Multiplicación de servicios SaaS, proliferación de objetos conectados, complejización del entorno de trabajo híbrido… Para asegurar este universo, Zero Trust surge como un nuevo enfoque, un nuevo paradigma de ciberseguridad que hace de la desconfianza una postura por defecto…
Teletrabajo, internacionalización, sombra TI, conexiones móviles, objetos conectados, redes abiertas… El mundo empresarial contemporáneo es nómada, multisoporte, sobreconectado. Ordenadores, teléfonos profesionales o particulares, impresoras, cámaras de vigilancia, todo ello salpicado de un repunte del teletrabajo… el peligro puede venir de cualquier parte. Por lo tanto, el tema de la seguridad de los datos nunca ha sido tan fundamental.
Así, la creciente complejidad del entorno laboral hace necesaria la adaptación de las ciberdefensas. Uno de los componentes básicos de la ciberseguridad es el punto de intersección entre un cierto grado de confianza que se debe asignar y una persona a quien otorgar esta confianza. La apertura integral de los Sistemas de Información producida por la multitud de objetos conectados que tienen acceso a ellos hace que esta atribución de confianza sea muy problemática, si no imposible, de definir. La confianza cero ahora está en orden.
Para definir este modelo, atrevámonos a usar la metáfora deportiva: la evolución de las estrategias de ciberseguridad es comparable a la de las defensas en el fútbol. Para marcar, el equipo atacante buscará desbaratar el marcaje del equipo defensor. Dos estrategias principales están entonces disponibles para los defensores: marcación individual o defensa en zona. La defensa de zona, en el lenguaje de la ciberseguridad, sería defensa perimetral: un espacio está protegido, pero una vez que el individuo ha ingresado al perímetro seguro, el control disminuye, se vuelve más flexible o incluso desaparece. Por su parte, el marcaje individual es similar a las estrategias de confianza cero: es el individuo quien es observado de cerca, verificado, marcado.
De la evitación a la confrontación
El peligro viene del ser humano. Intencional o no, malicioso o ingenuo, está en el origen de la mayoría de los ciberataques. Último baluarte de la cadena de seguridad cuando el ataque ha superado todas las defensas tecnológicas, es él quien, la mayor parte de las veces, abre la puerta de los Sistemas de Información a los ciberdelincuentes. El primer fundamento de las estrategias de confianza cero es, por lo tanto, un principio de realidad: los ataques ocurrirán, pero sobre todo tendrán éxito. Terminadas las quimeras de una fortaleza inexpugnable. Enciende los sueños de un mundo perfecto donde ya no existiría el escape. Una sola certeza: los atentados se han producido, se producen, se producirán. No más condicionales, todo en indicativo. Cuestión de probabilidades. En las estrategias de ciberdefensa anteriores, el desafío era protegerse contra los ataques. La defensa perimetral, equiparable a una fortaleza, aplicada para proteger, como su nombre lo indica, un perímetro. Pero una vez que se abrió una brecha en la fortaleza, el enemigo dentro de los muros tuvo mucho tiempo para moverse a este espacio recién conquistado y causar mucho daño.
Las estrategias basadas en la confianza cero captan la amenaza de manera muy diferente : en lugar de considerar la fortaleza como inexpugnable, es necesario anticipar la brecha. Ahora se centran en reducir el impacto de estos ataques, en lugar de evitarlos.
Los límites del entorno tecnológico de una empresa han evolucionado tan rápidamente como las amenazas. Por lo tanto, las estrategias de ciberdefensa deben adaptarse a estas nuevas fronteras. El enfoque de Sistemas de Información es más sensible, especialmente porque se enfoca de manera muy precisa en los factores de riesgo en lugar de una consideración empírica y teórica de la ciberseguridad. El análisis es así más fino, más adaptado al entorno de la empresa. Identificar fallas es el primer paso para aceptar su existencia, para comprender mejor la mejor manera de reaccionar.
El primer elemento constitutivo de una estrategia de confianza cero es, por tanto, la auditoría minuciosa y continua de todos los puntos de acceso al entorno que deben protegerse. Comenzando con la impresora que todavía tiene su código de conexión predeterminado…
A la auditoría le sigue una fase de control de cada equipo y el establecimiento de una ruta de acceso basada en la autenticación continua de cada elemento que penetra y navega dentro del sistema protegido. Luego, monitorearemos continuamente los comportamientos de riesgo y el uso de herramientas por parte del usuario (gracias a la Inteligencia Artificial y el aprendizaje automático en la nube pública, que permiten identificar estos riesgos y tomar las medidas adecuadas a tiempo). Más que una tecnología, es un método de gobernanza.
¿Se ha convertido la confianza en una ilusión?
Si bien la defensa del perímetro brinda seguridad general, las estrategias de defensa de confianza cero se enfocan en todos los componentes del entorno a proteger. Sin embargo, como hemos visto, con la proliferación de objetos conectados, el entorno digital de una empresa está cada vez más expuesto a riesgos. Es el fin de la confianza ciega y el advenimiento de la desconfianza por defecto.
Todo está en el nombre: confianza cero. En términos de ciberseguridad, las estrategias efectivas ya no pueden basarse en la confianza. Las grietas son demasiado grandes, los ataques demasiado numerosos. La confianza es una dimensión fundamental de las relaciones gerenciales y, sin embargo, por sí sola no puede ser el cemento de una arquitectura digital. ¿Cuántas contraseñas inseguras se establecen? ¿Cuántas aplicaciones descargan y utilizan los equipos sin la validación previa del departamento de TI de la empresa? ¿Cuántas páginas de términos de uso se han desplazado hasta la casilla «marque aquí para dar su consentimiento» sin siquiera haberlas leído?
Al asumir una ruptura total con las metodologías de defensa anteriores, las estrategias de confianza cero redefinen los cimientos de la ciberseguridad y su lugar en el negocio. Desplazan la confianza de su pedestal, para relegarla a un segundo plano, detrás de la seguridad de los datos y sistemas de información. Considerada (quizás erróneamente) como un pilar de la empresa, la confianza ya no es suficiente y solo se otorgará luego de la implementación de protocolos de autenticación fuerte (MFA, sin contraseña), acceso condicional y planes de contingencia.
Este cambio de paradigma va mucho más allá de los Sistemas de Información. Induce una nueva relación entre la organización y las personas que la componen, además de un aumento de las competencias de todos los equipos en temas de seguridad informática. Como los primeros factores de riesgo, las primeras brechas potenciales, estos equipos deben comprender y aceptar las vulnerabilidades abiertas por el uso de herramientas digitales. Es un requisito sin el cual ninguno éxito de las estrategias de confianza cero. Así, al obligar a redefinir las relaciones entre los empleados, pero también con los socios de la empresa, la ciberseguridad se convierte en la autoridad de referencia, una forma de súper DRH 2.0.
Sin embargo, no hay que confundir el fin de la confianza con una vigilancia excesiva.. Las estrategias de confianza cero no otorgan todos los derechos. También son, en cierto modo, “perimétricos”: simplemente redefinen el ámbito de actuación y los protocolos de acceso e identificación de los usuarios de un sistema informático y sus componentes. Además, encajan a la perfección con todos los estándares del RGPD y con los protocolos de defensa más tradicionales. Cuando un empleado está conectado a una red en las instalaciones y en un dispositivo de la empresa, que está correctamente identificado, que su comportamiento no presenta ningún riesgo, las solicitudes de autenticación serán necesariamente menos recurrentes que si utiliza su teléfono móvil conectándose a la red wifi abierta de una estación. También serán menos restrictivos. Por lo tanto, la seguridad que se adapta a las condiciones de trabajo garantiza una mejor productividad manteniendo una mayor seguridad. Pero no es porque tenga un uso profesional de un dispositivo personal que todo su contenido deba estar abierto a la DSI de su empleador. De ahí la importancia de volver a los conceptos básicos de las estrategias de confianza cero: se trata de sensibilidad y cursor.
Finalmente, los desafíos de estas estrategias se relacionan tanto con la seguridad de los datos como con el equilibrio a (re)encontrar entre equipos, socios y contextos. El fin del fideicomiso “por defecto” no excluye el fideicomiso total. Por el contrario, una vez concedido, es aún más fuerte que antes… A partir de ahora, desafío y confianza ya no son realmente antónimos.
Una famosa marca de electrodomésticos (un mundo cada vez más conectado) ha basado su éxito en el “contrato de confianza”.
En la era de la ciberseguridad, ahora es otro contrato el que se impone: el contrato de no confianza.
____________________________
ParqueEdric MinneEspacio de trabajo colaborativo del líder del equipo Prodware
Para obtener más información sobre la confianza cero:
Sobre el uso de la palabra “Zero” en el enfoque Zero Trust
De camino a la Confianza Cero
Seguridad: un nuevo enfoque Zero Trust para centrarse en el bienestar de los empleados
¡Zero Trust no es un producto!
Zero Trust, un modelo de seguridad adaptado a la era del trabajo híbrido
Lea también:
Microsoft Power Platform: RIP Excel?
ERP y automatización: la empresa con esteroides
Building & digital twins: la ecología es más que una fachada
Los datos durmientes deben agitarse para despertar el valor
Código bajo y euforia de alturas tecnológicas
¡Conciliar profesiones en torno a Business Intelligence es posible!
[
