Aplicación de la confianza cero
El control de acceso efectivo se convierte en una consideración clave en la aplicación de la confianza cero.
Timur Kovalev, director de tecnología de Untangle, un proveedor de seguridad de red para pymes, explica que incluso antes de la guerra en Ucrania, el trabajo híbrido y el creciente número de riesgos de ciberseguridad hicieron que las empresas adoptaran estrategias de confianza cero.
“Ahora, con la posibilidad de más ataques cibernéticos rusos, la confianza cero tiene sentido para las empresas que desean proteger sus entornos digitales”, dice. “El principio clave es que, en lugar de primero hacer que los servicios estén disponibles y luego bloquear el acceso a esos servicios, no se otorga ningún acceso a menos que se otorgue de manera específica y deliberada”.
En esencia, la confianza cero utiliza la microsegmentación para dividir los perímetros de seguridad en zonas pequeñas para crear puntos de acceso separados para partes separadas de la red.
Si bien se puede otorgar acceso a una zona, el acceso a otras zonas requiere una autorización por separado. Las políticas a menudo se establecen para dar a los usuarios la menor cantidad de acceso necesaria para completar una tarea.
El director de productos de SecZetta, Richard Bird, dice que el primer paso para los líderes de seguridad de TI es simplemente ser intelectualmente honestos.
“Las empresas y organizaciones deben confrontar honestamente el hecho de que sus estrategias de seguridad actuales no están funcionando”, dice. “Tienen una gran cantidad de elementos desconocidos dentro de sus sistemas: actividades desconocidas, identidades desconocidas, accesos desconocidos”.
Elimina lo desconocido
El próximo paso que todo líder de seguridad debe adoptar en su viaje de confianza cero es eliminar las incógnitas dentro de sus sistemas y procesos.
“Los líderes de TI necesitan realmente liderar en tiempos como estos al cuestionar enérgicamente la efectividad de su marco y arquitectura de seguridad actual”, dice Bird.
La confianza cero emplea otras medidas de seguridad, como agregar autenticación de dos factores, administración de identidad y acceso (IAM) y otros métodos de verificación, o mediante el uso de un proveedor de identidad para que toda la autenticación y autorización se administre de manera centralizada.
Kovalev dice que los líderes de seguridad de TI deben comprender que la confianza cero no es una plataforma o un dispositivo, sino una iniciativa para proteger los entornos digitales basada en el principio clave basado en el bloqueo del acceso.
“Para una empresa que busca establecer una solución de confianza cero, los líderes deben ser conscientes de que la confianza cero no requiere un tipo de infraestructura completamente nuevo con una solución nueva y costosa”, dice. “Es factible aprovechar las inversiones que las empresas ya han realizado”.
Bird agrega que los líderes de TI pueden expresar los beneficios de la confianza cero al ser francos con sus pares de negocios y sus directorios al explicarles que mantener el statu quo de seguridad es una estrategia de esperanza y suerte, y que es hora de probar algo diferente.
“Algo diferente no requiere gastar una tonelada de dinero en nuevas tecnologías”, dice. “La confianza cero simplemente requiere que vuelva a pensar cómo aplica los controles de seguridad de una manera que elimine la confianza generalizada y persistente que se extiende a través del acceso al sistema”.
INICIO