¿Qué es zero trust?

Zero trust funciona según el principio de “nunca confiar, siempre verificar” en lugar de otorgar confianza implícita a todos los usuarios dentro de una red. Este enfoque de seguridad granular ayuda a abordar los riesgos de ciberseguridad que plantean los trabajadores a distancia, los servicios de cloud híbrido, los dispositivos personales y otros elementos de las redes corporativas actuales.

Un número cada vez mayor de organizaciones están adoptando modelos zero trust para mejorar sus posiciones de seguridad a medida que crecen sus superficies de ataque. Según un informe del Grupo de Estrategia Empresarial de TechTarget de 2024, más de dos tercios de las organizaciones afirman que están implementando políticas zero trust en sus empresas¹.

La evolución de los requisitos legales y reglamentarios también está impulsando la adopción de zero trust. Por ejemplo, una orden ejecutiva de 2021 del presidente de los Estados Unidos, Joseph Biden, ordenaba a todas las agencias federales estadounidenses que implementaran una arquitectura zero trust (ZTA).²

Un enfoque zero trust es importante porque el modelo tradicional de seguridad de red ya no es suficiente. Las estrategias zero trust están diseñadas para las redes más complejas y altamente distribuidas que la mayoría de las organizaciones utilizan hoy en día.

Durante muchos años, las empresas se centraron en proteger los perímetros de sus redes con firewalls y otros controles de seguridad. Los usuarios dentro del perímetro de la red se consideraron fiables y se les otorgó acceso gratuito a aplicaciones, datos y recursos.

La transformación digital eliminó el concepto tradicional de perímetro de red. Hoy en día, las redes corporativas se extienden más allá de las ubicaciones locales y los segmentos de red. El ecosistema empresarial moderno incluye entornos en la nube, servicios móviles, centros de datos, dispositivos IoT, aplicaciones de software como servicio (SaaS) y acceso remoto para empleados, proveedores y Business Partners.

Con esta superficie de ataque ampliada, las empresas son más vulnerables a las vulneraciones de datos, el ransomware, las amenazas internas y otros tipos de ciberataques. El perímetro de la red ya no es una línea clara e ininterrumpida, y las defensas basadas en el perímetro no pueden cerrar todas las brechas. Además, los actores de amenazas que obtienen acceso a una red pueden aprovechar la confianza implícita para realizar movimientos laterales para localizar y atacar recursos críticos.

En 2010, el analista John Kindervag de Forrester Research introdujo el concepto de zero trust" como un marco para proteger los recursos empresariales a través de un riguroso control de acceso. Zero Trust aleja el foco del perímetro de la red y coloca controles de seguridad en torno a los recursos individuales.

Cada solicitud de endpoint, usuario y conexión se considera una amenaza potencial. En lugar de tener rienda suelta cuando pasan por el perímetro, los usuarios deben estar autenticados y autorizados cada vez que se conectan a un nuevo recurso. Esta validación continua ayuda a garantizar que solo los usuarios legítimos puedan acceder a los valiosos activos de la red.

En el sentido más amplio, una posición de seguridad de zero trust funciona verificando y autenticando continuamente las conexiones entre usuarios, aplicaciones, dispositivos y datos.

Implementar una estrategia zero trust en toda una organización puede ser una tarea compleja. No se trata de instalar una única solución de zero trust. Zero trust requiere la planificación y ejecución en una amplia gama de áreas funcionales, incluidas las políticas de identidad y acceso, las soluciones de seguridad y los flujos de trabajo, la automatización, las operaciones y la infraestructura de red.

Muchas organizaciones siguen marcos específicos zero trust para construir arquitecturas de confianza cero. Los modelos establecidos incluyen el marco zero trust de Forrester, la publicación especial (SP) ^800-2073 del Instituto Nacional de Normas y Tecnología (NIST) y el modelo de madurez de confianza cero (ZTMM) de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA)^.4

Aunque las organizaciones pueden elegir entre varios marcos, la mayoría de las estrategias de zero trust comparten estos conceptos clave: los tres principios de zero trust, los cinco pilares de la confianza cero y el acceso a la red (ZTNA) de zero trust.

Las especificaciones técnicas de los diferentes marcos y modelos pueden variar, pero todos siguen un conjunto básico de principios de zero trust:

• Monitorización y validación continuas
• El principio del privilegio mínimo
• Supuesto de vulneración

Zero Trust hace que todos los activos de red sean inaccesibles de forma predeterminada. Los usuarios, los dispositivos y las cargas de trabajo deben pasar la autenticación y validación contextuales continuas para acceder a cualquier recurso, y deben pasar estas comprobaciones cada vez que solicitan una conexión.

Las políticas de control de acceso dinámico determinan si se deben aprobar solicitudes basadas en puntos de datos, como privilegios de un usuario, ubicación física, estado del dispositivo, inteligencia sobre amenazas y comportamiento inusual. Las conexiones se supervisan continuamente y deben reautenticarse periódicamente para continuar la sesión.

En un entorno zero trust, los usuarios y los dispositivos tienen acceso con privilegios mínimos a los recursos. Esto significa que reciben el nivel mínimo de permiso requerido para completar una tarea o cumplir con su función. Esos permisos se revocan cuando finaliza la sesión.

La administración de permisos de esta manera limita la capacidad de los actores de amenazas para obtener acceso a otras áreas de la red.

En una empresa zero trust, los equipos de seguridad asumen que los hackers ya han violado los recursos de la red. Las acciones que los equipos de seguridad suelen utilizar para mitigar un ciberataque en curso se convierten en un procedimiento operativo estándar. Estas acciones incluyen la segmentación de la red para limitar el alcance de un ataque; monitorizar cada activo, usuario, dispositivo y proceso en toda la red; y responder a comportamientos inusuales de usuarios o dispositivos en tiempo real.

El modelo de seguridad Zero Trust de CISA describe⁴ cinco pilares en los que las organizaciones pueden centrarse durante una implementación de zero trust:

1. Identidad
2. Dispositivos
3. Redes
4. Aplicaciones y cargas de trabajo
5. Datos

Una de las principales tecnologías para implementar una estrategia de confianza cero es el acceso a la red zero trust o ZTNA. Al igual que una red privada virtual (VPN), ZTNA proporciona acceso remoto a aplicaciones y servicios. A diferencia de una VPN, un ZTNA conecta a los usuarios solo con los recursos a los que tienen permiso para acceder en lugar de conectarlos a toda la red.

El ZTNA es una pieza clave del modelo de borde de servicio de acceso seguro (SASE), que permite a las empresas ofrecer conexiones directas, seguras y de baja latencia entre los usuarios y los recursos.

Debido a que la arquitectura zero trust impone un control de acceso basado en la identidad, puede ofrecer una protección sólida para entornos híbridos y multinube. A las cargas de trabajo en la nube verificadas se les concede acceso a los recursos cruciales, mientras que se deniegan los servicios y aplicaciones en la nube no autorizados.

Independientemente del origen, la ubicación o los cambios en la infraestructura de TI, zero trust puede proteger sistemáticamente los entornos de nube ocupados.

Las organizaciones a menudo necesitan otorgar acceso a la red a proveedores, contratistas, proveedores de servicios y otros terceros. Los hackers se aprovechan de esta situación para llevar a cabo ataques a la cadena de suministro, en los que utilizan cuentas de proveedores y cargas de trabajo comprometidas para entrar en la red de una empresa.

Zero trust aplica la autenticación contextual continua y el acceso con privilegios mínimos a todas las entidades, incluso a las que están fuera de la red. Incluso si los hackers violan la cuenta de un proveedor de confianza, no pueden acceder a los recursos más confidenciales de la empresa.

Tradicionalmente, las organizaciones confían en las redes privadas virtuales (VPN) para conectar a los empleados remotos con los recursos de red. Pero las VPN no se escalan fácilmente, ni evitan el movimiento lateral.

En un modelo zero trust, las empresas pueden utilizar soluciones de acceso a la red zero trust (ZTNA) en su lugar. ZTNA verifica las identidades de los empleados y luego les otorga acceso solo a las aplicaciones, datos y servicios que necesitan para hacer su trabajo.

Como los dispositivos IoT se conectan a Internet, representan un riesgo para la seguridad de la empresa. Los hackers suelen dirigirse a dispositivos IoT porque pueden utilizarlos para introducir malware en sistemas de red vulnerables.

Las arquitecturas zero trust rastrean continuamente la ubicación, el estado y la condición de todos los dispositivos de IoT de la organización. Cada dispositivo se trata como una entidad potencialmente maliciosa. Al igual que ocurre con otros elementos de un entorno zero trust, los dispositivos de IoT están sujetos a controles de acceso, autenticación y comunicaciones cifradas con otros recursos de la red.