Zero trust: la desconfianza por defecto como clave para la seguridad

Primeros pasos para implementarlo

Poner en marcha una estrategia de seguridad basada en el zero trust no es un proceso rápido, según ITbrew. Lleva bastante tiempo, y los equipos de seguridad que quieran ponerlo en marcha tienen que dar varios pasos hasta conseguirlo. Además, tienen que estar preparados para ir avanzando poco a poco, y para vigilar constantemente las conexiones y accesos una vez esté puesto en marcha.

Se trata, además de un proceso que tendrá que estar evolucionando continuamente, y tal como señala la Agencia de seguridad de infraestructura y ciberseguridad (CISA), se trata de un proceso incremental que puede tardar años en ponerse en marcha por completo. Y muchas empresas están todavía dando los primeros pasos hacia su puesta en marcha.

Eso no quiere decir que las empresas no estén dispuestas a implementar el método zero trust. Todo lo contrario. Según una encuesta de Forrester del pasado mes de febrero, un 88% de los CIOs y CTOs encuestados aseguraron que sus direcciones estaban comprometidas con la implementación de una estrategia de seguridad zero trust.

Según el modelo de madurez de zero trust de la CISA, la implementación de esta estrategia tiene que dividirse en varios pasos. Desde los primeros pasos, algo más tradicionales, hasta otras prácticas más avanzadas, que lleven a unos objetivos de seguridad óptimos.

Entre los primeros pasos a dar para avanzar hacia el zero trust están los siguientes: autenticar la identidad a través de un sistema de identificación en varios pasos (MFA), conectar al usuario y a la actividad de dicho usuario, y aislar las cargas de trabajo críticas de la red.

Antes de comenzar a desplegar herramientas como firewalls y otras destinadas a la federación de identidad, y a la detección y respuesta gestionada, hay que dar un primer paso: encontrar e identificar los datos y activos críticos para la compañía.

En cuanto a los datos críticos, no solo hay que identificarlos, sino también hay que tener en cuenta qué aplicaciones los procesan, cuál es el flujo de datos o quién tiene acceso a ellos. Con toda esta información controlada, se puede empezar a buscar la tecnología necesaria para implementar los principios del modelo de seguridad zero trust.

En primer lugar, se puede empezar por identificar uno o dos activos que estén entre los más críticos para la organización. Una vez que estos objetos de prioridad elevada están definidos, se puede implementar un sistema zero trust para protegerlos y ver cómo funcionan. Si la puesta en marcha del sistema zero trust para proteger el acceso a ellos es adecuado y funciona, se puede ampliar el modelo con otros activos de manera progresiva.

Eso sí, como hemos mencionado, se trata de un proceso de implementación y vigilancia que no termina nunca y que está en constante evolución. Dado que las superficies de ataque, y las distintas amenazas, van cambiando, es necesario estar atentos a estas novedades para implementar los cambios en el sistema que sean adecuados para proteger datos, aplicaciones, procesos y red frente a ellos.