Modelo Zero Trust: el futuro de la seguridad

En Internet, las amenazas están a la orden del día y se vuelven cada vez más sofisticadas, y debido a esto los modelos de seguridad tradicionales no siempre son los más adecuados. Es aquí donde entra en juego el modelo Zero Trust (Confianza Cero), quizá la mayor alternativa a los métodos tradicionales basados en seguridad perimetral.

¿Qué es Zero Trust?

El modelo zero trust está basado en un poderoso lema: “nunca confíes, siempre verifica” o bien en su versión en inglés: “Never trust, always verify”.

Esta arquitectura de seguridad deja de lado la vieja noción de que cualquier cosa que esté dentro de una red es confiable. En su lugar, zero trust asume que las amenazas existen tanto dentro como fuera de dicha red.

El modelo zero trust requiere que cualquier usuario, dispositivo o aplicación pruebe su legitimidad de forma constante para obtener acceso a los recursos o sistemas que esté solicitando.

Zero trust no es una sola tecnología, sino más bien una estrategia, una combinación de diversas tecnologías y técnicas que abarcan identificación, microsegmentación, monitoreo continuo y el uso de privilegios mínimos.

Breve historia de Zero Trust

El concepto de zero trust, o confianza cero en español, en realidad no es exactamente nuevo, ya en la década de 1990 se hablaba sobre el tema, y lo mismo a comienzos de los años 2000, aunque no llevaba ese nombre. Quizá la primera gran implementación de esta arquitectura de seguridad la haya realizado Google, cuando desarrolló el sistema BeyondCorp a partir de una serie de ciberataques ocurridos en 2009.

En 2010, el analista John Kindervag de Forrester Research creó un importante reporte sobre los beneficios y la implementación de la arquitectura zero trust, proponiendo el nombre con el cual se conoce a este modelo actualmente. Sin embargo, tuvo que pasar casi una década más para que zero trust se volviera más popular.

En los últimos años, el modelo zero trust pasó a ser adoptado por organizaciones y compañías de todo tipo. Las principales compañías del sector de la tecnología, los gobiernos y las empresas de ciberseguridad consideran la arquitectura zero trust como un nuevo estándar en seguridad.

Su importancia

Como decíamos al comienzo, las amenazas en Internet evolucionan constantemente. La seguridad perimetral, si bien es una opción sólida, se enfrenta a un panorama cada vez más complicado que incluye trabajo remoto, la adopción de tecnologías cloud, y las políticas BYOD (cuando un empleado accede a recursos empresariales desde su propio dispositivo).

Sumado a eso, los ciberataques se están volviendo cada vez más complejos, utilizándose técnicas como el phishing o el ransomware, incluso las llamadas amenazas internas también pueden poner en jaque a las medidas de seguridad convencionales. No debemos olvidar por supuesto los ataques a cadenas de suministro y las vulnerabilidades zero-day.

Todas estas posibles amenazas están llevando al mundo a adoptar nuevas medidas de seguridad, y ahí es cuando el modelo de confianza cero se convierte en la solución a este gran problema, ya que considera cualquier intento de acceso como una amenaza potencial, sin importar su origen.

Algunos de los mayores ciberataques de la historia, incluyendo por ejemplo el de Colonial Pipeline en 2021 o el de Target en 2013, pudieron haber sido evitados si se hubiera contado con una correcta implementación de un sistema zero trust.

Componentes de Zero Trust

Implementar una arquitectura zero trust es un proceso que puede llevar un tiempo considerable, sin embargo sus beneficios hacen que valga mucho la pena. Este tipo de sistemas están compuestos por diversos componentes.

• Identificación y autenticación: en el corazón de zero trust existe la necesidad de validar a cualquier usuario antes de brindarle acceso. Esto se puede lograr de distintas formas, por ejemplo mediante la autenticación multifactor, usando biometría o con un sistema SSO.
• Privilegios mínimos: otro de los pilares de zero trust es otorgar privilegios mínimos para que el usuario pueda llevar a cabo sus tareas, es decir, no otorgar más privilegios de los que sean estrictamente necesarios. Tecnologías como RBAC o JIT son las más utilizadas en este caso, siempre buscando que se exponga lo mínimo posible el acceso a recursos sensibles.
• Microsegmentación: la microsegmentación consiste en dividir una red en segmentos aislados más pequeños, restringiendo el acceso entre ellos. Esto es extremadamente útil, ya que si un atacante logra tener acceso a un segmento, no lo tendrá nada fácil para acceder al resto del sistema debido a que se encuentra en una sección aislada.
• Monitoreo continuo: como ya explicamos, el modelo de confianza cero sigue el lema de “nunca confíes, siempre verifica”. Esto incluye un monitoreo continuo de los usuarios, sus dispositivos y redes, de forma que rápidamente se pueda detectar cualquier anomalía. Con el avance de las IA en los últimos años, este tipo de sistema se están volviendo cada vez más comunes.
• Seguridad en dispositivos: antes de que zero trust le brinde acceso a un usuario, es importante verificar su dispositivo, asegurando así que el mismo cumple con las normas de seguridad, se encuentra actualizado, libre de infecciones y no presenta síntomas de hackeo o de actividades potencialmente peligrosas (por ejemplo el jailbreak).

Beneficios

Adoptar un modelo zero trust trae consigo una serie de beneficios, mejorando la seguridad de cualquier empresa u organización.

• Es notable la reducción en la superficie de ataque. Al limitar el acceso y brindar privilegios mínimos, esta arquitectura reduce muchísimo los puntos de acceso de los atacantes. Además, la microsegmentación asegura que solo una parte del sistema pueda ser comprometida en caso de que un atacante logre tener acceso.
• La microsegmentación lo que impide el movimiento lateral. Normalmente sucede que cuando un atacante logra tener acceso a una red, puede moverse libremente a través de todos los sectores de la misma, pero esto no ocurre es sistemas que estén fragmentados y aislados entre sí.
• El modelo zero trust es considerado un nuevo estándar hoy en día, y determinadas normativas lo están comenzando a exigir. Este sistema ayuda a todo tipo de empresas a alinearse a los estándares de importantes normativas como SOC 2, GDPR y NIST, entre otras.
• La experiencia del usuario se ve mejorada sin la necesidad de sacrificar la seguridad. Mediante sistemas SSO y MFA, los usuarios pueden acceder a los recursos que necesiten sin necesidad de volver a iniciar sesión, creando un balance perfecto entre usabilidad y seguridad.

Ideas erróneas sobre Zero Trust

Si bien la arquitectura de confianza cero trae consigo muchos beneficios, hay quienes no optan por implementarla debido a que hay varios mitos e ideas falsas que rodean a este tipo de sistemas.

La complejidad de zero trust es quizá el mayor “pero” que se le pone a este modelo, sin embargo eso está alejado de la realidad. Lo cierto es que zero trust se puede implementar perfectamente en fases, es decir comenzar con la parte de acceso e identificación, después seguir a la segmentación de sistemas y finalmente incorporar el monitoreo. No es necesario hacer todo de una sola vez.

Otra idea recurrente es que el modelo de confianza cero es caro. Sí, puede tener un costo inicial alto, aunque como ya dijimos es posible implementarlo en fases para que no se deba asumir un gran gasto de una vez. Además debemos pensar lo siguiente: ¿acaso es más caro que las consecuencias de un hackeo?

También existe la idea incorrecta de que zero trust siempre requiere una remodelación completa de los sistemas. Esto solo aplica en el caso de sistemas muy viejos o muy obsoletos, la realidad es que hay soluciones que se integran muy bien con sistemas ya existentes.

Finalmente, mucho se habla de que zero trust solo está diseñado para grandes empresas y corporaciones multinacionales, pero eso también es falso. Hoy en día hay empresas de todos los tamaños y de muchos sectores distintos, no solo hosting ni TI, que están implementando esta arquitectura de seguridad, incluso con soluciones escalables es posible implementar solo lo necesario y mejorar el sistema únicamente a medida que se requiere.

¿Cómo implementar el modelo Zero Trust?

La implementación del modelo zero trust no es algo que se pueda indicar fácilmente debido a que cada caso es distinto, es decir que depende del software, hardware y los sistemas que estén involucrados. Lo que veremos a continuación es una guía universal con los pasos básicos a seguir para implementar una arquitectura de confianza cero.

1. Lo primero es hacer un mapeo de todos los usuarios, dispositivos, aplicaciones y flujos de datos. Se debe identificar cuáles sistemas manejan datos sensibles y cuáles usuarios pueden tener acceso a dichos datos.
2. El segundo paso va casi de la mano del anterior, ya que se debe determinar cuáles son los sistemas más críticos y que son 100% imprescindibles para el funcionamiento de la empresa o de la organización. Esto es muy importante porque estos serán los primeros sectores que se deben proteger.
3. A continuación se realiza la implementación de una autenticación MFA en todos los sistemas. También se recomienda utilizar un RBAC para limitar el acceso a datos específicos.
4. Ahora que ya hay una protección básica implementada, es hora de pasar a la segmentación. Las redes se deben microsegmentar para impedir el movimiento lateral, de forma que queden aisladas entre sí y no sea posible moverse de una a otra.
5. El penúltimo paso es la implementación de un sistema de monitoreo y registro de actividad. Esto es imprescindible para poder detectar comportamientos inusuales en tiempo real. Cuanto más tempranas sean las alertas, más posibilidades hay de evitar accesos no autorizados.
6. Y para finalizar, toca hablar sobre automatizaciones y adaptaciones. Se debe implementar una automatización para forzar las políticas de zero trust, por ejemplo si un dispositivo es considerado inseguro se le debe denegar acceso automáticamente. Estas políticas deben ser revisadas y adaptadas según sea necesario, de acuerdo a las nuevas amenazas que puedan surgir.

Conclusión

El modelo Zero Trust representa una evolución en la seguridad en Internet, adaptándose a un entorno donde las amenazas son cada vez más complejas y difíciles de predecir. Su enfoque en la verificación constante y la limitación de privilegios no solo reduce la superficie de ataque, sino que también mejora la seguridad de los sistemas frente a posibles brechas.

Si bien su implementación puede parecer compleja y costosa, los beneficios a largo plazo, como la protección frente a ciberataques y el cumplimiento de normativas, lo convierten en una inversión excelente. Zero trust no es solo una tendencia, es el futuro de la seguridad.