Modelo Zero Trust

 El modelo Zero trust tuvo un crecimiento en los últimos años en el mundo de las organizaciones, Zero Trust tiene su idea central en que, por defecto, las organizaciones nunca deberían confiar en ninguna entidad interna o externa que ingrese a su perímetro, esto le da origen a su nombre. Es decir es un modelo de seguridad basado en el supuesto de que no se confía ciegamente y mucho menos se le permite acceder a los activos de la empresa hasta que se haya validado como legítimo y autorizado.

El término “confianza cero” fue acuñado por el analista de Forrester John Kindervag en su estudio, donde explica la importancia Zero Trust como su esencial, cuando se trata del tráfico de red, independientemente de su procedencia.

La apropiación del modelo de confianza cero se ha acelerado en respuesta al rápido aumento del teletrabajo, esto tras la pandemia, la tendencia de usar dispositivos personales (BYOD), el Shadow IT y el auge de los servicios en la nube. Zero Trust es un modelo que se basa en que todos los activos en un entorno operativo de TI se consideran no confiables de forma predeterminada hasta que el tráfico y el comportamiento de la red se validen y aprueben.

Para implementar exitosamente un modelo de arquitectura Zero Trust o confianza cero, los equipos de seguridad y operaciones deben centrarse en dos conceptos clave:

• La seguridad casi siempre deberá integrarse en cualquier carga de trabajo, para que pueda moverse con las instancias y los datos a medida que migran entre entornos de nube interna y pública.
• Será necesario comprender mucho mejor el comportamiento real de las aplicaciones y los servicios que se ejecutan en cada sistema, y ​​las relaciones entre los sistemas y las aplicaciones necesitarán un recuento más intenso que en otras ocasiones.

El modelo Zero Trust deduce que puede haber atacantes tanto dentro de nuestra red como fuera de ella, por lo que no se debe confiar de forma predeterminada en ningún usuario o dispositivo. Este modelo sin duda ha venido para quedarse, pero necesita aplicar una mentalidad y una estrategia de seguridad donde la nube es prioridad.

Ver: Método MASI

Se pueden considerar tres puntos clave que la organización debe determinar de forma asertiva para poder implementar el modelo Zero Trust:

1. Visibilidad: Es necesario identificar cada dispositivo y bienes que necesitan ser protegidos y monitorearlos. No hay manera de proteger un recurso que no sabemos que existe, por esto es indispensable tener visibilidad de todos los recursos que pertenecen a la organización o que tienen acceso a la misma.

2. Políticas: Se debe implementar controles que autoricen que solamente personas específicas tengan acceso a entidades específicas en condiciones específicas. Se requieren controles minuciosos.

3. Automatización: La automatización de procesos asegura la aplicación correcta de las políticas y permite la rápida aplicación de medidas frente a posibles desvíos.

A continuación se enlistan los tres principios fundamentales que rigen el modelo de confianza cero:

1. Conceder el menor número posible de privilegios

El principio básico del Zero Trust se concentra en la idea de conceder la menor cantidad posible de privilegios/accesos sin que esto afecte a la capacidad de una persona para completar sus tareas. Solo se permite el acceso caso por caso, exactamente a lo que se necesita y nada más.

2. Nunca confiar, siempre verificar

Ninguna acción o usuario goza de confianza inherente dentro de un modelo de seguridad de confianza cero. Cada nueva entrada a un sistema o solicitud de acceso a datos nuevos debe incluir algún tipo de autenticación para verificar la identidad del usuario.

3. Siempre SUPERVISAR

La confianza cero requiere supervisión y evaluación constantes del comportamiento del usuario, los movimientos de datos, los cambios en la red y las alteraciones de datos. Si bien la autenticación y las restricciones de privilegios son la columna vertebral de la confianza cero, siempre es mejor verificar todas y cada una de las acciones realizadas dentro de la infraestructura de su organización.