El (interminable) camino hacia la confianza cero

A medida que los ciberataques se vuelven más sofisticados y los sistemas de IT más complejos, la arquitectura “zero-trust” (confianza cero) se está convirtiendo en un tema relevante en materia de seguridad.

Pero “zero-trust” no es una idea nueva, sino la continuación de un principio que existe desde hace años. Exploremos la historia y los retos de la confianza cero, el papel fundamental del backup y por qué este tipo de proyectos nunca terminan realmente.

Zero-trust: nuevo concepto, viejos principios

Si se presta atención a las noticias de la industria, verán que en los últimos meses se habla mucho de ”zero-trust”. Los ciberataques, en particular el ransomware, son cada vez más sofisticados y han aumentado considerablemente en el último año. La infraestructura digital también se está volviendo más compleja, lo que significa más puntos de acceso e interacciones entre las redes de IT y OT, nubes públicas y entre una serie de actores diferentes.

Ambos factores hacen que cada vez más organizaciones busquen implementar una arquitectura de confianza cero. Sencillamente: un sistema que esté completamente asegurado, en lugar de sólo asegurarse desde afuera, y que nunca confía y siempre verifica las solicitudes de acceso internas.

En realidad, “zero-trust” no es una idea nueva. Habiendo trabajado en el ámbito de la protección de datos durante más de veinte años, incluso en esos primeros días, la práctica de construir sistemas o componentes para que fueran "mutuamente sospechosos" era algo común. La confianza cero es una continuación de esta misma idea, pero como muchas cosas en materia digital, la escala y la complejidad han alcanzado nuevos niveles.

El otro aspecto que la gente suele no entender, es que no se trata de un producto que se pueda comprar y simplemente conectar a la arquitectura existente. “Zero trust” es una cultura, es un cambio completo de mentalidad, tanto para la organización como para el propio sistema, y se apoya en una serie de productos interconectados. Este enfoque en la mentalidad es crucial. No se puede poner en práctica y olvidarse de ella. Hay que reevaluar constantemente y aplicar la confianza cero a todo lo que se hace.

El backup y la recuperación son una necesidad olvidada para la confianza cero

Los dos principios básicos de una arquitectura “zero-trust” son: verificar siempre y suponer siempre que hay una brecha, lo que significa que la seguridad en el interior del sistema tiene que ser tan sólida como la del exterior. Un elemento del que no se habla lo suficiente es sobre el backup y la recuperación ante desastres. La confianza cero es una estrategia por capas: se diseña la arquitectura asumiendo que el tráfico puede ser malicioso, que los dispositivos y la infraestructura pueden verse comprometidos y que los datos críticos siempre están en riesgo. Pero esta capa inferior es la más crucial: si todo lo demás falla, se necesita un núcleo a prueba de fallos para restaurar los datos y hacer que los sistemas vuelvan a funcionar lo antes posible.

Hay una regla de oro en la protección de datos conocida como la regla del backup "3-2-1". Esta regla establece que cuando se hace un backup, debe haber tres copias de los mismos, en dos espacios diferentes, y una de las copias debe mantenerse fuera de las instalaciones. Esta se popularizó hace casi 20 años y sigue siendo válida hoy en día. Siendo uno de los principios fundamentales de Veeam, la hemos desarrollado para hacerla viable para la arquitectura moderna “zero trust”. Puede que la regla "3-2-1-1-0" no sea tan pegadiza, pero es fundamental para que los backups avanzados sean realmente resistentes a todo. Suma una copia de los datos off-line (fuera de línea) en un entorno “air-gapped” o inmutable, y cero errores en la verificación de la recuperación, pero es en la primera en la que quiero centrarme ahora.

Las amenazas modernas, como el ransomware, son increíblemente sofisticadas y apuntan activamente a los repositorios de backup del sistema como parte de sus ataques. En el reciente Informe de tendencias de ransomware, Veeam descubrió que el 94% de los ataques tenían como objetivo estos repositorios, y el 68% de ellos tuvieron éxito. Una verdadera estrategia “zero-trust” debe tener en cuenta este hecho y disponer de copias que estén desconectadas, protegidas en entornos“air-gapped” (inalcanzables), inmutables (inalterables) o, incluso mejor, las tres, para tener una configuración a prueba de balas.

Retos interminables

Implementar la confianza cero en una organización no es una tarea sencilla. La creación de una verdadera arquitectura de este tipo trae consigo muchos desafíos. El primero es conseguir la aceptación. Dado que requiere un esfuerzo conjunto y un cambio de mentalidad de arriba a abajo, es necesario que los líderes, los administradores y los usuarios la acepten y la comprendan. Los responsables de la toma de decisiones deben comprender su valor y asignar la financiación adecuada, los administradores deben estar de acuerdo y recibir la formación pertinente, y los usuarios deben comprender y seguir realmente las nuevas políticas. Incluso después de que se hayan implantado las capacidades iniciales de confianza cero, hay que garantizar el seguimiento en toda la organización, en lugar de una mentalidad de "una vez y listo".

Otro reto es el cambiante panorama de amenazas hacia las organizaciones. Aunque esto no es una preocupación exclusiva de la confianza cero (ya que cualquier equipo de seguridad tiene que supervisar los nuevos riesgos), debido a que este tipo de arquitectura es tan poco complaciente, cualquier elemento nuevo que se añada al ecosistema tiene que ser evaluado y, a menudo, modificado para seguir los principios de la confianza cero. Los ejemplos de amenazas crecientes pueden incluir cualquier cosa, desde una directiva de "traiga su propio dispositivo" hasta el software de código abierto.

El software de código abierto es una herramienta muy valiosa, pero presenta algunos problemas a la hora de seguir la confianza cero. Un ejemplo infame de esto es la "vulnerabilidad endémica" encontrada en Log4j que dejó a muchas organizaciones expuestas. Esto no quiere decir que sea imposible utilizar el código abierto junto con la confianza cero, pero estos programas deben estar correctamente empaquetados y envueltos para aislar las vulnerabilidades. En Veeam, incluso tenemos algunos productos que utilizan Log4J, pero como parte de nuestra arquitectura, incorporamos modificaciones que permiten aislar o eliminar las vulnerabilidades.

Esto demuestra un desafío mayor, que es fundamental para el éxito o el fracaso de la estrategia: reevaluar constantemente la arquitectura. El viaje hacia la confianza cero nunca termina realmente, para tener éxito hay que hacerla parte de su cultura y eso significa no sólo aplicarla a todo lo que se hace, sino asegurar que es la base de todo lo que se hace en adelante.

A menudo lo comparo con una rutina de ejercicios: si solo la haces una vez, nada va a cambiar; si la haces durante un tiempo y luego la dejas por completo, tus resultados empezarán a retroceder hasta que vuelvas al punto de partida. Es vital reevaluar la seguridad y llevar esa mentalidad lo más lejos posible. En realidad, la mayoría de las arquitecturas “zero-trust" son probablemente del 0,3% o el 0,5% de confianza; el viaje hacia el cero tiene que ser siempre continuo.

Volviendo a lo básico

En el entorno moderno, la confianza cero se está convirtiendo en un requisito para mantener las empresas y los sistemas a salvo de las amenazas en evolución. Sin embargo, el compromiso necesario para aplicar una estrategia de este tipo no debe tomarse a la ligera, ya que se requiere de toda la organización para adoptar y construir realmente una arquitectura y una cultura de este tipo. Hacerlo es un camino constante, pero si se empieza con una estrategia moderna de protección de datos que incluya backup y una sólida recuperación de desastres y se construye a partir de ahí, siempre se tendrá algo a lo que recurrir.