En los modelos clásicos de seguridad siempre se ha buscado generar un entorno perimetrado donde se proteja el interior de la red de un exterior lleno de amenazas potenciales. Sin embargo, en los tiempos que corren, con una conectividad creciente, esto está cambiando. Ya no existen unos límites tan claros entre la intranet y la extranet. Ahora solo existe un gran ecosistema conectado en el cual no fiarse de nada ni nadie es lo mejor para la empresa.

¿En qué consiste el modelo Zero Trust?

Propuesto en 2010 por John Kindervag, de Forrester, el modelo Zero Trust, o ZT, actualiza la visión Trust But Verify clásica en la que el círculo interior de la red es de confianza por defecto. Al contrario que este, el modelo ZT promulga la desconfianza de todo, sea cual sea su origen.

Con el crecimiento frenético del IoT, los problemas de confianza a los que se enfrentan las redes crecen exponencialmente. Según Gartner, para finales de 2018, más del 50% de los fabricantes de dispositivos IoT no podrán enfrentarse eficazmente a las amenazas procedentes de una práctica de autenticación débil.

Esto implica un cambio esencial en la estrategia de seguridad de la empresa, en la cual hay que tener en cuenta una multitud de cuestiones: quién está conectado a la red, por qué razón tiene acceso, desde cuándo y hasta cuándo, cómo accede a ella, de qué forma y, muy importante, a qué información accede.

La aplicación de este modelo implica que cualquier dispositivo que trate de acceder al sistema o, sencillamente, los cambios de ubicación de los mismos, implican una nueva verificación. Además, se controlarán las acciones del dispositivo desde el mismo momento en el que accede a la red para detectar un comportamiento inusual.

Otros especialistas en seguridad confirman la visión aportada por Forrester: focalizar la seguridad a un núcleo duro, olvidando la seguridad interna, no funciona. Según señalan, algunas de las violaciones de datos más graves ocurren porque los hackers, una vez que han superado las barreras externas, como los firewalls corporativos, se pueden mover dentro de los sistemas sin mucha resistencia.

Como vemos, el control de la información es esencial ya que desvía la atención del modelo ZT de los puntos más tradicionales y la centra en el objetivo final de cualquier brecha en la seguridad. Esto da una ventaja esencial y es que ya no hay que preocuparse de fallos según su origen sino su objetivo, por lo que ya no cabe esperar la sorpresa y podemos prepararnos para cualquier cosa porque controlamos la meta del ataque. 

Y llegó el modelo Zero Trust eXtended

De manos de los expertos de Forrester, como Chase Cunningham, llega en 2018 una estrategia que amplía el ZT, denominada Zero Trust eXtended, o ZTX. El problema principal, en palabras de Cunningham, es que la mayoría de las organizaciones no están realmente implementando el marco Zero Trust de manera efectiva. Esto se debe, en parte, a que no comprenden por completo la tecnología y los cambios organizativos necesarios para ponerlo en práctica.

El ZTX, como su predecesor, está centrado en la información, pero permite evaluar más eficientemente la aplicación de la estrategia asociada a la implantación del modelo. En concreto, el marco ZTX se centra en los siguientes pilares:

– La red: ¿cómo funciona la tecnología para permitir los principios de aislamiento, segmentación y, en última instancia, seguridad de la red?

– Los datos: ¿cómo se permite la categorización, los esquemas, el aislamiento, el cifrado y el control de los datos?

– Los recursos humanos: ¿cómo se protege a las personas que están utilizando la red y la infraestructura de la empresa? ¿Y cómo se reduce la amenaza que crean los usuarios?

– La carga de trabajo: ¿de qué manera se aseguran áreas tales como las redes en la nube, las aplicaciones y cualquier otra cosa que una empresa u organización utilice para hacer que opere técnicamente?

– La automatización y orquestación: ¿de qué forma la tecnología automatiza y organiza los principios de desconfianza y verificación propios del modelo?

– La visibilidad y el análisis: ¿se proporcionan análisis y puntos de datos útiles? ¿Cómo se eliminan los puntos ciegos del sistema e infraestructura?

Cualquier implementación del modelo ZTX debe contemplar, como mínimo, que la solución tecnológica de seguridad abarque al menos tres de estos pilares, así como una API potente para que permita la integración. Si no cumple con estas dos premisas, explica Cunningham, no podemos catalogar la plataforma como un modelo ZTX, aunque sí podría enmarcarse dentro del ZT. 

Zero Trust eXtended en la empresa

La ventaja de modificar la estrategia de la empresa para adoptar una política ZT es clara: podemos prevenir ataques tanto externos como internos y llevar un mejor control sobre la seguridad de la empresa. Esto, por descontado, implica invertir tiempo y recursos tanto en tecnología como en formación para adoptar el cambio de estrategia de forma eficaz.

Entre las acciones para apuntar hacia un modelo ZT (o ZTX) debemos velar por un control exhaustivo de autenticación, la administración de identidades, el control de activos y el cifrado. Dado que el informe de implementación de ZTX ha sido publicado  recientemente, la aplicación del modelo extendido todavía tiene mucho que evolucionar.

Sin embargo, ya podemos trabajar con el objetivo de cambiar la política de la compañía en cuanto a seguridad. Una política que pasa, sin otro remedio, por tener un mayor control sobre nuestras redes. Algo para lo que herramientas como Panda Adaptive Defense 360, han sido especialmente diseñadas. Gracias a esta podemos monitorizar toda la actividad, exponiendo cualquier actividad sospechosa, centrándonos en la información a la que van dirigidos los ataques antes incluso de que ocurran. Adaptive Defense 360 cubre la mayoría de los pilares del modelo ZTX gracias a la mejor combinación de tecnología EPP y EDR. Precisamente, su capacidad de visión y habilidad de ejecución han sido destacadas por Gartner, que ha reconocido a Panda Security como Visionario en el Magic Quadrant para Endpoint Protection Platforms. Además, de reducir al máximo las posibilidades de ataque (con y sin malware),  Panda Adaptive Defense 360 ofrece visibilidad completa del comportamiento de todos los endpoints, usuarios, archivos, procesos, registros, memorias y redes. O lo que es lo mismo: no se fía de nada ni de nadie.