Internet, tal y como la conocemos y utilizamos hoy en día, se creó en la década de 1960 como un sistema de comunicación que pudiera sobrevivir a una guerra nuclear. Sin embargo, también se gestó con la idea de que la información debía ser libre y de que una red podía y debía ser de confianza.
Cuarenta años después, Internet se ha convertido en un producto popular indispensable que la gente utiliza para informarse y entretenerse. Pero con la innovación también llegó el peligro, el peligro de que se hiciera un mal uso de esta tecnología en la que se confiaba. Por ello, la ciberseguridad también su propia evolución. Y aun contando con herramientas y capacidades limitadas, empezó a extenderse la creencia de que las personas y las empresas podían confiar en sus propias redes, pero no debían confiar en otras ajenas a su empresa u hogar. La mayor parte de la seguridad se basaba en la idea de que una red podía ser segura, pero en realidad esto nunca fue cierto. La única forma de hacer segura una red es no utilizarla nunca.
A pesar de esta falsa creencia, a principios de la década de 2000, se empezó a intentar averiguar cómo diseñar una red segura que pudiera utilizarse sin miedo. Los equipos de seguridad intentaron establecer controles más estrictos y hacer que cualquiera que intentara entrar en la red tuviera que superar un obstáculo para acceder. Alternativamente, muchos equipos de TI decidieron que el mejor enfoque era la segmentación, es decir, dividir una gran red en varias redes más pequeñas para aumentar la dificultad. Sin embargo, estas ideas siguen siendo totalmente erróneas, ya que se basan en la falsa creencia inicial de que una red puede protegerse.
El modelo tradicional
Antes de analizar la posible solución a este problema, conviene repasar cómo funciona el modelo tradicional y cómo puede ser aprovechado por los ciberdelincuentes. Tradicionalmente, el firewall y sus evoluciones eran el elemento de control básico que tenían los consumidores y los equipos informáticos para la seguridad de la red. El trabajo del firewall era bloquear todo el tráfico por defecto para que no entrara en la red y solo permitir el tráfico que tuviera con las direcciones IP y los números de puerto correctos. En algunos casos, esto podría considerarse un control muy eficaz, sobre todo si tienes dos dispositivos propietarios que pueden conectarse y quieres que puedan hablar entre sí. Sin embargo, en cuanto permites que el cortafuegos autorice el acceso a los puertos de Internet, pones en peligro tu sistema.
Junto a los firewalls, la tarea de los equipos de seguridad es analizar los flujos de tráfico dentro de las redes e intentar bloquearlos, además de identificar donde se encuentran los datos y aplicaciones sensibles de una red y protegerlos. Este proceso es arriesgado porque, por muchos controles y bloqueos que se pongan en una red, los equipos de seguridad nunca podrán confiar plenamente en ella y siempre estarán atentos a posibles puntos débiles en la red que puedan abrir puertas a través de las cuales los ciberdelincuentes puedan atacar el cortafuegos.
Sacar la red de nuestro modelo de seguridad
Al cambiar la arquitectura y dejar de utilizar la red como parte del modelo de seguridad, los equipos de TI han empezado a abandonar la antigua mentalidad de confianza implícita y comienzan a utilizar un enfoque zero trust de la ciberseguridad. ¿Cómo puede un modelo de confianza cero hacer algo diferente? El modelo de confianza cero proporciona conectividad de dentro a fuera, es decir, canaliza todo el tráfico a una red a través de un agente de confianza verificado que puede predecir el riesgo potencial de cada pieza de tráfico y aplicar una política común basada en el riesgo antes de autorizar cualquier conexión a la red.
Al eliminar esa concesión de privilegios para quienes ya están en la red, los equipos de TI pueden ir un paso por delante de los ciberdelincuentes y dejar de jugar su mismo juego. Pueden aplicar los controles de forma centralizada y automática, sin tener que revisar manualmente cada elemento de tráfico que ya ha traspasado el cortafuegos. Los controles en sí mismos no suponen una gran diferencia con al modo que nos protege desde hace casi 35 años. No se trata de revolucionar los controles, sino de cambiar la forma de aplicarlos. En lugar de tener que identificar dónde se encuentran todos los datos y aplicaciones sensibles en la red y poner controles sobre estas áreas específicas, el modelo Zero Trust le da la vuelta y permite a los equipos de seguridad dejar de perseguir tanto a sus empleados, que están incorporando constantemente nuevos datos sensibles en la red, que luego hay que proteger, y a los ciberdelincuentes, que buscan constantemente puntos débiles que explotar.
Por supuesto, el modelo de confianza cero no es infalible. Los atacantes encontrarán formas nuevas e ingeniosas de burlar la seguridad. Sin embargo, este modelo permite a los equipos de seguridad estar siempre a la vanguardia y no tener que estar continuamente reaccionando. Les permitirá empezar a planificar sus defensas de una forma mucho más inteligente, ahora que ya no utilizan la red como parte de su modelo de seguridad.
Conclusión
Al aceptar que la red nunca puede ser realmente segura y eliminar la idea de confianza implícita en quienes se encuentran dentro del cortafuegos, los equipos de TI pueden implantar un modelo mucho más eficaz para proteger los activos y datos de la empresa. El modelo de confianza cero replantea cómo debe gestionarse el tráfico centralizando los controles a través de un agente de confianza, lo que permite a los equipos de seguridad prever posibles ataques, en vez de intentar constantemente mantenerse actualizados a medida que evoluciona la red.
Marc Lueck, CISO EMEA de Zscaler
