse con los intrusos.
Eso nos da una idea bastante aproximada de cómo de vulnerable es una red corporativa cuando se supone que todos los elementos (incluidos los empleados) son 100% confiables.
La «desconfianza por defecto», así es Zero Trust
El modelo de seguridad tradicional, ya obsoleto, asume que la identidad de un usuario no está comprometida y que todos los usuarios actúan responsablemente y se puede confiar en ellos. Por el contrario, el «modelo de confianza cero», o Zero Trust, reconoce que la confianza es una vulnerabilidad principal.
Una vez dentro de la red, los usuarios (entre los que podemos incluir a los agentes de la amenaza, como archivos o enlaces, y a los usuarios malintencionados) tienen completa libertad de movimientos en todas las «direcciones» y, así, acceder a los datos, o extraerlos, ya que nada los limita, salvo los permisos específicos del usuario comprometido.
Para establecer el modelo Zero Trust en una organización, es necesario hacer un análisis previo y determinar, entre otras cosas, la «superficie de protección». Esta superficie está compuesta por los datos, los activos, las aplicaciones y los servicios más críticos y valiosos que tenemos. Estas superficies son únicas dentro de cada organización y empresa, y ya que contiene sólo lo más crítico para las operaciones de una organización, la superficie de protección es mucho más pequeña que la superficie de ataque. Además, siempre se conoce.
Con ella identificada, es necesario identificar cómo se mueve el tráfico a través de la organización, comprender quiénes son los usuarios, qué aplicaciones están usando y cómo se están conectando. Esa es la única manera de determinar y aplicar una política que garantice el acceso seguro a los datos.
Una vez comprendidas todas las interdependencias, se establecerán controles lo más cerca posible de la superficie protegida, creando un microperímetro a su alrededor. Este microperímetro, además, se mueve con la superficie protegida, dondequiera que vaya.
De esta manera, la seguridad de confianza cero implica que no se confía en nadie por defecto, ni dentro ni fuera de la red, y que se requiere la verificación segura de todos los que intentan acceder a los recursos de la red.
Como Product Manager en Arsys, ha liderado el desarrollo de innovadores productos digitales. Especializado en SaaS y desarrollo de productos, su formación en Ciencias de la Computación y un máster en Inteligencia Artificial le permiten estar siempre a la vanguardia de la tecnología.