¿Qué es la seguridad de datos «zero-trust»? Guía y definición

¿Qué es la seguridad de datos «zero-trust»?

Las estrategias de ciberseguridad han pasado de proteger los perímetros de la red a proteger las transacciones de datos individuales y los puntos de acceso. Esta evolución refleja el hecho de que el 63 % de las organizaciones de todo el mundo han implementado total o parcialmente una estrategia de «cero confianza», al reconocer que los modelos de seguridad tradicionales pueden ya no ser suficientes en entornos distribuidos.

La seguridad de datos «zero-trust» supone un replanteamiento fundamental de la forma en que las organizaciones protegen sus activos más valiosos. En lugar de dar por sentada la seguridad dentro de los límites corporativos, este enfoque valida cada interacción, usuario y dispositivo antes de conceder acceso a la información confidencial. La seguridad de datos «zero-trust» es una estrategia y no un producto único para las organizaciones.

Principios básicos de la seguridad de datos «zero-trust»

La seguridad de datos «zero-trust» se basa en la premisa fundamental de que no se debe confiar de forma inherente en ningún usuario, dispositivo o red. Este enfoque requiere una verificación continua de todas las entidades que intentan acceder a los recursos de la organización, independientemente de su ubicación o de su estado de autenticación previo. Esta filosofía va más allá del simple control de acceso; abarca un marco integral para proteger los datos a lo largo de todo su ciclo de vida.

El principio básico de «nunca confiar, siempre verificar» impulsa todos los aspectos de la implementación del modelo «cero confianza».

• La verificación continua implica validar la identidad del usuario, el estado del dispositivo y el contexto de acceso en cada transacción, no solo en el inicio de sesión inicial.
• El principio del «privilegio mínimo» limita a los usuarios y a las aplicaciones únicamente al acceso mínimo necesario para sus tareas específicas.
• La microsegmentación crea zonas aisladas que impiden el movimiento lateral si un área se ve comprometida.

Estos principios se aplican de forma universal a todos los usuarios, dispositivos y aplicaciones dentro del ecosistema de una organización. Los usuarios deben autenticarse mediante autenticación multifactorial y mantener su estado de verificación durante toda la sesión. Los dispositivos se someten a comprobaciones de estado y a validaciones de cumplimiento antes de obtener acceso a la red, mientras que las aplicaciones operan dentro de parámetros estrictamente definidos que limitan su alcance únicamente a los recursos necesarios.

La aplicación de políticas y la gestión de identidades constituyen la columna vertebral de un control eficaz del acceso a los datos en las arquitecturas de confianza cero. Las organizaciones deben establecer políticas claras que definan quién puede acceder a qué datos y en qué circunstancias, y luego aplicar estas políticas de forma coherente en todas las plataformas. Los sistemas de gestión de identidades realizan un seguimiento y verifican a los usuarios a lo largo de su recorrido digital, ajustando los permisos de forma dinámica en función del contexto y el comportamiento.

La flexibilidad de la implementación «zero-trust» permite a las organizaciones adaptar el marco a sus arquitecturas de TI específicas. Ya sea en entornos nativos de la nube, infraestructuras híbridas o sistemas locales tradicionales, los principios «zero-trust» se adaptan para satisfacer diversas necesidades.

Principios fundamentales de la arquitectura «zero-trust»

Esta tabla resume los principios fundamentales de la arquitectura «zero-trust» y cómo se aplica cada uno de ellos en los entornos informáticos modernos:

Seguridad de datos «Zero Trust» frente a los modelos de seguridad tradicionales

Las defensas tradicionales basadas en el perímetro funcionan como los castillos medievales: unos muros sólidos protegen todo lo que hay en el interior, mientras que las amenazas externas se consideran la principal preocupación. Este modelo parte de la base de que, una vez que los usuarios superan el cortafuegos, se les puede confiar un amplio acceso a la red. El modelo «zero-trust» desmonta esta suposición, al reconocer que el 56 % de las organizaciones han informado de brechas de seguridad provocadas por el uso indebido de VPN, lo que pone de relieve la vulnerabilidad de la protección basada únicamente en el perímetro.

La seguridad centrada en los datos se centra específicamente en proteger los activos de información mediante el cifrado y los controles de acceso en la capa de datos. El modelo «Zero Trust» abarca este enfoque, pero va más allá, protegiendo todo el ecosistema de usuarios, dispositivos, aplicaciones y redes que interactúan con los datos. Mientras que la seguridad centrada en los datos puede cifrar los archivos en reposo, el modelo «Zero Trust» también verifica quién accede a esos archivos, desde qué dispositivo y en qué circunstancias.

El cambio filosófico de «confía, pero verifica» a «nunca confíes, verifica siempre» representa algo más que un cambio semántico. Los modelos tradicionales verifican a los usuarios en los puntos de entrada y, a continuación, conceden acceso continuado basándose en esa verificación inicial. El modelo «zero trust» mantiene el escepticismo, exigiendo una validación continua incluso para los usuarios previamente autenticados, especialmente cuando intentan acceder a recursos diferentes o cuando cambia su contexto.

Persisten malentendidos comunes sobre la relación entre la seguridad por capas y el «zero trust». Algunas organizaciones creen que añadir más herramientas de seguridad crea un entorno «zero trust», pero el verdadero «zero trust» requiere cambios arquitectónicos, no solo capas adicionales de productos de seguridad tradicionales.

Seguridad de datos de «cero confianza» para las copias de seguridad

Los principios de «cero confianza» se extienden de manera fundamental a los sistemas de copias de seguridad, que representan tanto la última línea de defensa como un objetivo principal para los atacantes sofisticados. Cada solicitud de acceso a las copias de seguridad requiere verificación, lo que ayuda a prevenir modificaciones o eliminaciones no autorizadas. Los controles de «privilegio mínimo» limitan a los administradores de copias de seguridad a funciones específicas, mientras que la supervisión continua detecta actividades anómalas en las copias de seguridad que podrían indicar una brecha de seguridad.

La infraestructura de copias de seguridad protegida por los principios de «confianza cero» se defiende contra los ataques de ransomware dirigidos específicamente a las capacidades de Recovery. Las amenazas internas se enfrentan a barreras adicionales al intentar corromper o eliminar copias de seguridad, ya que los requisitos de autorización multiparte impiden que un único actor comprometa los sistemas de Recovery. Las pruebas periódicas de los procesos de Backup and Recovery en entornos de «confianza cero» confirman que los datos siguen siendo recuperables incluso tras incidentes de seguridad.

Implementación de la seguridad de datos de «confianza cero»

Una implementación exitosa del modelo «zero-trust» requiere una planificación metódica y una ejecución por fases. Las siguientes prácticas recomendadas proporcionan una hoja de ruta para el despliegue sistemático de la seguridad de datos «zero-trust»:

• Evaluar usuarios, dispositivos y aplicaciones: crear inventarios exhaustivos de todas las entidades que acceden a los datos de la organización. Clasificar los activos en función de su criticidad y sensibilidad, documentando los patrones de acceso actuales e identificando los permisos redundantes. Esta fase de evaluación suele revelar lagunas sorprendentes, ya que muchas organizaciones descubren dispositivos no autorizados o cuentas de servicio olvidadas con privilegios excesivos.
• Priorizar y dividir la implementación en fases: centrar los esfuerzos iniciales en proteger los datos más valiosos y los procesos de alto riesgo. Las grandes empresas suelen empezar por los sistemas de gestión de identidades antes de pasar a la segmentación de la red. Las pequeñas y medianas empresas deben comenzar por las aplicaciones críticas y ampliar la implementación a medida que los recursos lo permitan.
• Aplicar controles de acceso granulares y cifrado: Implementar la autenticación multifactorial en todos los sistemas. Combinar la autenticación con el cifrado de los datos en reposo y en tránsito, aplicando diferentes niveles de protección en función de la clasificación de los datos.
• Microsegmentación: Divida las redes en zonas aisladas en función de la función, la sensibilidad y los grupos de usuarios.
• Supervisión y análisis continuos: Implemente sistemas de gestión de información y eventos de seguridad que correlacionen el comportamiento de los usuarios, el estado de los dispositivos y los patrones de acceso.
• Revisar y actualizar periódicamente las políticas: Establecer revisiones trimestrales de las políticas de acceso, ajustando los permisos en función de los cambios en las funciones y las amenazas emergentes. Las herramientas de gestión automatizada de políticas ayudan a mantener la coherencia en entornos complejos, lo cual es especialmente importante, ya que la gestión de políticas en entornos multinube puede resultar complicada debido a las diferencias entre plataformas.

El camino hacia la madurez del modelo de «confianza cero» varía según la organización, pero el objetivo sigue siendo el mismo: una arquitectura de seguridad que proteja los datos independientemente de la ubicación del usuario, el tipo de dispositivo o los límites de la red. A medida que las ciberamenazas siguen evolucionando y el 96 % de las organizaciones se decantan por un enfoque de «confianza cero», la cuestión ya no es si se debe implementar este modelo, sino con qué rapidez pueden las organizaciones adaptar sus estrategias de seguridad a este nuevo paradigma.

Commvault y la seguridad de datos de «confianza cero»

La seguridad «zero-trust» requiere una combinación estratégica de tecnología, procesos y personas que trabajen conjuntamente para crear múltiples capas de protección. Unas sólidas capacidades de protección y Recovery de datos sirven de base para mantener las operaciones empresariales durante los incidentes cibernéticos. Las organizaciones que implementan arquitecturas «zero-trust» integrales con una protección de datos robusta están mejor posicionadas para defenderse de las amenazas cibernéticas modernas y mantener la continuidad del negocio.

Entendemos que su transición hacia el modelo «zero-trust» requiere una planificación cuidadosa y contar con el socio tecnológico adecuado. Permítanos mostrarle cómo nuestras soluciones pueden reforzar su postura de seguridad. Solicite una demostración para ver cómo podemos ayudarle a proteger sus datos.