Recomendaciones clave para una implementación exitosa de Zero Trust
A la hora de abordar la protección de las infraestructuras digitales en un mundo cada vez más interconectado y expuesto a ciberataques, las organizaciones están avanzando de forma decidida hacia arquitecturas de confianza cero o nula confianza. Aunque cada una de ellas presenta requisitos únicos que pueden hacerles emprender caminos diferentes, Dell Technologies propone una serie de consideraciones comunes que pueden servir como guía en el proceso de implementación de una estrategia Zero Trust:
- Planificar el cambio
La transición a una arquitectura de Zero Trust supone un gran cambio con respecto a los modelos de seguridad tradicionales, lo que hace que sea necesario planificar de forma meticulosa. Los expertos en ciberseguridad de Dell advierten de la necesidad de considerar la postura de seguridad de la empresa de manera diferente a como se ha venido haciendo en el pasado, algo que implica alejarse de las soluciones de seguridad de red tradicionales basadas en el perímetro y acercarse más a una arquitectura microsegmentada y centrada en los datos. También es necesario tener en cuenta los costes, el impacto en las operaciones o los requisitos de compliance. En este punto puede ser conveniente pedir ayuda a expertos externos.
- Elegir el camino apropiado
Existen distintas sendas que pueden seguirse para alcanzar los beneficios de Zero Trust:
- Incremental: un enfoque iterativo que incorpora principios clave de confianza cero al entorno actual.
- Hiperescalares: aprovechando las funcionalidades de confianza cero de los principales proveedores cloud.
- Entorno dedicado y totalmente compatible: entorno privado, local, creado desde cero y estrictamente adherido a los estándares de confianza cero.
Además de esos tres caminos, las compañías pequeñas y medianas también pueden adoptar una aproximación de “identidad como nuevo perímetro”, que se centra en la gestión de identidades y accesos, y que se apoya en herramientas SaaS para alcanzar una protección Zero Trust. Un componente crítico de este método es la implementación de la autenticación multifactor (MFA) en toda la organización.
Los expertos de Dell señalan que las aproximaciones de identidad y de hiperescalares tienen unos costes menores frente a los que optan por incorporar principios de zero trust al entorno actual o las que se centran en construir entornos dedicados, que siempre requerirán una inversión mayor.
- Control en torno a las necesidades del negocio
Una arquitectura de confianza cero debe estar diseñada para administrar y proteger los flujos de trabajo; los roles de los usuarios y los privilegios relacionados; los dispositivos; los datos; las aplicaciones y las redes de una organización. La primera fase de una implementación requiere una documentación sólida de estos aspectos, y luego el plano de control y la infraestructura se diseñan para aplicar las políticas que los rigen.
Si el entorno de confianza cero inhibe o altera significativamente las operaciones comerciales en detrimento de la organización, cualquier mejora en la seguridad que se logre, probablemente, no valga la pena. Por ello, no hay que olvidar nunca que los controles deben construirse siempre en torno a las necesidades y objetivos de crecimiento del negocio, y que la experiencia de usuario y la usabilidad deben seguir siendo fundamentales.
- Enfoque en los datos
La protección de los datos es el núcleo de una arquitectura Zero Trust. Es necesario garantizar que toda la actividad de la red, de los dispositivos y los usuarios queda registrada de forma continua. Dada la enorme cantidad de datos que se generan, las herramientas de análisis modernas deben utilizar IA y aprendizaje automático para ser efectivas.
- Implementar una política “nunca confiar, siempre verificar” en todo el ecosistema TI
Una estrategia de confianza cero debe aplicarse de forma global, lo que implica incluir cadenas de suministro físicas y digitales de terceros. No hacerlo, podría dejar brechas de seguridad críticas.
