Se supone que Josef Stalin dijo una vez: "No confío en nadie, ni siquiera en mí mismo". Si bien los dictadores asesinos normalmente no son fuentes confiables de información útil, esta cita resume adecuadamente la esencia de la arquitectura Zero Trust, que el Instituto Nacional de Estándares y Tecnología (NIST) define como:
"El término para un conjunto evolutivo de paradigmas de ciberseguridad que mueven las defensas de perímetros estáticos basados en la red para centrarse en los usuarios, activos y recursos. La confianza cero asume que no hay una confianza implícita otorgada a los activos o cuentas de usuario basándose únicamente en su ubicación física o de red o en función de la propiedad de los activos. La autenticación y la autorización (tanto del sujeto como del dispositivo) son funciones discretas realizadas antes de que se establezca una sesión en un recurso de empresa. [1]
En esencia, Zero Trust o Confianza Cero es lo que su nombre implica: ningún usuario, dispositivo, activo o recurso es de confianza implícita, sino que debe ser autenticado y aprobado cada vez que intenta acceder a una red, servicio en la nube, repositorio de datos o algún otro recurso.
Entonces, ¿por qué la necesidad y el interés en Zero Trust? En resumen, es porque el perímetro de red que era más o menos defendible cuando todo estaba detrás de un firewall corporativo simplemente ya no existe. Sí, todavía hay activos corporativos mantenidos en las instalaciones detrás de firewalls, puertas de enlace y similares, y este seguirá siendo el caso indefinidamente. Pero en la mayoría de las empresas, los usuarios, los activos y otros recursos se encuentran fuera de cualquier perímetro defendible y utilizan una gran cantidad de redes, dispositivos, aplicaciones y servicios en la nube diferentes. Si bien el perímetro de la red ha estado disminuyendo durante algún tiempo, la pandemia de COVID, los cierres posteriores y el rápido aumento de los empleados que trabajan desde casa a principios de 2020 hicieron que el perímetro de la red fuera una reliquia del pasado.
En apoyo de esa afirmación están los datos del Informe sobre la nube y las amenazas de Netskope de febrero de 2021[2]:
En pocas palabras, estos datos sugieren fuertemente que las aplicaciones en la nube están explotando en popularidad, particularmente con los empleados que trabajan desde casa, la gran mayoría no son confiables y los malos actores las están utilizando para distribuir contenido malicioso.
Este mensaje no se ha perdido en los responsables de la toma de decisiones de TI y seguridad. Descubrimos en una encuesta que Osterman Research realizó para BIO-Key International en mayo de 2021 que, si bien solo el 33% de las empresas medianas y grandes han implementado hoy una arquitectura Zero Trust, otro 59% planea hacerlo. Entre los cambios más inmediatos que estas empresas han realizado o harán en apoyo de Zero Trust se encuentran la creación y / o actualización de las políticas de seguridad actuales (citadas por el 69% de los encuestados), el reemplazo de tecnología y soluciones existentes (58%), la implementación de nuevas tecnologías y soluciones (58%) y la implementación de autenticación multifactor (MFA) (54%).
Como lo implican los datos sobre la adopción de Zero Trust, un pequeño porcentaje (8%) de las empresas no tienen planes de implementar Zero Trust. ¿Por qué? En la mayoría de los casos, no se basa en la falta percibida de beneficios que ofrece Zero Trust, sino que se debe simplemente a la falta de tiempo, presupuesto o miembros del personal para implementarlo y administrarlo. Algunos que no planean implementar Zero Trust no están seguros de lo que realmente es o cómo implementarlo, lo que indica que se requerirá más educación sobre sus beneficios.
Entonces, ¿cuáles son exactamente los beneficios de Zero Trust?
Si bien Zero Trust no es una panacea que evitará cada intrusión en la red o violación de datos, contribuye en gran medida a abordar muchos de los problemas de seguridad clave que enfrentan las empresas, particularmente en un entorno en el que su superficie de ataque se ha expandido dramáticamente.
Para aprovechar al máximo la implementación de Zero Trust, tu empresa necesita tener una solución de autenticación multifactor. MFA requiere que los usuarios finales proporcionen dos o más factores de verificación y es una capa adicional de seguridad además de una contraseña simple. Según la encuesta que explora Zero Trust en las empresas, el 59% planea hacerlo, y el primer paso para acercarse a Zero Trust es a través de la implementación de la autenticación multifactor.
Obtén más información sobre cómo los enfoques de autenticación multifactor difieren de los métodos más tradicionales,