Filosofía Zero Trust Security

El término "Zero Trust Security" se presentó por primera vez en el año 2013 por los analistas de "Forrester Research"  dentro de un informe presentado al Instituto Nacional de Estándares y Tecnologías (NIST por sus siglas en inglés) quien solicitó el apoyo de expertos en tecnología como parte de una iniciativa del gobierno de Estados Unidos.

"Zero Trust" se refiere a un conjunto de prácticas como una filosofía de diseño de red, que exige que se incorpore seguridad en el ADN de la arquitectura, invirtiendo en la conciencia situacional y desarrollando capacidades de gestión de vulnerabilidades y respuesta a incidentes bajo el lema: 

"Nunca confiar, siempre comprobar". 

En la actualidad, la mayoría de los enfoques de seguridad de las empresas se basan en el concepto "Comprobar y entonces confiar", lo que incluye un riesgo, cualquiera que cuente con las credenciales de acceso correctas, podría generar un gran problema para la empresa, es por eso que muchas organizaciones han sufrido ataques de Malware y Ransomware, así como filtraciones de datos que han afectado sus marcas y provocado pérdidas monetarias.

Según Forrester, las organizaciones idealmente deberían de rediseñar sus arquitecturas de red desde dentro hacia fuera, comenzando con los recursos del sistema y los repositorios  de datos que necesitan proteger, pero la reconstrucción, puede ser un objetivo a largo plazo, existen muchas formas en las que las organizaciones pueden implantar y beneficiarse de una filosofía "Zero Trust" sin realizar grandes inversiones como las que requiere un proyecto de este tipo.

Les compartimos algunos puntos importantes que pueden empezar a aplicar en sus empresas.

Utilice varios factores de autenticación.

Aunque las contraseñas son la primer línea de defensa para la mayoría de las redes, el 59% de los usuarios utilizan la misma clave para todo o varias cuentas, y es muy probable que el porcentaje restante las varíe con uno o dos caracteres al final, es por eso que el implantar soluciones para la gestión de acceso ayudará a mejorar la seguridad mediante la autenticación multifactor (MFA), que puede incorporar biométricos como lector de huella digital o el uso de un objeto, que puede ser un dispositivo móvil, donde se utilicen tokens (OTP).

Segmentación o micro segmentación de la red.

Esta acción le permite mantener partes de la red a salvo en caso de alguna falla, minimizando el daño.Los expertos recomiendan implementar micro perímetros de red, como un firewall de nueva generación y controles de seguridad para la información. 

Con esto, disminuye el riesgo de que los atacantes puedan entrar a más de un grupo de datos definidos, incluso si son capaces de pasar los perímetros.

Analizar los comportamientos de acceso.

Dentro de las estrategias de "Zero Trust" incluye la monitorización de accesos y análisis para detectar patrones y tendencias. 

Las herramientas de análisis como un SIEM, el seguimiento de los comportamientos de acceso, la detección de patrones, tendencias y amenazas potenciales pueden reforzar la privacidad de los datos, respaldando cumplimiento y aumentando la confianza en la empresa.

No Corra Riesgos.

Un ataque a la red, no solo pone en riesgo la información de la empresa, como tarjetas de crédito, cuentas bancarias, correos, etc., también esta en juego la propiedad intelectual corporativa y los datos de los clientes para los que trabaja, los datos de sus empleados y muchísimo más cosas que podrían generar una gran pérdida.

Además del daño financiero, están en juego la reputación y la confianza de sus clientes, así como la posible responsabilidad legal si se descubre que la fuga de información viola la Ley Federal de Protección de Datos Personales en Posesión de Particulares o en caso de que su empresa tenga negocios en uno o varios países de la Unión Europea, podría aplicar el Reglamento General de Protección de Datos (GDPR por sus siglas en inglés).

Los cibercriminales nunca descansan, pero el enfoque de "Zero Trust" ofrece innumerables armas para la lucha contra estos atacantes.