COVID-19 no ha ralentizado las implementaciones globales de confianza cero


Business Administration Associates y Pulse Secure informan que el 60% de las organizaciones han acelerado sus proyectos de confianza cero durante la pandemia, mientras que solo el 15% se han ralentizado.

Seguridad

Imagen: iStock / vadimrysev

La confianza cero es un modelo de seguridad de red que minimiza el riesgo al aplicar políticas y controles granulares al acceso a la purple y las comunicaciones de la crimson. Zero Have confidence in opera mediante la verificación constante de la legitimidad de las comunicaciones de crimson incluso dentro del perímetro de la pink. Los cambios en la ubicación, el estado del dispositivo, el estado de seguridad, el comportamiento y más pueden iniciar un proceso de reautenticación.

VER: Política de protección contra robo de identidad (TechRepublic Top quality)

Pulse Secure, un proveedor de soluciones de acceso seguro de confianza cero, publicó un informe el mes pasado indicando La pandemia de COVID-19 no ha afectado la adopción de la tecnología de confianza cero a nivel mundial. De hecho, casi dos tercios de las organizaciones (60%) dijeron que han acelerado la implementación de la confianza cero durante la pandemia.

Además, las respuestas de las empresas con respecto a su éxito con confianza cero fueron bastante positivas la mayoría (94%) indicó grados de éxito y la mitad calificó sus esfuerzos como exitosos.

Sin embargo, la encuesta encontró que la colaboración no está exenta de complicaciones. El ochenta y cinco por ciento de los encuestados en grupos de trabajo y asociaciones de confianza cero se encontraron luchando con brechas de habilidades entre equipos (33%), falta de herramientas y procesos que podrían facilitar la colaboración (31%) y conflictos presupuestarios (31%).

Hablé con los expertos de la industria MikeRiemer, director de tecnología global de Ivanti, un proveedor de program de gestión de servicios y activos de TI, y Amit Bareket, cofundador y director ejecutivo del proveedor de SaaS Perimeter 81, para obtener más información sobre la confianza cero.

Scott Matteson: ¿Cuáles son algunos ejemplos subjetivos de confianza cero en acción?

Mike Riemer: A medida que las empresas agregaron capacidad para respaldar la accesibilidad de oficinas remotas, las empresas han tenido que hacer frente a amenazas de seguridad amplificadas derivadas del mayor uso de la informática private, la oficina en el hogar y las redes públicas y las aplicaciones en la nube. Durante el año pasado, la gran mayoría de las empresas experimentó un aumento en los incidentes relacionados con el phishing y el robo de identidad, terminales susceptibles y no administrados y conexiones inseguras. Las defensas perimetrales corporativas tradicionales no desaparecerán, pero se han transformado en computación en la nube y en el borde.

Las organizaciones están optimizando sus inversiones para abordar la nueva normalidad de un lugar de trabajo híbrido y adaptable, con un enfoque en la experiencia del usuario, la facilidad de administración, la visibilidad de un extremo a otro y la respuesta adaptativa a las amenazas. El gran volumen de usuarios, dispositivos, acceso a recursos y aplicaciones, así como la dinámica del aprovisionamiento de usuarios, recursos y aplicaciones está impulsando la inversión en el éxito de la pink de confianza cero y la planificación a más largo plazo. Para mitigar el acceso no autorizado continuo, el malware y los riesgos de violación de datos, las organizaciones están acelerando la coordinación de los controles de seguridad que permiten los principios de confianza cero de la verificación de la postura de seguridad y del usuario y el dispositivo, y la aplicación del acceso a las condiciones basado en una evaluación continua de riesgos.

VER: Cómo administrar las contraseñas: mejores prácticas y consejos de seguridad (PDF gratuito) (TechRepublic)

Amit Bareket: Un ejemplo de confianza cero en acción es la gestión de contratistas o trabajadores remotos. Hoy en día, este tipo de empleados representan un objetivo fácil y sencillo para los piratas informáticos. Están usando sus propios dispositivos y, a menudo, los exponen a redes Wi-Fi públicas. La confianza cero puede imponer un acceso extremadamente restringido a estos trabajadores y combatir los agujeros de seguridad. En lugar de que todos los trabajadores tengan acceso a toda la crimson y los recursos corporativos, la confianza cero permite a las empresas limitar el acceso solo a los recursos que los empleados específicos necesitan para realizar sus trabajos diarios.

La aplicación de un enfoque de confianza cero limita la superficie de ataque, ya que los atacantes no podrán explotar dentro de la pink y obtener acceso a los recursos más críticos y sensibles. Dado que los contratistas y los trabajadores remotos son la fruta más baja para los piratas informáticos, la confianza cero garantiza que estos usuarios no tendrán acceso profundo para que los atacantes exploten. Además, la confianza cero puede permitir que usuarios específicos, como directores ejecutivos y CISO, tengan acceso de alto privilegio que permitirá que estos usuarios tengan acceso «solo para sus ojos».

Scott Matteson: ¿Cuáles son los requisitos para una implementación de confianza cero (components, application, políticas, and so on.)?

Mike Riemer: Las organizaciones deben comenzar haciendo un inventario de todas las condiciones de acceso de los usuarios y las aplicaciones, los recursos y las obligaciones de protección de datos. Una vez que se ha tenido en cuenta todo, el siguiente paso es determinar las necesidades comerciales clave para el acceso directo y privado a las aplicaciones, incluido si el particular puede abordar adecuadamente las capacidades de acceso a las aplicaciones y los usuarios de reuniones y las políticas de seguridad asociadas. También es importante identificar qué aplicaciones y casos de uso no son compatibles o requieren soluciones alternativas, incluidas aquellas que son heredadas o sensibles a la latencia. Estos pasos ayudarán a las organizaciones a determinar si pueden asumir la gestión del computer software ZTNA por sí mismas o si, en cambio, contratarán una solución basada en SaaS.

La siguiente fase implica revisar los puntos clave identificados durante la evaluación anterior para determinar qué tan fácil y económico será comprar, implementar y administrar la solución ZTNA junto con otros mecanismos de acceso seguro. Por ejemplo, a medida que una organización pasa a la seguridad proporcionada en la nube, ¿en qué medida se respaldarán su infraestructura, servicios y ubicaciones de TI híbrida actual? Conocer esta información es elementary para desarrollar un programa exitoso.

Amit Bareket: Existe un malentendido común de que la confianza cero es costosa y complicada de implementar, pero a medida que más empresas están trasladando sus infraestructuras a la nube, se ha vuelto más fácil aprovechar los beneficios de la confianza cero.

La confianza cero es un enfoque y no un producto, pero esto no significa que no necesite tener el producto y las políticas correctos para hacer cumplir la implementación. Desde la gestión de identidades y accesos hasta la intermediación de seguridad en la nube y las soluciones de eventos SIEM, cada component ayudará a las empresas a tener una implementación más exitosa.

Scott Matteson: ¿Qué deben hacer los administradores de TI para prepararse para implementar, administrar y mantener una implementación de confianza cero?

VER: Ciberseguridad: pongámonos tácticos (PDF gratuito) (TechRepublic)

Mike Riemer: Las organizaciones deben considerar hasta qué punto sus aplicaciones y servicios pueden y serán trasladados a la nube. También hay detalles de inversión y proceso a considerar. Muchas organizaciones han realizado una inversión considerable en soluciones de infraestructura de escritorio digital (VDI) y VPN basadas en el conocimiento de que la tecnología funcionaría bien con su infraestructura de TI híbrida, sería conveniente para los usuarios y administradores administrarla y respaldaría sus aplicaciones y aplicaciones existentes. ecosistema de seguridad. Además, esa decisión de inversión también está alineada con su presupuesto y expectativas de depreciación. Como tal, la mayoría de las organizaciones deberán determinar cómo compensar la inversión. Idealmente, el enfoque más pragmático sería buscar soluciones ZTNA que puedan coexistir con sus otras inversiones de acceso seguro, proporcionando una mayor flexibilidad de implementación a medida que las empresas migran aplicaciones a la nube pública y privada y adoptan servicios basados ​​en el borde para abordar la flexibilidad del lugar de trabajo y digital. requisitos comerciales.

Amit Bareket: Al implementar una arquitectura de seguridad de confianza cero, los administradores de TI deben aislar los recursos dentro de su infraestructura de TI en forma de microsegmentación. Forrester Analysis recomienda dividir los recursos de red a nivel granular, lo que permite a las organizaciones ajustar la configuración de seguridad a diferentes tipos de tráfico y crear políticas que limiten los flujos de purple y aplicaciones solo a aquellos que están explícitamente permitidos. Este enfoque de microsegmentación de red permite a los equipos de seguridad la flexibilidad de aplicar el nivel adecuado de protección a una carga de trabajo determinada en función de la sensibilidad y el valor para el negocio.

Scott Matteson: ¿En qué se debe capacitar a los usuarios finales para confiar en soluciones de confianza cero?

Mike Riemer: Un enfoque de confianza cero garantizaría que los dispositivos de los empleados sean seguros y cumplan con las políticas de seguridad corporativas, antes de que se permita cualquier propiedad intelectual en el dispositivo o que fluya a través del dispositivo. Las políticas de seguridad mejoradas que se aplican sin problemas en los dispositivos de los empleados, en certain la conectividad remota, continúan en su punto más alto, brindarán a los empleados la capacidad de mejorar toda la postura de seguridad empresarial, ya que los puntos finales, incluso los nuevos introducidos durante el trabajo remoto, están protegidos.

Amit Bareket: Al capacitar a los usuarios finales con nuevas soluciones de confianza cero, se les debe presentar con sus pautas clave, «nunca confíe, siempre verifique». Los gerentes de TI deben capacitar a los usuarios finales para que comprendan las diferentes funciones que están integradas en la solución. Con las redes de confianza cero, la autenticación de múltiples factores se utiliza para verificar las identidades y luego administrar el acceso a los datos según la «necesidad de uso» del usuario. Además, los usuarios finales deben implementar diferentes contraseñas complejas y adoptar funciones de inicio de sesión único para una experiencia de usuario ultimate más segura.

VER: Conozca a los piratas informáticos que ganan millones por salvar la net, un mistake a la vez (artículo de portada PDF) (TechRepublic)

Scott Matteson: ¿Hay alguna consideración de seguridad u operativa involucrada?

Mike Riemer: Cuando se trata de acceso a la red de confianza cero, las organizaciones deben considerar hasta qué punto sus aplicaciones y servicios pueden y serán trasladados a la nube. También hay detalles de inversión y proceso a considerar. Muchas organizaciones hicieron una inversión substantial en soluciones VPN y VDI basándose en saber que la tecnología funcionaría bien con su infraestructura de TI híbrida, sería conveniente para que la administraran los usuarios y administradores y respaldaría sus aplicaciones y ecosistema de seguridad existentes. Además, esa decisión de inversión también se alineó con su presupuesto y expectativas de depreciación. Como tal, la mayoría de las organizaciones deberán determinar cómo compensar esta inversión. Idealmente, el enfoque más pragmático sería buscar soluciones ZTNA que puedan coexistir con sus otras inversiones de acceso seguro que proporcionarán una mayor flexibilidad de implementación a medida que las empresas migren aplicaciones a la nube pública y privada y adopten servicios basados ​​en el borde para abordar la flexibilidad del lugar de trabajo y electronic. requisitos comerciales.

Amit Bareket: La confianza cero ofrece más que una capa de seguridad más contra los piratas informáticos. La confianza cero ofrece considerables beneficios comerciales, como mayor visibilidad de la purple, menor complejidad de TI, cargas de trabajo de seguridad menos exigentes, protección de datos, una experiencia de usuario remarkable y soporte para la migración a la nube. Estos beneficios vienen con diferentes consideraciones operativas donde el acceso de los empleados deberá ser rediseñado para adaptarse a un modelo de confianza cero implementado en una crimson. Los equipos de DevOps, TI y seguridad participarán en gran medida para garantizar que en toda la empresa se adopte correctamente el modelo de confianza cero recién implementado.

VER: Los datos de mi tarjeta de crédito robada se utilizaron a 4.500 millas de distancia. Traté de averiguar cómo sucedió (artículo de portada PDF) (TechRepublic)

Scott Matteson: ¿Cómo se espera que evolucione esta tendencia en el futuro?

Mike Riemer: En julio de 2020, los malos actores aprovecharon las técnicas de ingeniería social, que implican manipular a las personas para que entreguen información confidencial, con el fin de hacerse pasar por private de TI interno y convencer a los empleados de Twitter que trabajan desde casa para que ingresen su información de inicio de sesión. El ataque de phishing provocó que numerosas cuentas de Twitter de alto perfil, como Barack Obama y Elon Musk, fueran pirateadas. En última instancia, se descubrió que Twitter tenía controles internos insuficientes y una falta de regulación de ciberseguridad, lo que contribuyó al incidente.

La naturaleza descarada del ataque de Twitter muestra que los malos actores están utilizando la ingeniería social para aumentar las apuestas, y podemos esperar ver más de estos eventos orquestados de alto perfil en 2021 a medida que continúe el trabajo remoto y los ciberdelincuentes busquen formas nuevas y creativas de infiltrarse. organizaciones. El incidente representa un nuevo enfoque en los usuarios remotos y la conectividad remota, ya sea a través de túneles VPN u otras formas de conectividad remota. En respuesta, las empresas deben prepararse ahora con la educación adecuada para el usuario last y adoptar una mentalidad de evaluación de amenazas de confianza y riesgo adaptativo. Esto se puede lograr adoptando un enfoque de confianza cero basado en los principios de verificación y autorizaciones continuas que permiten a las organizaciones tener una mejor visibilidad y conocimiento de lo que es y no es el comportamiento típico de un empleado.

Amit Bareket: El cambio genuine al trabajo a distancia ha aumentado la necesidad de adoptar la confianza cero, pero la verdad es que esta tendencia se ha estado gestando durante mucho tiempo. El futuro de la seguridad impulsará a las empresas a implementar más soluciones de seguridad basadas en la nube con identificación de usuarios. Esto aumentará el uso de la confianza cero, proporcionando a las empresas una opción más versatile y escalable que las soluciones de seguridad de purple tradicionales.

En lugar de que las empresas obliguen a sus empleados a conectarse a una VPN o un firewall, invertirán más en soluciones de confianza cero más centradas en el usuario que brinden flexibilidad y una seguridad más moderna basada en la nube.

Ver también



Enlace a la noticia initial