Demasiada “confianza”, poca “verificación”

COMENTARIO

A pesar de las interminables violaciones de datos y ataques de ransomware, demasiadas organizaciones todavía dependen de la anticuada estrategia de ciberseguridad de “confiar, pero verificar”. Este enfoque supone que se puede confiar en cada usuario o dispositivo de la red de una empresa una vez que se ha verificado. El enfoque tiene claras debilidades: muchas empresas se exponen a riesgos adicionales al verificar sus datos solo una vez y luego confiar en ellos para siempre.

Hubo un tiempo en el que confiar pero verificar tenía sentido, es decir, cuando las redes eran autónomas y estaban claramente definidas. Pero en algún momento, las cosas comenzaron a fallar, tal vez debido a la abrumadora cantidad de dispositivos en una red, la cantidad de parches a aplicar, las demandas de los usuarios y las limitaciones de recursos en el equipo de ciberseguridad. La verificación inicial significó que el activo era confiable, pero nunca se llevó a cabo una verificación adicional.

El ejemplo del usuario de confianza sin verificación continua

Es fácil ver cómo sucede esto con los usuarios. Un usuario normalmente pasa por una verificación de antecedentes cuando se une a la empresa, pero solo una vez. a bordoA pesar de los numerosos cambios en sus vidas que podrían afectar su confiabilidad, les permitimos acceder a nuestros sistemas y datos sin verificación adicional.

En la mayoría de los casos, la falta de verificación adicional no causará ningún daño. Sin embargo, si el usuario decide actuar en contra de los intereses de su empleador, las consecuencias pueden ser catastróficas. Cuanto más sensible sea la información a la que tenga acceso la persona, mayor será el riesgo. Por esta razón, las personas con autorizaciones de seguridad son revisadas periódicamente y el personal de seguridad puede realizar auditorías financieras periódicas para identificar cualquier problema de manera temprana e intervenir para mitigar cualquier daño potencial.

En las organizaciones que adoptan un enfoque de “confiar pero verificar”, se destacan dos personas: aquellas que han considerado aceptable el riesgo de una verificación única de activos; y –la minoría– aquellos que intentan gestionar el riesgo con un programa de reconsideración. Un cambio de personalidad de lo primero a lo segundo generalmente sólo ocurre después de una violación, una crisis de disponibilidad o alguna otra “catástrofe que limite la carrera”.

La realidad es que simplemente no hay suficientes horas en el día para que los profesionales de seguridad completen todas las tareas requeridas. ¿Se han aplicado correctamente los parches de seguridad a todos los dispositivos vulnerables? ¿Se analizan adecuadamente todas las evaluaciones de seguridad de terceros? hacer cualquier cosa Internet de las cosas ¿Los dispositivos (IoT) realmente pertenecen a la red? ¿Los servicios de seguridad administrados están funcionando como se esperaba?

Poner en peligro uno de estos dispositivos confiables le brinda la confianza para moverse lateralmente a través de la red y acceder a datos confidenciales y sistemas críticos. Es poco probable que las empresas se den cuenta del alcance de su exposición hasta que algo salga mal.

Las costosas consecuencias de una verificación inadecuada

Cuando finalmente se descubren estas violaciones, los costos comienzan a aumentar. Las empresas no sólo se enfrentan a la directa Costos de respuesta a incidentespero también potencialmente multas, demandas colectivas, pérdida de clientes y daños permanentes a la reputación de la marca. Los incidentes relativamente pequeños pueden costar millones de dólares, mientras que los incidentes grandes suelen costar miles de millones.

Además de estos costos directos, una verificación inadecuada también resulta en auditorías de cumplimiento más frecuentes y costosas. Los reguladores y las asociaciones industriales exigen cada vez más que las empresas demuestren controles sólidos de gestión de identidad y acceso, por ejemplo en el marco de la próxima regulación de la UE. Ley de Estabilidad Operacional Digital (DORA) y seguimiento y validación continua de la actividad del usuario y del dispositivo. Ya no es fácil aceptar certificaciones y acreditaciones.

El camino a seguir: adoptar un enfoque de confianza cero

En lugar de confiar después de la verificación, las empresas deberían permitir solo lo que necesitan, durante el tiempo que lo necesiten. Nunca confíes, siempre verifica. Así funciona una arquitectura de confianza cero.

Cada usuario, dispositivo y aplicación que intenta conectarse, independientemente de su ubicación, es auditado y validado, lo que limita drásticamente el daño potencial de un compromiso exitoso. Una arquitectura de confianza cero reemplaza los firewalls y las VPN, lo que significa menos dispositivos que mantener, y una superficie de ataque reducida significa que los atacantes tienen menos oportunidades de hacerse un hueco.

La confianza cero no significa que no haya pruebas; Las pruebas deben ser una parte integral de cualquier estrategia de TI y ciberseguridad. Sin embargo, esto significa que la probabilidad de un error fatal resultante de extender la confianza a usuarios, dispositivos o aplicaciones que no la merecen es cosa del pasado.