'Zero Trust': quitar las emociones humanas de la ciberseguridad para evitar ataques

La confianza es la emoción humana que se refiere al nivel de certeza que una persona tiene en el comportamiento de algo o alguien. Sin embargo, a la hora de aplicarla en un sistema digital, se puede transformar en una vulnerabilidad. De hecho, dentro de los sistemas, esta confianza no suele tener ninguna utilidad salvo la de ser usada por agentes malintencionados para su propio beneficio.

Esta es la visión de John Kindervag, ideólogo del modelo de ciberseguridad 'Zero Trust', o confianza cero, y firme defensor de que la ‘Defense in Depth’, o defensa en profundidad —un enfoque que consiste en colocar múltiples capas de controles de seguridad según la criticidad de la información protegida—, no sirve de nada si entre capas se confía en las conexiones y paquetes de información que se transmiten.

Por ello el 'Zero Trust' se fundamenta en tres principios para cada capa de protección:

• Limitar el acceso y el privilegio en los distintos niveles.
• Verificar usuario y dispositivo continuamente, no solo en los accesos.
• Aprender y adaptar los accesos según los comportamientos habituales de la red.

¿En qué consiste el modelo?

El modelo 'Zero Trust' surge tras analizar la cronología de numerosas fugas de información y ciberataques. Estos análisis revelaron que, en una mayoría de casos, la principal causa había sido la acumulación excesiva de privilegios, libertad de movimientos y acceso a información sensible de determinados usuarios, que no eran necesarios para el desarrollo habitual de sus funciones. Además, si a esto se le añade que para los ciberdelincuentes resultaba relativamente sencillo ir logrando más privilegios y convertirse en ese tipo de superusuarios cuando accedían a una red, el volumen de información expuesto era desproporcionado.

Para evitarlo, el modelo parte de la premisa de que en una red no hay personas sino paquetes de información y credenciales y, por ello, no habría mayor problema en identificar unívocamente los elementos y analizar su contenido para bloquear y eliminar las amenazas de la red, ya sean externas o internas. Esta deshumanización de la ciberseguridad se lograría mediante tres vías de acción:

• Segmentar las redes e información accesible: Al separar los diferentes grupos de trabajo, departamentos y servidores, un incidente en un segmento no repercutirá en el resto.
• Verificar los usuarios y los dispositivos de manera continua: De esta forma se podrán bloquear los accesos en los que se detecten secuestros de usuarios y escaladas de privilegios.
• Analizar el tráfico de la red: En caso de que los paquetes de información sean ilegítimos o tengan un comportamiento anómalo se podrán bloquear y evitar fugas de información o transmisión de ‘malware’ en las redes.

¿Cómo afecta a las organizaciones?

Hoy en día cualquier organización es susceptible de ser atacada. Por ello, Zero Trust se presenta como un cambio de paradigma en la forma de ordenar y estructurar las redes de las mismas. Sin embargo, esto no está asociado a adquirir nuevas tecnologías, sino que esta reestructuración de los sistemas y la posibilidad de inspeccionar el tráfico de la red requiere un gran esfuerzo de inventariado de dispositivos, usuarios y flujos de información que aporte una visión completa y profunda del mundo IT (Tecnologías de la Información) de la organización. La metodología propuesta para la implementación del 'Zero Trust' consta de cinco fases:

• Identificar todos los sistemas, redes e información a proteger
• Conocer perfectamente los flujos de transacciones
• Construir una arquitectura 'Zero Trust'
• Crear la política 'Zero Trust'
• Monitorizar y mantener

¿Por dónde empezar a aplicarlo?

Muy a menudo todo el peso de una organización hoy en día recae en sus sistemas informáticos y, por tanto, la adopción del 'Zero Trust' debe plantearse en toda su magnitud. Puesto que hay determinados sistemas y procesos que tienen mayor criticidad que otros, dentro del inventario IT de la organización se pueden diferenciar tres niveles: alto (las conocidas como joyas de la corona), medio y bajo.

Un fallo en los sistemas de criticidad alta no debería ser una opción, por lo que la curva de aplicación recomendada empieza por pequeñas implantaciones en algunos segmentos de criticidad baja hasta la implantación total en la organización.

Debido a que el 'Zero Trust' es una concepción de la ciberseguridad y no una arquitectura sin más, la aplicación de este modelo debe ser continua. Las revisiones deben ser periódicas, y las adaptaciones a las nuevas necesidades, constantes.

Como se ha podido ver, el 'Zero Trust' es una concepción completa de la ciberseguridad y puede suponer importantes cambios en el mundo IT de las organizaciones. Para su aplicación se puede consultar la publicación especial del NIST (National Institute of Standards and Technology) en la que se profundiza en la implementación y buenas prácticas del 'Zero Trust'.