Si bien creí que el tema había comenzado hace 10 años, ya en 2004 hemos estado hablando de la desperimetrización de nuestro pensamiento de ciberseguridad. Independientemente de cuándo comenzó el tema, existen recomendaciones claras para alejar las estrategias de ciberseguridad del concepto de un perímetro de seguridad definido, a menudo designado por la red corporativa, con todo lo que está fuera de la red etiquetado como no confiable y todo lo que está dentro como confiable.

En las empresas de hoy no hay un perímetro de seguridad predeterminado y ahora está hasta el punto en que las organizaciones pueden ser llamadas "irresponsables" por confiar automáticamente en cualquier cosa. Los cambios en las compañías, como el aumento de la movilidad, la adopción de servicios en la nube y la subcontratación a terceros continúan extendiendo la ciberseguridad más allá de cualquier perímetro conocido. Los impactos de la pandemia de 2020, como el cambio a una fuerza laboral remota, también han ayudado a acelerar esos cambios. Al mismo tiempo, las amenazas internas han seguido siendo una fuente primaria de infracciones y ataques, lo que demuestra que existe un gran riesgo cibernético dentro de la red corporativa.

No es de extrañar, entonces, que en 2020 el 72% de las organizaciones informaron que planean implementar Zero Trust para reducir su riesgo cibernético. Sin embargo, la implementación de Zero Trust o Confianza cero no es algo que sucede de la noche a la mañana, y a menudo es un viaje más largo para las empresas que muchas ni siquiera han comenzado todavía. Entonces, ¿Por dónde empezar al implementar una arquitectura Zero Trust? ¿Cuál es un elemento fundamental que toda empresa debe tener para lograr la Confianza Cero?

La respuesta es la autenticación multifactor (MFA).

 Arquitectura Zero Trust y Principios Rectores

Si bien Zero Trust se ha apoderado de los titulares, blogs, pautas y más como el último enfoque de ciberseguridad, puede ser difícil determinar qué es realmente Zero Trust y cómo se supone que debe implementarlo.

Zero Trust no es una solución única, sino un enfoque estratégico o "principios rectores" como lo define el NIST, sobre cómo las empresas deben crear su estrategia de ciberseguridad. El lema de Zero Trust es "nunca confiar, siempre verificar", lo que impulsa los aspectos centrales de este enfoque e implementación. En el NIST Zero Trust Architecture SP 800-27 describen múltiples principios de Zero Trust que ayudan a definirlo aún más, incluyendo:

• Toda la comunicación es segura
• El acceso solo se concede por sesión
• El acceso a los recursos está determinado por la directiva dinámica
• La empresa supervisa la postura de seguridad de todos los activos propios y asociados
• Todas las autenticación y autorizaciones de recursos son dinámicas y se aplican estrictamente antes de permitir el acceso.
• La empresa recopila tanta información como sea posible sobre su postura de seguridad para continuar mejorándola.

A lo largo de estos principios, controlar el acceso a los recursos es fundamental, y la autenticación y autorización continuas son el núcleo para poder lograrlo.

La autenticación multifactor es el primer control en implementar

Usar una sola autenticación y confiar automáticamente en las credenciales para obtener acceso a los recursos son cosas del pasado. En 2020, la vicepresidenta corporativa del Grupo de Soluciones de Ciberseguridad  de Microsoft, Ann Johnson, proporcionó explícitamente esta guía: "Todo el principio de confianza cero es que no confías en nada. Eso es lo primero que les decimos a las organizaciones: deben usar la autenticación multifactor para el 100% de los empleados el 100% del tiempo. Ese es el primer control que se implementa como parte de esa arquitectura Zero Trust".

La autenticación multifactor inteligente y continua es fundamental para Zero Trust. Ser capaz de autenticar y autorizar la identidad digital de un usuario o dispositivo es fundamental para verificarlos antes de confiar en ellos para acceder a los recursos. Sin embargo, con Zero Trust, es posible que sus tácticas tradicionales de MFA no admitan la autenticación continua que requiere Zero Trust. Además, una implementación exitosa de MFA está en el 100% de sus usuarios. Las tácticas de MFA más tradicionales y de talla única pueden ser difíciles de lograr que sus usuarios adopten.

En general, muchos enfoques MFA tradicionales no son adecuados para una arquitectura Zero Trust. Por ejemplo, los métodos MFA que usan una contraseña con un método de autenticación adicional aún dejan la puerta abierta a un ataque cibernético, con una gran dependencia de la contraseña como algo que el usuario tiene que recordar y, a menudo, olvida. O soluciones MFA que no pueden proporcionar elementos clave para lograr la confianza cero, incluidos los enfoques de autenticación avanzados, como la autenticación contextual y un control de políticas de seguridad más granular.

5 MFA "imprescindibles" para la confianza cero

Al igual que con cualquier enfoque, la implementación e implementación de MFA para admitir su arquitectura Zero Trust requiere las políticas y soluciones adecuadas para impulsarla. Aquí hay una lista de requisitos que debe asegurarse de incluir al crear su estrategia de MFA y seleccionar una solución:

• Incluye una amplia gama de opciones de autenticación flexibles: un gran obstáculo a superar al asumir un proyecto MFA es la implementación y la adopción general por parte del usuario. Si el objetivo es 100% MFA, el 100% del tiempo, la adopción y cooperación del usuario es extremadamente importante. Las implementaciones de MFA no solo deben proporcionar opciones de autenticación seguras que cumplan con los requisitos de seguridad de una organización, sino también proporcionar cierto control al propio usuario para seleccionar el método de autenticación que mejor se adapte a sus necesidades. Tenga cuidado con la flexibilidad, así como con una amplia gama de opciones de autenticación para admitir todos los aspectos de su arquitectura Zero Trust.
  
  
• Ofrece autenticación y biometría sin contraseña: Sobre la base del requisito de tener una amplia gama de opciones de autenticación; las estrategias modernas de MFA deben incluir opciones que dejen de pedir a los usuarios que se autentiquen con un "secreto" o contraseña conocidos. Las opciones sin contraseña son excelentes métodos para evitar los riesgos de confiar en las contraseñas y proporcionar una forma más conveniente para que los usuarios se autentiquen.
  
  Ofrecer autenticación sin contraseña se hace mejor aprovechando la biometría. La biometría no solo evita que el usuario tenga que recordar una contraseña, sino que también se aleja de tokens de hardware inconvenientes y opciones basadas en teléfonos, muchas de las cuales los usuarios dudan en adoptar. Además, para verificar la identidad de un usuario, la biometría es el único método de autenticación que identifica positivamente al individuo, no un dispositivo o teléfono, de modo que se pueda establecer la confianza de que una persona autorizada está obteniendo acceso.
  
  
• Microsegmentación de políticas: Un aspecto crítico para lograr la confianza cero son las políticas que necesita para definir la autenticación a un nivel muy granular. El uso de directivas es la forma en que puede definir lo que NIST llama "Puntos de decisión de política (PDP)", donde se determina qué autenticación se debe usar en función del usuario, los recursos a los que intenta acceder y los aspectos ambientales y de comportamiento de su solicitud. Las políticas también son las que impulsan la naturaleza continua de la autenticación que verifica la identidad del usuario a medida que continúan más allá de la autenticación inicial. Una vez más, con Zero Trust no se supone que se debe confiar en lo que se confió para ingresar a la red para acceder a todo lo que está dentro.
  
  
• Agrega aspectos ambientales y de comportamiento a las solicitudes de acceso: Si bien la autenticación de un solo factor es obsoleta, estamos viendo que incluso los métodos comunes de autenticación de múltiples factores se convierten en objetivos de ataques cibernéticos. La siguiente ola de enfoques de autenticación son aquellos que incorporan aspectos ambientales y de comportamiento en torno a la solicitud de acceso del usuario para determinar los controles y la autenticación adecuados. Con políticas de seguridad granulares, los métodos de autenticación como la autenticación contextual y la autenticación escalonada pueden encajar dentro de los principios de Zero Trust para proporcionar enfoques de autenticación dinámicos y continuos.
  
  
• Busca una plataforma única y unificada: Si bien existen múltiples soluciones que pueden proporcionar MFA, es importante buscar una plataforma única y unificada para evitar brechas en su seguridad y evitar cualquier bloqueo para implementar una arquitectura Zero Trust. MFA no es el único componente de su arquitectura Zero Trust; sin embargo, puede limitarlo rápidamente. Es mejor buscar una plataforma que pueda ofrecer los aspectos centrales de Identity and Access Management (IAM), incluido el inicio de sesión único y las integraciones de directorios múltiples, para asegurarse de que funcione de manera consistente en todos los accesos, usuarios y dispositivos.

Cualquier empresa puede implementar MFA

Sin perímetros de seguridad predefinidos, la popularidad del enfoque Zero Trust, "nunca confíe, siempre verifique", se ha extendido a través de las organizaciones a nivel global. Las arquitecturas Zero Trust a menudo se planifican, pero se ven rápidamente como un desafío para implementar para muchas organizaciones. En el camino hacia la implementación de una arquitectura Zero Trust, el primer paso y elemento fundamental a implementar es la autenticación multifactor. Sin embargo, no todas las soluciones MFA son adecuadas para Zero Trust.

Es importante buscar MFA clave "imprescindible" en cualquier solución, incluidas las opciones de autenticación flexibles que ofrecen métodos biométricos y sin contraseña, control granular de políticas de seguridad, enfoques de autenticación continua que incorporan factores ambientales y de comportamiento, y se ofrecen como parte de una única plataforma unificada.

Obtén más información sobre la autenticación multifactor y cómo PortalGuard IDaaS puede ajustarse a tu arquitectura Zero Trust hoy mismo.