A medida que los ciberataques se vuelven más sofisticados y los sistemas informáticos más complejos, la arquitectura de Zero Trust se está convirtiendo en un tema candente en materia de seguridad. Pero Zero Trust no es una idea nueva, sino la continuación de un principio que existe desde hace años. Exploremos la historia y los retos de la misma, el papel fundamental de las copias de seguridad y por qué este tipo de proyectos nunca terminan realmente.
Zero Trust: Nuevo concepto, viejos principios
Si prestas atención a las noticias del sector, verás que en los últimos meses se habla mucho de Zero Trust. Los ciberataques, en particular el ransomware, son cada vez más destacados y su frecuencia ha aumentado considerablemente en el último año. La infraestructura digital también es cada vez más compleja, lo que significa que hay más puntos de acceso e integraciones entre las redes de TI y OT, nubes públicas y entre una miríada de partes diferentes.
Ambos factores hacen que cada vez más organizaciones busquen implementar una arquitectura de Zero Trust. En términos sencillos: un sistema que está asegurado de arriba a abajo, en lugar de solo en el exterior, y que nunca confía y siempre verifica las solicitudes de acceso internas.
En realidad, la confianza cero no es una idea nueva. He trabajado en el ámbito de la protección de datos durante más de veinte años, e incluso en esos primeros días, la práctica de construir sistemas o componentes para que fueran «mutuamente sospechosos» era algo común. Zero Trust es una continuación de esta misma idea, pero como muchas cosas en el espacio digital, la escala y la complejidad han alcanzado nuevos niveles.
El otro aspecto de Zero Trust que la gente suele malinterpretar es que no se trata de un producto que se pueda comprar y simplemente conectar a la arquitectura existente. Es una cultura, un cambio completo de mentalidad, tanto para la organización como para el propio sistema, y se apoya en un conjunto de productos interconectados. Este enfoque en la mentalidad es crucial. No se puede poner en práctica y olvidarse de ella. Hay que reevaluarla constantemente y aplicarla a todo lo que se hace.
Las copias de seguridad y la recuperación son una necesidad olvidada para Zero Trust
Los dos principios básicos de una arquitectura Zero Trust son: verificar siempre y suponer siempre una brecha, lo que significa que la seguridad en el interior del sistema tiene que ser tan sólida como la del exterior. Un elemento del que no se habla lo suficiente es la copia de seguridad y la recuperación de desastres. Zero Trust es una estrategia por capas: se diseña la arquitectura asumiendo que el tráfico puede ser malicioso, que los dispositivos y la infraestructura pueden verse comprometidos y que los datos críticos siempre están en riesgo. Pero esta capa inferior es la más crucial: si todo lo demás falla, se necesita un núcleo a prueba de fallos para restaurar los datos y hacer que los sistemas vuelvan a funcionar lo antes posible.
Hay una regla de oro en la protección de datos conocida como la regla de las copias de seguridad «3-2-1». Esta regla establece que cuando se hace una copia de seguridad de los datos, debe haber tres copias de los mismos, en dos soportes diferentes, y una de ellas debe mantenerse fuera de las instalaciones. Esta regla se popularizó hace casi veinte años y sigue siendo válida hoy en día. Esta regla, que es uno de los principios fundamentales de Veeam, la hemos desarrollado para hacerla viable para la arquitectura moderna de Zero Trust. Puede que la regla «3-2-1-1-0» no sea tan pegadiza, pero es fundamental para que los backups avanzados sean realmente resistentes a todo. Estas incorporaciones cubren una copia de los datos de la copia de seguridad que se mantiene fuera de línea, con un tapón de aire o inmutable, y cero errores debido a la verificación de la recuperación, pero es en la primera en la que quiero centrarme ahora.
Las amenazas modernas, como el ransomware, son increíblemente sofisticadas y apuntan activamente a las copias de seguridad del sistema como parte de sus ataques. En el reciente informe Ransomware Trends Report, Veeam descubrió que el 94% de los ataques de ransomware tenían como objetivo los repositorios de copias de seguridad, y el 68% de ellos tuvieron éxito. Una verdadera estrategia de Zero Trust debe tener en cuenta este hecho y disponer de copias de seguridad que estén fuera de la nube, protegidas por el air-gapped (inalcanzables), inmutables (inalterables) o, incluso mejor, las tres cosas para tener una configuración a prueba de balas.
Retos interminables
Implantar Zero Trust en una organización no es una tarea sencilla. La creación de una verdadera arquitectura Zero Trust conlleva muchos retos. El primero es conseguir la aceptación. Dado que su adopción requiere un esfuerzo conjunto y un cambio de mentalidad de arriba a abajo, es necesario que la dirección, los administradores y los usuarios la acepten y comprendan. Los responsables de la toma de decisiones deben comprender su valor y asignar la financiación adecuada, los administradores deben estar de acuerdo y recibir la formación pertinente, y los usuarios deben comprender y seguir realmente las nuevas políticas. Incluso después de que se hayan implantado las funciones iniciales de Zero Trust, hay que garantizar el seguimiento en toda la organización, en lugar de una mentalidad de «una vez y para siempre».
Otro reto es el constante cambio del panorama de amenazas de una organización. Aunque esto no es una preocupación exclusiva de Zero Trust, ya que cualquier equipo de seguridad tiene que supervisar los nuevos riesgos. No obstante, este tipo de arquitectura es poco sorprendente, ya que cualquier nuevo elemento que se añada al ecosistema debe ser evaluado y, a menudo, modificado para seguir los principios Zero Trust. Los ejemplos de amenazas en expansión pueden incluir cualquier cosa, desde una política de «traiga su propio dispositivo» hasta el software de código abierto.
«La creación de una verdadera arquitectura Zero Trust conlleva muchos retos; el primero es conseguir la aceptación»
El software de código abierto es una herramienta inestimable, pero presenta algunos problemas cuando se sigue el principio de Zero Trust. Un ejemplo infame de ello es la «vulnerabilidad endémica» encontrada en Log4j, que dejó expuestas a muchas organizaciones. Esto no quiere decir que sea imposible utilizar el código abierto junto a Zero Trust, pero estos programas deben estar correctamente empaquetados y envueltos para aislar las vulnerabilidades. En Veeam, por ejemplo, incluso tenemos algunos productos que utilizan Log4J, pero como parte de nuestra arquitectura incorporamos modificaciones que permiten aislar o eliminar las vulnerabilidades.
Esto ejemplifica un reto mayor de Zero Trust, que es fundamental para el éxito o el fracaso de la estrategia: reevaluar constantemente la arquitectura. Esto se debe a que el viaje hacia Zero Trust nunca termina realmente, para tener éxito hay que hacerla parte de la cultura y eso significa no solo aplicarla a todo lo que se hace, sino asegurar que sustenta todo lo que se hace en adelante. A menudo lo comparo con una rutina de ejercicios: si solo la haces una vez, nada cambiará; si la haces durante un tiempo y luego la dejas por completo, tus resultados empezarán a retroceder hasta que vuelvas al punto de partida. Es vital que sigas reevaluando tu seguridad y que lleves esa mentalidad lo más lejos posible. En realidad, la mayoría de las arquitecturas de Zero Trust son probablemente del 0,3% o el 0,5% de confianza; el viaje hacia el cero tiene que ser siempre continuo.
Volviendo a lo básico
En el entorno moderno, Zero Trust se está convirtiendo en un requisito para mantener las empresas y los sistemas a salvo de las amenazas nuevas. Sin embargo, el compromiso necesario para aplicar una estrategia de este tipo no debe tomarse a la ligera, ya que se necesita el compromiso de toda la organización para adoptar y construir realmente una arquitectura y una cultura de Zero Trust. Hacerlo es un viaje constante, pero si se empieza con una estrategia moderna de protección de datos que incluya copias de seguridad y una sólida recuperación de desastres y se construye a partir de ahí, siempre se tendrá algo a lo que recurrir.
