El 2020, las redes y toda tecnología emergente que pueda estar enlazada se caracterizará por tres cosas: seguridad, seguridad y seguridad. Vamos a comentar en detalle acerca del modelo Zero Trust que, más allá de ser un modelo de trabajo que gana cada vez más adeptos, es una manera de pensar que define la integridad de los datos que están siendo manejados en la red a la cual nos conectamos.
Ya hemos hablado de las VPN Zero Trust y cómo se enfoca en el hecho de no confiar en nadie, tanto dentro como fuera de la red privada. Sin embargo, esto no es un concepto que se aplica solamente a este caso. Zero Trust es una forma de trabajar, pensar y actuar. Brinda la visibilidad necesaria a las personas que trabajan en IT sobre todo lo que necesitan saber para asegurar, gestionar y monitorizar tanto a los dispositivos, usuarios y aplicaciones de la red. La meta principal es restringir acceso a datos sensibles, aplicaciones y dispositivos de acuerdo a la necesidad de cada caso.
La estrategia de este modelo se orienta a controlar tanto el tráfico que sale como el que ingresa a la red. Lo que le distingue de otras formas de trabajar es que incluso el tráfico que se genera internamente, dentro de la propia red, debe ser considerado como una amenaza. Algunas personas lo pueden considerar como una metodología con enfoque extremo y rudo, pero, sin embargo, los años pasan y ZeroTrust está asegurando su lugar como factor común a la hora de garantizar la seguridad de las redes.
En todo este tiempo, hemos sido testigos de miles de filtraciones de datos y vulnerabilidades que dejan en evidencia que ciertos datos pueden ser accesibles por cualquier persona. Por otro lado, el ransomware es responsable de haber detenido la operativa de varias compañías e instituciones alrededor del mundo, además de haber puesto en riesgo la situación económica de muchas personas, a cambio de recuperar sus ansiados archivos.
Autenticación de usuarios y políticas de acceso
Se basa en la correcta implementación de la autenticación multi-factor en conjunto con una estructura de políticas de seguridad que confirmen a qué recursos los usuarios pueden acceder. Existen casos de compañías que optan por el SSO (Single Sign On o Ingreso Sencillo) que están administrados por proveedores de servicios en la nube. Esto último se conoce como IDaaS, es decir, Identity-as-a-Service (Identidad como Servicio). En el modelo Zero-Trust, el acceso a los recursos es protegido mediante lo siguiente: el contexto de la solicitud y el riesgo que genera en el caso de conceder permiso. La concesión de estos permisos puede significar un acceso limitado a las funcionalidades de los recursos que estamos administrando, también se añade una capa más de autenticación antes de conceder el permiso, o la definición de un tiempo determinado en que la conexión a la red terminará automáticamente.
Segmentación de datos y recursos
Una apropiada segmentación de recursos entre los distintos usuarios va a permitir que las políticas de seguridad implementadas sean de utilidad. Ya no es fiable brindar un acceso único y que todo usuario que esté dentro de la red pueda tener acceso a cualquier recurso sin restricción alguna. Esto representaría una multitud de riesgos, especialmente de filtración de datos personales.
Recordemos que, dentro de una organización, los propios colaboradores representan el principal riesgo. ¿Por qué esto es así? Porque cualquier persona que trabaje en una empresa, sin importar la función que ocupe, tiene bajo su responsabilidad uno o más activos de la empresa. Ese activo está en riesgo constante tanto dentro como fuera de la oficina.
Lo mismo se aplica para los datos personales. Nosotros mismos representamos el mayor riesgo para nuestros datos. Estos están expuestos en todo momento, especialmente cuando los manipulamos desde nuestro móvil. Si no tomamos las correctas medidas de seguridad, puede ser que, en cuestión de segundos, nuestros datos queden vulnerados o los perdamos por completo.
Seguridad de los datos
Uno de los focos del modelo Zero Trust es la seguridad de los datos. La aplicación de la encriptación End-to-End es una de las medidas de seguridad que resultan cada vez más necesarias de aplicar. Ya no basta con encriptar los datos al momento de enviarlos o de recibirlos. También en tránsito y al momento de ser procesados, no deberían ser tratados siendo texto plano pues esto da luz verde a filtraciones no deseadas.
Las copias de seguridad automatizadas garantizan la disponibilidad de los datos en el momento en que los necesitemos. Es crucial que estas copias se generen al menos con un régimen semanal. Si hubiese algún tipo de inconveniente con el ordenador de nuestro puesto de trabajo y se ven afectados nuestros archivos, la última copia de seguridad puede salvarnos de más de un problema. A nadie le agrada tener que empezar de cero cualquier documento.
Los cibercriminales generan cada vez más impacto. Lo hacen directamente con la acción, sin previo aviso y tan sólo con sus ataques. Tus datos son el activo más importante y valioso para ellos.
Los principales desafíos del modelo Zero Trust
Tal vez el par de desafíos más importantes y valga la redundancia, desafiantes, consiste en los usuarios y los datos. Los tipos de usuarios son diversos y así también, las necesidades de cada uno. Es necesario que, como personas involucradas en seguridad informática, comprendamos la importancia de cubrir la mayor cantidad de tipos de usuarios posible. Ya que un permiso concedido de forma indebida, representa un gran problema.
Es posible que no lo percibamos así, pero si realizamos actividades laborales o simplemente, manejamos información personal muy sensible estando conectados a una red pública, estamos exponiéndolo todo. Podemos decir sin temor al error que, si aún no fuiste víctima de algún ciberataque, tienes mucha suerte.
Por otro lado, y haciendo énfasis a los datos, no es suficiente que nosotros apliquemos la conciencia de seguridad y otras medidas de protección más. Las organizaciones, especialmente el área de IT, deben ponerse al día para planificar e implementar soluciones que garanticen la seguridad de los datos que están allí almacenados. Al fin y al cabo, en en sus servidores o bien, en varios servidores remotos es donde se encuentran los datos de todos.
Sólo es cuestión de unos años para que el modelo Zero Trust se consolide por completo, afianzando su orientación a los usuarios y a los datos. Suena rudo, pero el lema es: no confíes en nada ni nadie. Los grandes ciberataques no van a detenerse y tanto las personas como las organizaciones deben estar preparadas.
