Inicio
Topics
Zero Trust
Actualizado: 20 de junio de 2024
Colaboradores: Gregg Lindemulder, Matthew Kosinski
Zero Trust es una estrategia de seguridad para las redes multinube modernas. En lugar de centrarse en el perímetro de la red, un modelo de seguridad zero trust aplica políticas de seguridad para cada conexión individual entre usuarios, dispositivos, aplicaciones y datos.
Zero trust funciona según el principio de “nunca confiar, siempre verificar” en lugar de otorgar confianza implícita a todos los usuarios dentro de una red. Este enfoque de seguridad granular ayuda a abordar los riesgos de ciberseguridad que plantean los trabajadores remotos, los servicios de nube híbrida, los dispositivos personales y otros elementos de las redes corporativas actuales.
Un número cada vez mayor de organizaciones están adoptando modelos zero trust para mejorar sus posturas de seguridad a medida que crecen sus superficies de ataque. Según un informe del Grupo de Estrategia Empresarial de TechTarget de 2024, más de dos tercios de las organizaciones afirman que están implementando políticas zero trust en sus empresas.1
La evolución de los requisitos legales y reglamentarios también está impulsando la adopción de zero trust. Por ejemplo, una orden ejecutiva de 2021 del presidente de los Estados Unidos, Joseph Biden, ordenaba a todas las agencias federales estadounidenses que implementaran una arquitectura zero trust (ZTA).2
Obtenga conocimientos para gestionar mejor el riesgo de una vulneración de datos con el último informe "Coste de una filtración de datos".
Un enfoque zero trust es importante porque el modelo tradicional de seguridad de red ya no es suficiente. Las estrategias zero trust están diseñadas para las redes más complejas y altamente distribuidas que la mayoría de las organizaciones utilizan hoy en día.
Durante muchos años, las empresas se centraron en proteger los perímetros de sus redes con firewalls y otros controles de seguridad. Los usuarios dentro del perímetro de la red se consideraron fiables y se les otorgó acceso gratuito a aplicaciones, datos y recursos.
La transformación digital eliminó el concepto tradicional de perímetro de red. Hoy en día, las redes corporativas se extienden más allá de las ubicaciones locales y los segmentos de red. El ecosistema empresarial moderno incluye entornos en la nube, servicios móviles, centros de datos, dispositivos IoT, aplicaciones de software como servicio (SaaS) y acceso remoto para empleados, proveedores y socios comerciales.
Con esta superficie de ataque ampliada, las empresas son más vulnerables a las vulneraciones de datos, el ransomware, las amenazas internas y otros tipos de ciberataques. El perímetro de la red ya no es una línea clara e ininterrumpida, y las defensas basadas en el perímetro no pueden cerrar todas las brechas. Además, los actores de amenazas que obtienen acceso a una red pueden aprovechar la confianza implícita para realizar movimientos laterales para localizar y atacar recursos críticos.
En 2010, el analista John Kindervag de Forrester Research introdujo el concepto de zero trust" como un marco para proteger los recursos empresariales a través de un riguroso control de acceso. Zero Trust aleja el foco del perímetro de la red y coloca controles de seguridad en torno a los recursos individuales.
Cada solicitud de endpoint, usuario y conexión se considera una amenaza potencial. En lugar de tener rienda suelta cuando pasan por el perímetro, los usuarios deben estar autenticados y autorizados cada vez que se conectan a un nuevo recurso. Esta validación continua ayuda a garantizar que solo los usuarios legítimos puedan acceder a los valiosos activos de la red.
En el sentido más amplio, una posición de seguridad de zero trust funciona verificando y autenticando continuamente las conexiones entre usuarios, aplicaciones, dispositivos y datos.
Implementar una estrategia zero trust en toda una organización puede ser una tarea compleja. No se trata de instalar una única solución de zero trust. Zero trust requiere la planificación y ejecución en una amplia gama de áreas funcionales, incluidas las políticas de identidad y acceso, las soluciones de seguridad y los flujos de trabajo, la automatización, las operaciones y la infraestructura de red.
Muchas organizaciones siguen marcos específicos zero trust para construir arquitecturas de confianza cero. Los modelos establecidos incluyen el marco zero trust de Forrester, la publicación especial (SP) 800-2073 del Instituto Nacional de Normas y Tecnología (NIST) y el modelo de madurez de confianza cero (ZTMM) de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA).4
Aunque las organizaciones pueden elegir entre varios marcos, la mayoría de las estrategias de zero trust comparten estos conceptos clave: los tres principios de zero trust, los cinco pilares de la confianza cero y el acceso a la red (ZTNA) de zero trust.
Las especificaciones técnicas de los diferentes marcos y modelos pueden variar, pero todos siguen un conjunto básico de principios de zero trust:
- Monitorización y validación continuas
- El principio del privilegio mínimo
- Asumir violación
Zero Trust hace que todos los activos de red sean inaccesibles de forma predeterminada. Los usuarios, los dispositivos y las cargas de trabajo deben pasar la autenticación y validación contextuales continuas para acceder a cualquier recurso, y deben pasar estas comprobaciones cada vez que solicitan una conexión.
Las políticas de control de acceso dinámico determinan si se deben aprobar solicitudes basadas en puntos de datos, como privilegios de un usuario, ubicación física, estado del dispositivo, inteligencia sobre amenazas y comportamiento inusual. Las conexiones se supervisan continuamente y deben reautenticarse periódicamente para continuar la sesión.
En un entorno zero trust, los usuarios y los dispositivos tienen acceso con privilegios mínimos a los recursos. Esto significa que reciben el nivel mínimo de permiso requerido para completar una tarea o cumplir con su función. Esos permisos se revocan cuando finaliza la sesión.
La administración de permisos de esta manera limita la capacidad de los actores de amenazas para obtener acceso a otras áreas de la red.
En una empresa zero trust, los equipos de seguridad asumen que los hackers ya han violado los recursos de la red. Las acciones que los equipos de seguridad suelen utilizar para mitigar un ciberataque en curso se convierten en un procedimiento operativo estándar. Estas acciones incluyen la segmentación de la red para limitar el alcance de un ataque; monitorizar cada activo, usuario, dispositivo y proceso en toda la red; y responder a comportamientos inusuales de usuarios o dispositivos en tiempo real.
El modelo de seguridad Zero Trust de CISA describe4 cinco pilares en los que las organizaciones pueden centrarse durante una implementación de zero trust:
- Identidad
- Dispositivos
- Redes
- Aplicaciones y cargas de trabajo
- Datos
La autenticación de las identidades de los usuarios y la concesión de acceso a esos usuarios solo a los recursos empresariales aprobados es una capacidad fundamental de la seguridad de zero trust.
Las herramientas más comunes que las organizaciones utilizan para este propósito incluyen los sistemas de gestión de identidades y accesos (IAM), las soluciones de inicio de sesión único (SSO) y la autenticación multifactor (MFA).
Todos los dispositivos que se conectan a un recurso de red deben cumplir plenamente con las políticas zero trust y los controles de seguridad de la organización. Esto incluye estaciones de trabajo, teléfonos móviles, servidores, computadoras portátiles, dispositivos IoT, impresoras y otros.
Las organizaciones zero trust mantienen inventarios completos y actualizados de todos los dispositivos terminales autorizados. A los dispositivos no autorizados se les niega el acceso a la red.
Las organizaciones pasan de la segmentación de red tradicional a la microsegmentación en un entorno zero trust. Los recursos y las cargas de trabajo se separan en zonas más pequeñas y seguras, lo que ayuda a las organizaciones a contener mejor las infracciones y prevenir el movimiento lateral. Los actores de amenazas ni siquiera pueden ver los recursos que no están autorizados a utilizar.
Las organizaciones también pueden implementar otros métodos de prevención de amenazas de red, como cifrar el tráfico de red y monitorizar los comportamientos de los usuarios y las entidades.
Como ocurre con cualquier otro elemento de un modelo de seguridad zero trust, las aplicaciones y las interfaces de programación de aplicaciones (API) no tienen confianza implícita.
En lugar de proporcionar acceso estático de una sola vez a las aplicaciones, las organizaciones pasan a la autorización dinámica que requiere una revalidación continua para el acceso persistente. Las organizaciones monitorizan continuamente las aplicaciones que se comunican entre sí para detectar comportamientos inusuales.
Bajo un modelo zero trust, las organizaciones clasifican sus datos para que puedan aplicar políticas específicas de control de acceso y seguridad de datos para proteger la información.
Los datos en tránsito, en uso y en reposo están protegidos mediante encriptación y autorización dinámica. Las organizaciones monitorean continuamente el procesamiento de datos para detectar actividades inusuales que puedan indicar vulneraciones de datos o exfiltración de datos confidenciales.
Una de las principales tecnologías para implementar una estrategia de confianza cero es el acceso a la red zero trust o ZTNA. Al igual que una red privada virtual (VPN), ZTNA proporciona acceso remoto a aplicaciones y servicios. A diferencia de una VPN, un ZTNA conecta a los usuarios solo con los recursos a los que tienen permiso para acceder en lugar de conectarlos a toda la red.
El ZTNA es una pieza clave del modelo de borde de servicio de acceso seguro (SASE), que permite a las empresas ofrecer conexiones directas, seguras y de baja latencia entre los usuarios y los recursos.
Debido a que la arquitectura zero trust impone un control de acceso basado en la identidad, puede ofrecer una protección sólida para entornos híbridos y multinube. A las cargas de trabajo en la nube verificadas se les concede acceso a los recursos cruciales, mientras que se deniegan los servicios y aplicaciones en la nube no autorizados.
Independientemente del origen, la ubicación o los cambios en la infraestructura de TI, zero trust puede proteger sistemáticamente los entornos de nube ocupados.
Las organizaciones a menudo necesitan otorgar acceso a la red a proveedores, contratistas, proveedores de servicios y otros terceros. Los hackers se aprovechan de esta situación para llevar a cabo ataques a la cadena de suministro, en los que utilizan cuentas de proveedores y cargas de trabajo comprometidas para entrar en la red de una empresa.
Zero trust aplica la autenticación contextual continua y el acceso con privilegios mínimos a todas las entidades, incluso a las que están fuera de la red. Incluso si los hackers violan la cuenta de un proveedor de confianza, no pueden acceder a los recursos más confidenciales de la empresa.
Tradicionalmente, las organizaciones confían en las redes privadas virtuales (VPN) para conectar a los empleados remotos con los recursos de red. Pero las VPN no se escalan fácilmente, ni evitan el movimiento lateral.
En un modelo zero trust, las empresas pueden utilizar soluciones de acceso a la red zero trust (ZTNA) en su lugar. ZTNA verifica las identidades de los empleados y luego les otorga acceso solo a las aplicaciones, datos y servicios que necesitan para hacer su trabajo.
Como los dispositivos IoT se conectan a Internet, representan un riesgo para la seguridad de la empresa. Los hackers suelen dirigirse a dispositivos IoT porque pueden utilizarlos para introducir malware en sistemas de red vulnerables.
Las arquitecturas zero trust rastrean continuamente la ubicación, el estado y la condición de todos los dispositivos de IoT de la organización. Cada dispositivo se trata como una entidad potencialmente maliciosa. Al igual que ocurre con otros elementos de un entorno zero trust, los dispositivos de IoT están sujetos a controles de acceso, autenticación y comunicaciones cifradas con otros recursos de la red.
Protege y gestiona las identidades de clientes, trabajadores y usuarios con privilegios en toda la nube híbrida con la ayuda de la IA.
Proteja su infraestructura y su red de las sofisticadas amenazas de ciberseguridad con conocimientos de seguridad probados, experiencia y soluciones modernas.
Proteja los datos en nubes híbridas y simplifique los requisitos de cumplimiento.
Esta sesión sin coste, virtual o presencial, de 3 horas de pensamiento de diseño con arquitectos y consultores senior de seguridad de IBM le ayuda a comprender su panorama de ciberseguridad y a priorizar iniciativas.
La Oficina del CIO de IBM recurrió a IBM Security Verify para la autenticación digital de próxima generación en toda su plantilla y clientes.
Aprenda a mejorar su posición de seguridad y cumplimiento de los datos, incluso a medida que el panorama de la TI se vuelve cada vez más descentralizado y complejo.
Notas a pie de página
Enlaces externos a ibm.com
1 Trends in Zero Trust. Enterprise Strategy Group por TechTarget. Marzo de 2024.
2 Executive Order on Improving the Nation’s Cybersecurity. La casa blanca. 12 de mayo de 2021.
3 NIST SP800-207: Zero Trust Architecture. NIST. Agosto de 2020.
4 CISA Zero Trust Maturity Model. CISA. Abril de 2023.