Mejores prácticas de confianza cero

Prácticas recomendadas para la seguridad Zero Trust

La seguridad Zero Trust no es un producto, es un proceso. A continuación se presentan seis prácticas recomendadas que las organizaciones deben observar en el camino hacia la seguridad de confianza cero.

Verifique a todos los usuarios con autenticación de múltiples factores (MFA)

A menudo se dice que la confianza cero se basa en el principio de "nunca confíes, verifica siempre". Pero, si se implementa correctamente, ¿es más exacto decir que la confianza cero se basa en el principio de "nunca confíes, verifica siempre y vuelve a verificar"?

Atrás quedaron los días en los que un nombre de usuario y una contraseña eran suficientes para validar la identidad de un usuario. Hoy en día, estas credenciales deben fortificarse mediante la autenticación de múltiples factores (MFA). Los factores de autenticación adicionales pueden consistir en uno o más de los siguientes:

• Algo que sepas: Puede ser una contraseña, una pregunta de seguridad, un PIN, un código postal o cualquier otra información personal.
• Algo que tienes: Por lo general, un SMS de verificación, un mensaje enviado a tu teléfono, códigos generados en aplicaciones de autenticación, un token de hardware, etc.
• Algo que eres: Puede ser un dato biométrico, como un escaneo de huellas dactilares, un escaneo de retina, un escaneo facial o una voz.

Al implantar una arquitectura de confianza cero, la identidad de cada usuario que acceda a su red (usuario privilegiado, usuario final, clientes, socios...) debe verificarse utilizando múltiples factores. Y estos factores se pueden ajustar en función de la sensibilidad de los datos/recursos a los que se accede.

Verifique todos los dispositivos:

Verificar a los usuarios es necesario, pero no suficiente. Los principios de la confianza cero también se extienden al dispositivo terminal. La verificación de dispositivos incluye asegurarse de que cualquier dispositivo utilizado para acceder a sus recursos internos cumple los requisitos de seguridad de su empresa. Busque una solución que le permita rastrear y aplicar el estado de todos los dispositivos con una fácil incorporación y salida de usuarios.

Implementar el principio de privilegios mínimos

El principio de privilegios mínimos (PoLP) determina a qué puede acceder en un entorno de confianza cero. Se basa en la idea de que a un usuario en particular solo se le deben otorgar los privilegios suficientes para permitirle completar una tarea en particular.

Por ejemplo, un ingeniero que solo se ocupa de actualizar líneas de código heredado no necesita acceder a los registros financieros. PoLP ayuda a contener el daño potencial en caso de que se vea comprometida la seguridad.

El acceso con privilegios mínimos también se puede ampliar para incluir el acceso con privilegios "justo a tiempo". Este tipo de acceso restringe los privilegios solo a los momentos específicos en los que se necesitan. Esto incluye los privilegios que caducan y las credenciales de un solo uso.

Supervise y audite todo:

Además de autenticar y asignar privilegios, también debe supervisar y revisar toda la actividad de los usuarios en la red. Esto ayudará a identificar cualquier actividad sospechosa en tiempo real. La visibilidad es especialmente importante para los usuarios que tienen derechos administrativos debido al gran alcance de sus permisos de acceso y la confidencialidad de los datos a los que pueden acceder.

Adopte controles basados en atributos:

Utilice controles basados en atributos para autorizar el acceso a los recursos en toda su pila de seguridad, desde la aplicación en la nube y en las instalaciones, hasta las API, los datos y la infraestructura. Esto permitirá al administrador ajustar y aplicar fácilmente las políticas de acceso para bloquear eventos sospechosos en tiempo real.

Tenga en cuenta a sus usuarios finales:

No dejes que lo perfecto sea enemigo de lo bueno. Implementar la estrategia perfecta de confianza cero que sus usuarios finales odian usar no es una muy buena estrategia. Ustedes, los usuarios finales, solo quieren trabajar. Considere una estrategia y unos productos que creen la experiencia más fluida y similar al SaaS para su equipo.