A medida que los ciberataques crecen a un ritmo alarmante en América Latina, al mismo tiempo que aumentan en complejidad, y los limitados recursos de TI se esfuerzan por controlar una arquitectura de red cada vez más compleja, los ciberdelincuentes se hacen cada vez más competentes y sofisticados. Dado lo anterior, las empresas deben de avanzar hacia un marco de seguridad Zero Trust, el cual se está convirtiendo en un diferenciador estratégico y un imperativo empresarial para prácticamente todas las empresas con una huella digital.
En 2019, solo el 16% de las organizaciones a nivel mundial había implementado la seguridad Zero Trust o tenía planes para hacerlo. El porcentaje de empresas con una iniciativa definida de Zero Trust ya en marcha se ha más que duplicado, pasando del 24% en 2021 al 55% en 2022. Según estimaciones el Mercado global de seguridad de Zero Trust alcanzará los 60,700 millones de dólares y registrará una tasa de crecimiento anual compuesta (CAGR, por sus siglas en inglés) de 17.3% para 2027.
Sin embargo, la adopción del modelo Zero Trust en las empresas de América Latina deberá considerarse como una estrategia imprescindible para 2023, sobre todo cuando se tiene previsto, de acuerdo con IDC Latinoamérica, que el gasto en servicios de ciberseguridad en América Latina será de US$3,595 millones, con un crecimiento de 11.1% de 2022 a 2023, y una tasa de crecimiento anual compuesto (CAGR) de 11.2% hasta 2026. La distribución por tipo de servicio de ciberseguridad en la región se desglosa de la siguiente manera: 56% son servicios de gestión de ciberseguridad, 17% servicios de consultoría, 14% servicios de integración servicios y 12% servicios de soporte.
Desde Akamai destacan que la arquitectura de seguridad Zero Trust reduce al mínimo el riesgo de que los agentes maliciosos traspasen el perímetro y, una vez dentro, se desplacen lateralmente y extraigan datos. Entonces garantiza que las decisiones de seguridad y acceso se apliquen de forma dinámica en función de la identidad, el dispositivo y el contexto del usuario. También este modelo impone que solo los usuarios y dispositivos autenticados y autorizados puedan acceder a las aplicaciones y a los datos. Al mismo tiempo, protege esas aplicaciones y usuarios frente a amenazas avanzadas de Internet.
Es de tal relevancia el concepto Zero Trust que el gobierno de los EE.UU. dio su propia aprobación. Una orden ejecutiva de mayo de 2021 sobre la mejora de la ciberseguridad del país declaró la necesidad de que su gobierno «avanza hacia la arquitectura de Zero Trust» para modernizar su enfoque, como otro gran motivador para que las empresas públicas y privadas hagan lo mismo.
La arquitectura Zero Trust utiliza numerosos controles de seguridad y principios diferentes para abordar los desafíos de seguridad comunes a través de técnicas preventivas. Estos componentes están diseñados para proporcionar protección avanzada contra amenazas a medida que las fronteras entre el trabajo y la vida personal se desdibujan, y tener una plantilla remota cada vez más distribuida se convierte en lo habitual.
Las estrategias Zero Trust pueden aplicarse en diferentes áreas de la empresa, desde las personas y las cargas de trabajo hasta los dispositivos y los datos. De acuerdo con un estudio de la firma Statista, más del 30% de los encuestados consideró de alta prioridad la implantación de Zero Trust en las personas. Esto significaba una verificación exhaustiva de toda la actividad de los usuarios dentro de una empresa.
Para avanzar con la adopción de Zero Trust y proteger a los usuarios y aplicaciones (y el futuro de la empresa), Akamai sugirió a las organizaciones seguir con estas siete prácticas que reducirán los ataques laterales:
1) Proporcionar a los usuarios acceso solo a las aplicaciones, no a toda la red.
2) Aislar la infraestructura de red, de la red pública de Internet.
3) Implantar unaWeb Application Firewall(WAF) para proteger las aplicaciones corporativas frente a ataques de capa de aplicación.
4) Establecer las identidades, la autenticación y la autorización antes de dar acceso.
5) Usar la protección avanzada frente a amenazas para combatir el phishing, el malware de día cero y la exfiltración de datos basada en sistema de nombres de dominios (DNS).
6) Supervisar el tráfico y la actividad vinculada a Internet.
7) Favorecer la integración con sistemas de gestión de eventos e información de seguridad (SIEM) y la orquestación a través de las API RESTfu (es una interfaz que dos sistemas de computación utilizan para intercambiar información de manera segura a través de Internet).
A decir de Akamai, a medida que las organizaciones avanzan hacia la adopción de un modelo Zero Trust, es importante que se mantengan enfocadas en una infraestructura abierta, distribuida y holística que organice políticas en su entorno de red híbrida, con la inteligencia y la adaptabilidad para evaluar y responder a las amenazas de manera proactiva.
En ese sentido, la microsegmentación ayuda a los equipos de seguridad a progresar significativamente hacia la madurez de sus iniciativas Zero Trust. El primer paso hacia la consecución de Zero Trust es comprender al completo su entorno y los activos críticos que intenta proteger, por lo que una solución de microsegmentación ayuda a recopilar información detallada de cargas de trabajo, terminales y redes. A continuación, será posible utilizar estos datos para crear la base de una estrategia Zero Trust, empezando por los activos de mayor prioridad. Mediante controles de segmentación granulares, las organizaciones pueden crear microperímetros alrededor de aplicaciones y entornos específicos que solo permiten actividades que los equipos autorizan explícitamente.
Si bien, Zero Trust consiste en implementar políticas que deniegan todas las acciones que no están expresamente permitidas y verificadas, la microsegmentación definida por software también proporciona a los equipos de seguridad de TI la agilidad necesaria para modificar rápidamente las políticas y satisfacer nuevos casos de uso de seguridad o requisitos empresariales que cambian continuamente.
La transformación digital es una realidad y las empresas deben adoptar un modelo de seguridad Zero Trust para desarrollar con éxito el negocio, permitiendo la innovación y la agilidad, pero sin poner en peligro la seguridad.