Reflexiones: Implementación de Zero Trust
John Kindervag desarrolló originalmente el modelo Zero Trust allá por el año 2010.
Kindervag como analista principal de Forrester Research, se dio cuenta que los modelos de acceso tradicionales operaban sobre la suposición obsoleta de que las organizaciones deberían confiar en todo dentro de sus redes.
La idea era que la seguridad basada en el perímetro sería suficiente para validar el acceso de los usuarios y proteger la red por completo. Pero a medida que más trabajadores comenzaron a acceder de forma remota a los sistemas a través de todo tipo de dispositivos y todo tipo de conexiones, esta estructura de confianza resultó insuficiente para administrar de manera efectiva una fuerza laboral distribuida.
Kindervag reconoció esta vulnerabilidad y desarrolló Zero Trust en respuesta al hallazgo. Esta propuesta está basada en tres pilares: segmentación, control de acceso y visibilidad.
Zero Trust (ZT) es una filosofía, una mentalidad y un método, no una tecnología. Adoptar ZT se impulsado en la necesidad urgente y creciente de gestionar riesgos de una forma diferente, más segmentada y de contener ataques y amenazas más proactiva y eficientemente. Al final del día, el éxito en ciberseguridad se mide por la más baja proporción posible de incidentes significativos de ciberseguridad.
Otra cosa que se debe tener presupuestada es que ZT toca todo; desde el onboarding, la gestión de la identidad, el control de aplicaciones, la seguridad en las redes, en los datos y hasta en los dispositivos incluso los de usuario final externo. No obstante; es muy mala idea comerse el pastel de un solo bocado, por lo que el mejor enfoque es comenzar conociendo el panorama general, el estado de la cuestión; luego segmentar la tarea tomando como segundo paso desarrollar una arquitectura deseable.
Recordemos con humildad que tenemos una enorme deuda técnica en el entorno, aunque nos sintamos dioses del olimpo; tenemos la urgencia de mudarnos a ZT para eliminar esa deuda lo antes posible y en un alto grado usando ZT como un catalizador. Este precepto nos ayudará a encontrar áreas exentas o deficientes de estándares de seguridad y actualizarlas bajo el nuevo paradigma de ZT.
En el camino a la resiliencia nos sumergiremos en uno o más de los esfuerzos en el rediseño de nuestras redes, la defensa en profundidad, la gestión de activos, la gestión de riesgos y la protección de datos, pero; aunque todas esas cosas deben suceder, vale la pena pensar mucho más en cómo encajarán todas las piezas antes de realizar los cambios necesarios, ya sea a nivel arquitectónico o en el conjunto de herramientas de ciberresiliencia que poseemos. Lo traduzco con dureza simple: no comprar tecnologías para tener la falsa sensación de seguridad o por correr especulando que lograra ciberdefensa y/o ciberresiliencia; planifique antes cómo encajarán y se orquestarán todas las piezas.
Hablando claro, es seguro que ZT requerirá cambios a nivel de arquitectura, para la red, para la seguridad y para el acceso a los datos, aunque usted crea haber hecho antes de ZT un plan impecable. Es simple de explicar; no existe una confianza implícita en el entorno, independientemente de la ubicación o las relaciones de confianza previas, se trata de ¡desconfiar de TODO!
ZT es un cambio radical del paradigma dominante de confiar en algunas partes de la red más que en otras, de confiar en algunos usuarios solo por su ubicación en la organización, confiar en algunas aplicaciones más que en otras, confiar en algunos equipos o dispositivos o confiar en la cadena de suministros una vez que obtienen acceso.
ZT es una transformación medular de los supuestos fundamentales en torno a la ciberseguridad, la seguridad de la información y el control de acceso. ZT no asume que una relación de confianza sea permanente o libre de contexto, sino que establece por defecto que una vez que está en la red, un nodo debe autenticarse y autorizarse para cada operación que intente. Después de todo, es posible que se haya visto comprometido entre una operación y la siguiente, o que haya comenzado a actuar de manera errática y le hayan quitado sus autorizaciones o que el usuario de ese dispositivo haya sido despedido.
Diseñada y explicada la arquitectura de alto nivel y arquitecturas específicas del contexto organizacional, se debe pasar a las cuestiones de implementación. Involucrando a personas, procesos, políticas, y tecnología. Seguidamente, la implementación de una infraestructura ZT requiere profundizar en cada nivel de la infraestructura. ZT debe usarse para hacer cumplir las políticas de seguridad o asegurarse de que esté configurada. A medida que se trabaja en las brechas entre los objetivos de la arquitectura de ZT y el entorno existente, se propondrá las herramientas se necesiten para llenar las brechas.
¿Será un perímetro definido por software (SDP)? En caso afirmativo, ¿cuáles y para qué funciones? ¿Una puerta de enlace de servicio universal para el acceso de los usuarios a las aplicaciones? ¿Cuál y cómo compartirá política con el SDP? ¿A que recursos debe tener acceso granularmente cada puesto, cada usuario, cada actor de la cadena de suministros?
Si una organización está realmente comprometida con la implementación de ZT, desde el liderazgo superior hacia abajo serán menos capaces que de costumbre de disculpar partes de la infraestructura que no cumple con los requisitos porque es costoso actualizarlos. El único contrapeso seguro a eso es el compromiso sólido del CEO de que el riesgo asociado con no adoptar ZT es más costoso a largo plazo.
Que interesante que ZT hasta propicia que la organización se una para lograr ese cambio hacia la ciberresiliencia y la gestión de riesgos para defender y promover la ZT en toda la arquitectura empresarial.
La transición a ZT comienza con un buen diseño de arquitectura pensada bajo la filosofía, la mentalidad y el método de ZT, no en la tecnología per se; todo lo demás debe seguir a partir de aquí. Por supuesto que se requieren otros niveles de arquitectura, y probablemente también reequipamiento, para implementar el nuevo paradigma, pero todo tiene que comenzar con una imagen general bien definida.
