Zero Trust e IAM: Cómo Proteger el Acceso de una Empresa
Las empresas ya no pueden depender únicamente de un firewall o de una red interna para proteger sus sistemas. El trabajo remoto, los servicios en la nube, los dispositivos personales y las aplicaciones SaaS han cambiado la forma en que empleados, clientes y proveedores acceden a los recursos corporativos.
En este escenario, dos conceptos están ganando importancia dentro de la ciberseguridad empresarial: Zero Trust e IAM (Identity and Access Management).
Ambas tecnologías permiten controlar quién puede acceder a los sistemas de una organización, desde qué dispositivo, bajo qué condiciones y a qué recursos. El objetivo es reducir los accesos innecesarios y limitar las posibilidades de que una cuenta comprometida pueda utilizarse para acceder a información sensible.
¿Qué es Zero Trust?
Zero Trust, o confianza cero, es un modelo de seguridad basado en una idea sencilla: ningún usuario, dispositivo o aplicación debe recibir confianza implícita solamente por encontrarse dentro de una determinada red.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) establece que una arquitectura Zero Trust desplaza el enfoque tradicional basado en el perímetro de red hacia la protección de usuarios, activos y recursos. La autenticación y autorización deben evaluarse antes de permitir el acceso a un recurso empresarial.
Esto resulta especialmente importante para empresas que utilizan servicios cloud y cuentan con empleados trabajando desde diferentes ubicaciones.
En lugar de asumir que un usuario es confiable después de iniciar sesión, Zero Trust permite aplicar controles adicionales durante el acceso a los recursos.
¿Qué significa IAM?
IAM son las siglas de Identity and Access Management, o gestión de identidades y accesos.
Una plataforma IAM permite administrar las identidades digitales de empleados, colaboradores, proveedores y otros usuarios que necesitan acceder a los sistemas de una empresa.
Entre sus funciones habituales se encuentran:
- Crear y administrar cuentas de usuarios.
- Controlar permisos de acceso.
- Aplicar políticas de autenticación.
- Gestionar el inicio de sesión único o SSO.
- Integrar autenticación multifactor.
- Retirar permisos cuando un empleado abandona la empresa.
- Registrar determinadas actividades relacionadas con los accesos.
- Aplicar diferentes niveles de privilegios según el usuario y el recurso.
La importancia del IAM aumenta a medida que una organización utiliza más aplicaciones y servicios digitales.
Zero Trust e IAM: ¿Cuál es la relación?
Zero Trust e IAM no son exactamente lo mismo, pero pueden trabajar conjuntamente.
El IAM proporciona información sobre quién es el usuario y qué permisos tiene, mientras que Zero Trust utiliza esa información como parte de un modelo más amplio de control de acceso.
Por ejemplo, una empresa podría permitir que un empleado acceda a una aplicación corporativa, pero exigir una autenticación adicional si intenta entrar desde un dispositivo desconocido o acceder a información especialmente sensible.
La decisión de acceso puede considerar diferentes factores:
Identidad + dispositivo + recurso + contexto + política de seguridad
Este enfoque permite aplicar controles más específicos que el tradicional "está dentro de la red, por lo tanto es confiable".
¿Por qué las empresas necesitan Zero Trust?
El modelo tradicional de seguridad fue diseñado en gran medida alrededor de un perímetro definido. Sin embargo, actualmente los recursos empresariales pueden estar distribuidos entre centros de datos, servicios cloud, aplicaciones SaaS y dispositivos utilizados fuera de la oficina.
NIST señala precisamente que el crecimiento de usuarios remotos, dispositivos personales y activos basados en la nube es uno de los factores que impulsan la adopción de arquitecturas Zero Trust.
Entre los principales motivos para implementar este enfoque se encuentran:
Trabajo remoto
Los empleados pueden necesitar acceder a sistemas corporativos desde hogares, hoteles, oficinas compartidas o diferentes países.
Servicios en la nube
Las aplicaciones y datos pueden encontrarse en múltiples plataformas cloud, por lo que el perímetro físico de la empresa deja de ser suficiente como mecanismo de protección.
Aplicaciones SaaS
Las organizaciones utilizan cada vez más aplicaciones externas para gestión empresarial, almacenamiento, comunicación, recursos humanos, contabilidad y otras funciones.
Riesgo de credenciales comprometidas
Una contraseña robada puede convertirse en una puerta de entrada a diferentes sistemas si la organización no aplica controles adicionales.
Necesidad de limitar privilegios
Un usuario debería disponer solamente de los permisos necesarios para realizar sus funciones. Este principio reduce el impacto potencial de una cuenta comprometida.
MFA: una pieza fundamental del control de acceso
La autenticación multifactor, conocida como MFA, añade una capa adicional de seguridad al proceso de inicio de sesión.
En lugar de depender únicamente de una contraseña, el usuario puede tener que demostrar su identidad mediante otro factor.
Por ejemplo:
- Una aplicación de autenticación.
- Una llave de seguridad.
- Un código temporal.
- Un factor biométrico.
- Otro mecanismo compatible con la política de seguridad de la organización.
MFA no convierte por sí sola a una empresa en una organización Zero Trust, pero puede formar parte de una estrategia de protección de identidades y accesos.
SSO: simplificar el acceso sin perder control
El Single Sign-On (SSO) permite que un usuario utilice una identidad corporativa para acceder a diferentes aplicaciones autorizadas.
Esto puede simplificar la experiencia del empleado y facilitar la administración de identidades.
Desde el punto de vista empresarial, centralizar determinadas políticas de acceso también puede ayudar a mantener un mayor control sobre las aplicaciones utilizadas por los trabajadores.
El principio de mínimo privilegio
Uno de los conceptos fundamentales relacionados con Zero Trust es el principio de mínimo privilegio.
La idea consiste en proporcionar a cada usuario únicamente los permisos necesarios para desarrollar sus funciones.
Por ejemplo, un empleado del departamento de marketing podría necesitar acceso a determinadas plataformas de marketing y documentos, pero no debería tener automáticamente permisos administrativos sobre los servidores de la empresa.
La aplicación de este principio limita las posibilidades de que una cuenta comprometida pueda utilizarse para acceder a recursos que no son necesarios para el trabajo del usuario.
Zero Trust también considera los dispositivos
La identidad del usuario no es el único elemento que puede analizarse.
Una estrategia Zero Trust puede considerar también información relacionada con el dispositivo desde el cual se solicita el acceso.
Por ejemplo, una organización podría establecer políticas diferentes para:
- Equipos corporativos administrados.
- Equipos personales.
- Dispositivos que no cumplen determinados requisitos de seguridad.
- Equipos desconocidos.
- Dispositivos con configuraciones consideradas de mayor riesgo.
En arquitecturas modernas, las políticas pueden aplicarse a usuarios, dispositivos, aplicaciones y otros componentes del entorno tecnológico.
Zero Trust en entornos multinube
La seguridad se vuelve más compleja cuando una empresa utiliza diferentes proveedores cloud.
Una organización puede tener aplicaciones en una nube, bases de datos en otra y sistemas internos funcionando en infraestructura propia.
NIST publicó posteriormente una guía específica para arquitecturas Zero Trust en aplicaciones cloud-native y entornos multinube, destacando la necesidad de aplicar políticas de identidad y acceso también a aplicaciones y servicios.
Esto significa que Zero Trust no debe entenderse solamente como una tecnología de red. También puede involucrar identidades de usuarios, aplicaciones, servicios y APIs.
¿Cómo implementar Zero Trust en una empresa?
La implementación debería realizarse de forma progresiva. Intentar modificar todos los sistemas al mismo tiempo puede aumentar la complejidad y dificultar la identificación de problemas.
Un posible proceso incluye:
1. Identificar usuarios y recursos
La empresa debe conocer qué usuarios existen, qué aplicaciones utiliza y qué recursos necesitan protección.
2. Revisar los permisos actuales
Es conveniente analizar qué permisos tiene cada usuario y eliminar aquellos que ya no sean necesarios.
3. Fortalecer las identidades
La implementación de MFA, políticas de contraseñas y mecanismos centralizados de autenticación puede mejorar la protección de las cuentas.
4. Implementar SSO cuando sea apropiado
Centralizar determinados accesos puede facilitar la administración de identidades y reducir la dispersión de credenciales.
5. Aplicar mínimo privilegio
Los usuarios deben disponer únicamente de los permisos necesarios para sus funciones.
6. Incorporar controles sobre dispositivos
La organización puede establecer políticas diferentes según el estado y el nivel de confianza del dispositivo.
7. Supervisar los accesos
Los registros y eventos de autenticación permiten detectar comportamientos inusuales y revisar las políticas de acceso.
8. Avanzar hacia políticas más granulares
Con una infraestructura de identidad consolidada, la empresa puede establecer reglas más específicas para usuarios, dispositivos, aplicaciones y recursos.
NIST también ha publicado una guía práctica de implementación de Zero Trust basada en diferentes escenarios empresariales y tecnologías disponibles comercialmente.
Errores frecuentes al implementar Zero Trust
Uno de los errores más comunes consiste en pensar que Zero Trust es simplemente instalar una nueva herramienta de seguridad.
En realidad, implica revisar políticas, identidades, permisos, dispositivos, aplicaciones y procesos.
Otros errores frecuentes son:
- Mantener cuentas de empleados que ya no trabajan en la empresa.
- Conceder permisos administrativos innecesarios.
- Utilizar una única contraseña para diferentes servicios.
- No activar MFA en cuentas importantes.
- No revisar periódicamente los permisos.
- Ignorar las aplicaciones SaaS utilizadas por los empleados.
- No controlar los accesos de proveedores externos.
- Intentar implementar todos los controles simultáneamente sin una planificación previa.
¿Cuánto cuesta implementar Zero Trust?
El coste depende considerablemente del tamaño de la empresa, el número de usuarios, las aplicaciones existentes, la infraestructura tecnológica y el nivel de seguridad requerido.
Una empresa pequeña puede comenzar con medidas relativamente sencillas, como MFA, gestión centralizada de identidades y revisión de permisos.
Las organizaciones más grandes pueden necesitar soluciones adicionales para gestión de identidades privilegiadas, seguridad de endpoints, segmentación, acceso remoto, monitorización y protección de aplicaciones cloud.
Por eso, el primer paso debería ser identificar los riesgos y recursos críticos antes de seleccionar una plataforma tecnológica.
¿Qué tecnologías forman parte de una estrategia Zero Trust?
Zero Trust no depende de una única herramienta. Una arquitectura empresarial puede combinar diferentes tecnologías:
- IAM.
- MFA.
- SSO.
- Gestión de dispositivos.
- Gestión de accesos privilegiados.
- Seguridad de endpoints.
- Microsegmentación.
- Protección de aplicaciones.
- Monitorización y análisis de eventos.
- Seguridad cloud.
- Gestión de identidades de aplicaciones y servicios.
La combinación concreta dependerá de las necesidades de cada organización.
La transformación hacia entornos híbridos y multinube ha cambiado la manera en que las empresas deben proteger sus recursos digitales.
Zero Trust e IAM permiten trasladar el foco de seguridad desde el perímetro de red hacia las identidades, los dispositivos, las aplicaciones y los recursos que necesitan protección.
Una estrategia bien diseñada puede ayudar a controlar los accesos, aplicar el principio de mínimo privilegio y reducir la exposición provocada por cuentas comprometidas.
Para las empresas que utilizan trabajo remoto, aplicaciones SaaS y servicios cloud, la gestión de identidades y accesos se convierte así en una parte cada vez más importante de su estrategia de ciberseguridad.
Comentarios
Publicar un comentario