El camino centrado en los datos hacia la confianza cero



Los datos son el activo más valioso de una organización, por lo que un enfoque centrado en los datos proporcionaría el mejor valor para las organizaciones, ahora y en el futuro.

Pocas personas cuestionarían seriamente las ventajas de un modelo de seguridad de confianza cero, particularmente en un entorno de nube que cambia rápidamente con una fuerza laboral dispersa que lleva a cabo los negocios utilizando una amplia variedad de dispositivos. La pregunta es cuál es la mejor manera de abordar la confianza cero. Si bien todavía no existe una definición o estándar específico para un modelo de confianza cero, han surgido dos enfoques principales: uno que adopta un enfoque centrado en la purple y el otro un enfoque centrado en los datos. Esta última es la mejor opción.

La confianza cero ha ganado mucho terreno desde que el término fue acuñado por un analista de Forrester Investigate en 2010 (aunque sus fundamentos se remontan más atrás a las thoughts que se filtraron a partir de las Foro de Jericó). Google ayudó a popularizar el enfoque con su BeyondCorp framework, pero sigue siendo principalmente un objetivo para los CISO en lugar de una práctica generalizada. Ninguna organización ha implementado por completo un modelo de confianza cero, aunque las organizaciones reconocen claramente su necesidad.

Con la prevalencia de la computación en la nube y un número cada vez mayor de trabajadores remotos, así como dispositivos móviles y de Net de las cosas, las empresas hace tiempo que superaron el perímetro de su pink. Los empleados trabajan en cualquier momento y desde cualquier lugar. Las organizaciones comparten información, a veces en situaciones en las que deben cooperar con su competencia. E incluso si una organización almacena sus datos con un tercero en la nube, esa organización está todavía responsable para proteger esos datos. Agregue a eso un panorama de amenazas dinámico que crece constantemente en velocidad, escala y complejidad, y la noción tradicional de enfocar la seguridad en el perímetro no se sostiene.

La seguridad del perímetro sigue siendo importante, por supuesto, pero las organizaciones necesitan extender la seguridad a los lugares donde se realizan las actividades comerciales. La confianza cero reemplaza la mentalidad centrada en el perímetro por una de autenticación y verificación continua de usuarios, dispositivos y aplicaciones, ya que ahí es donde se intercambian los datos, el elemento vital de cualquier organización. La confianza cero es más evolutiva que revolucionaria, y refleja cómo ha cambiado la informática y cómo la seguridad debe evolucionar hacia la capa de datos.

Bifurcación en el camino
Sin embargo, a pesar del acuerdo sobre la necesidad de la confianza cero, la industria se encuentra en una bifurcación en el camino sobre la mejor manera de implementarla, ya sea centrándose en la purple o en los datos. Como ejemplo, eche un vistazo al Instituto Nacional de Estándares y Tecnología (NIST) Arquitectura Zero Belief marco y el grupo abierto. Ambos enfoques se centran en las dos cuestiones más importantes: cómo proporcionar seguridad que permita a las organizaciones realizar operaciones y cómo gestionar el riesgo. Pero por varias razones, creo que centrarse en el nivel de datos es la mejor opción a largo plazo.

Las razones de la confianza cero nos llevan inevitablemente a un enfoque centrado en los datos. Desde un nivel atómico, el nivel de datos, un enfoque centrado en los datos brinda a las organizaciones la flexibilidad para, por ejemplo, establecer y hacer cumplir políticas además de su seguridad. Si alguien que tiene acceso a ciertos datos pero se muda a otro trabajo donde no debería, puede ser difícil ingresar y deshacer manualmente algunos de los controles que existen en torno a la autenticación de usuarios. Pero si su política es autenticarse cada vez que una persona intenta acceder a esos datos, se dirige a un motor de políticas que confirma quiénes son, dónde están, qué dispositivo están usando o las reglas que establezca la política. Si algo no está bien, esa persona no entra. Un enfoque centrado en datos abstrae la complejidad y la coloca en un motor de aplicación de políticas, lo que brinda a las organizaciones la seguridad que necesitan en tiempo serious.

Incluso las organizaciones que dependen de la infraestructura heredada, como los sistemas de handle industrial, tienen que enfrentarse a la integración de TI / OT. Los proveedores de redes ofrecen confianza cero en función de «reducir el perímetro de la crimson» a través de la microsegmentación, o dividir la purple en pequeños segmentos lógicos con controles de seguridad y acceso definidos para cada uno. Esta puede ser una solución provisional adecuada, pero no aborda la perspectiva de TI con suficiente fuerza. No va directamente a los datos. Todavía está enfocado en la purple.

En los entornos informáticos actuales, la seguridad es más que solo la pink: son las aplicaciones, los dispositivos, los usuarios y otros niveles los que deben protegerse y monitorearse para detectar condiciones anómalas. Un enfoque centrado en los datos es más capaz de respaldar la seguridad de una fuerza de trabajo remota, contrarrestar las posibles amenazas internas y permitir el tipo de operaciones que buscan las organizaciones. El perímetro de la crimson, si bien es útil, no admite el tipo de agilidad que las empresas necesitan hoy.

Terreno común
La confianza cero no debe percibirse como una solución puramente técnica, ni eliminará todas las amenazas. Pero es el mejor modelo para proteger los entornos informáticos de rápida evolución de la actualidad y, al mismo tiempo, gestionar los riesgos de seguridad. Llegar allí requiere un cambio cultural en la forma en que las organizaciones piensan en la seguridad, que se beneficiaría mejor adoptando un enfoque centrado en los datos.

Por el momento, la industria se enfrenta a la reconciliación de los dos enfoques dominantes. Los defensores de un enfoque centrado en los datos no quieren eliminar la seguridad centrada en la red sigue siendo importante. Los grupos de estándares están trabajando juntos con la esperanza de llegar a un consenso sobre la mejor opción, en términos de costos (como capacitación y reequipamiento) y proporcionar valor comercial. Dado que los datos son el activo más valioso de una organización, un enfoque centrado en los datos proporcionaría el mejor valor para las organizaciones, ahora y en el futuro.

Altaz Valani, director de Insights Exploration en Security Compass, gestiona la visión standard y el equipo de investigación. Es un conferencista recurring que realiza investigaciones en curso en el ámbito de la seguridad del program. Antes de unirse a Security Compass, Valani fue investigadora senior … Ver biografía completa

Lectura recomendada:

Más información





Enlace a la noticia authentic