¿Qué es la seguridad de datos «zero-trust»? Guía y definición

¿Qué es la seguridad de datos «zero-trust»?

Las estrategias de ciberseguridad han pasado de proteger los perímetros de la red a proteger las transacciones de datos individuales y los puntos de acceso. Esta evolución refleja la realidad de queel 63 % de las organizaciones de todo el mundo han implementado total o parcialmente una estrategia de «cero confianza», al reconocer que los modelos de seguridad tradicionales pueden ya no ser suficientes en entornos distribuidos.

La seguridad de datos «zero-trust» supone un replanteamiento fundamental de la forma en que las organizaciones protegen sus activos más valiosos. En lugar de dar por sentada la seguridad dentro de los límites corporativos, este enfoque valida cada interacción, usuario y dispositivo antes de conceder acceso a la información confidencial. La seguridad de datos «zero-trust» es una estrategia y no un producto único para las organizaciones.

Principios básicos de la seguridad de datos «zero-trust»

La seguridad de datos «zero-trust» se basa en la premisa fundamental de que no se debe confiar de forma inherente en ningún usuario, dispositivo o red. Este enfoque requiere una verificación continua de todas las entidades que intentan acceder a los recursos de la organización, independientemente de su ubicación o de su estado de autenticación previo. La filosofía va más allá del simple control de acceso; abarca un marco integral para proteger los datos a lo largo de todo su ciclo de vida.

El principio básico de «nunca confiar, siempre verificar» impulsa todos los aspectos de la implementación del modelo «cero confianza».

• La verificación continua implica validar la identidad del usuario, el estado del dispositivo y el contexto de acceso en cada transacción, no solo en el inicio de sesión inicial.
• El principio del «privilegio mínimo» limita a los usuarios y a las aplicaciones únicamente al acceso mínimo necesario para sus tareas específicas.
• La microsegmentación crea zonas aisladas que impiden el movimiento lateral si una área se ve comprometida.

Estos principios se aplican de forma universal a todos los usuarios, dispositivos y aplicaciones dentro del ecosistema de una organización. Los usuarios deben autenticarse mediante múltiples factores y mantener su estado de verificación durante toda la sesión. Los dispositivos se someten a comprobaciones de estado y a validaciones de cumplimiento antes de obtener acceso a la red, mientras que las aplicaciones operan dentro de parámetros estrictamente definidos que limitan su alcance únicamente a los recursos necesarios.

La aplicación de políticas y la gestión de identidades constituyen la columna vertebral de un control eficaz del acceso a los datos en las arquitecturas de confianza cero. Las organizaciones deben establecer políticas claras que definan quién puede acceder a qué datos y en qué circunstancias, y luego aplicar estas políticas de forma coherente en todas las plataformas. Los sistemas de gestión de identidades realizan un seguimiento y verifican a los usuarios a lo largo de su recorrido digital, ajustando los permisos de forma dinámica en función del contexto y el comportamiento.

La flexibilidad dela implementación «zero-trust»permite a las organizaciones adaptar el marco a sus arquitecturas de TI específicas. Ya sea en entornos nativos de la nube, infraestructuras híbridas o sistemas tradicionales locales, los principios «zero-trust» se adaptan para satisfacer diversas necesidades.

Principios fundamentales de la arquitectura «zero-trust»

Esta tabla resume los principios fundamentales de la arquitectura «zero-trust» y cómo se aplica cada uno de ellos en los entornos informáticos modernos:

La seguridad de datos «zero-trust» frente a los modelos de seguridad tradicionales

Las defensas tradicionales basadas en el perímetro funcionan como los castillos medievales: unos muros sólidos protegen todo lo que hay en el interior, mientras que las amenazas externas se consideran la principal preocupación. Este modelo parte de la base de que, una vez que los usuarios superan el cortafuegos, se les puede confiar un amplio acceso a la red. El modelo «zero-trust» desmonta esta suposición, al reconocer queel 56 % de las organizaciones han informado de brechas de seguridad provocadas mediante el uso indebido de VPN, lo que pone de relieve la vulnerabilidad de la protección basada únicamente en el perímetro.

La seguridad centrada en los datos se centra específicamente en proteger los activos de información mediante el cifrado y los controles de acceso en la capa de datos. El modelo «Zero Trust» abarca este enfoque, pero va más allá, protegiendo todo el ecosistema de usuarios, dispositivos, aplicaciones y redes que interactúan con los datos. Mientras que la seguridad centrada en los datos puede cifrar los archivos en reposo, el modelo «Zero Trust» también verifica quién accede a esos archivos, desde qué dispositivo y en qué circunstancias.

El cambio filosófico de «confía, pero verifica» a «nunca confíes, verifica siempre» representa algo más que un cambio semántico. Los modelos tradicionales verifican a los usuarios en los puntos de entrada y, a continuación, conceden acceso continuado basándose en esa verificación inicial. El modelo «zero trust» mantiene el escepticismo, exigiendo una validación continua incluso para los usuarios previamente autenticados, especialmente cuando intentan acceder a recursos diferentes o cuando cambia su contexto.

Persisten malentendidos comunes sobre la relación entre la seguridad por capas y el «zero trust». Algunas organizaciones creen que añadir más herramientas de seguridad crea un entorno «zero trust», pero el verdadero «zero trust» requiere cambios arquitectónicos, no solo capas adicionales de productos de seguridad tradicionales.

Seguridad de datos de «cero confianza» para las copias de seguridad

Los principios de «cero confianza» se extienden de manera fundamental alos sistemas de copia de seguridad, que representan tanto la última línea de defensa como un objetivo principal para los atacantes sofisticados. Cada solicitud de acceso a las copias de seguridad requiere verificación, lo que ayuda a prevenir modificaciones o eliminaciones no autorizadas. Los controles de «privilegio mínimo» limitan a los administradores de copias de seguridad a funciones específicas, mientras que la supervisión continua detecta actividades anómalas en las copias de seguridad que podrían indicar un compromiso de seguridad.

La infraestructura de copias de seguridad protegida por los principios de «cero confianza» se defiende contra los ataques de ransomware que se dirigen específicamente a las capacidades de Recovery. Las amenazas internas se enfrentan a barreras adicionales al intentar corromper o eliminar copias de seguridad, ya que los requisitos de autorización multiparte impiden que un solo actor comprometa los sistemas de Recovery. Las pruebas periódicas de los procesos de Backup and Recovery en marcos de «cero confianza» confirman que los datos siguen siendo recuperables incluso tras incidentes de seguridad.

Implementación de la seguridad de datos «zero-trust»

Una implementación exitosa del modelo «zero-trust» requiere una planificación metódica yuna ejecución por fases. Las siguientes prácticas recomendadas proporcionan una hoja de ruta para el despliegue sistemático de la seguridad de datos «zero-trust»:

• Evaluar usuarios, dispositivos y aplicaciones: Crear inventarios exhaustivos de todas las entidades que acceden a los datos de la organización. Clasificar los activos en función de su importancia y sensibilidad, documentando los patrones de acceso actuales e identificando los permisos redundantes. Esta fase de evaluación suele revelar lagunas sorprendentes, ya que muchas organizaciones descubren dispositivos no autorizados o cuentas de servicio olvidadas con privilegios excesivos.
• Establecer prioridades y planificar la implementación por fases: Centrar los esfuerzos iniciales en proteger los datos más valiosos y los procesos de alto riesgo. Las grandes empresas suelen empezar por los sistemas de gestión de identidades antes de pasar a la segmentación de la red. Las pequeñas y medianas empresas deberían empezar por las aplicaciones críticas y ampliar el alcance a medida que los recursos lo permitan.
• Aplicar controles de acceso detallados y cifrado: Implementar la autenticación multifactorial en todos los sistemas. Combinar la autenticación con el cifrado de los datos en reposo y en tránsito, aplicando diferentes niveles de protección en función de la clasificación de los datos.
• Microsegmentación: Dividir las redes en zonas aisladas en función de su finalidad, su nivel de confidencialidad y los grupos de usuarios.
• Supervisión y análisis continuos: Implemente sistemas de gestión de información y eventos de seguridad que correlacionen el comportamiento de los usuarios, el estado de los dispositivos y los patrones de acceso.
• Revisar y actualizar periódicamente las políticas: Establecer revisiones trimestrales de las políticas de acceso, ajustando los permisos en función de los cambios en las funciones y las amenazas emergentes. Las herramientas de gestión automatizada de políticas ayudan a mantener la coherencia en entornos complejos, lo cual es especialmente importante, ya que la gestión de políticas en entornos multinube puede resultar complicada debido a las diferencias entre plataformas.

El camino hacia la madurezde confianza cerovaría según la organización, pero el objetivo sigue siendo el mismo: una arquitectura de seguridad que proteja los datos independientemente de la ubicación del usuario, el tipo de dispositivo o los límites de la red. A medida que las ciberamenazas siguen evolucionando yel 96 % de las organizaciones se decantan por un enfoque de «cero confianza», la cuestión ya no es si se debe implementar este modelo, sino con qué rapidez pueden las organizaciones adaptar sus estrategias de seguridad a este nuevo paradigma.

Commvault y la seguridad de datos de «cero confianza»

La seguridad «zero-trust» requiere una combinación estratégica de tecnología, procesos y personas que trabajen conjuntamente para crear múltiples capas de protección. Unas sólidas capacidades de protección y Recovery de datos sirven de base para mantener las operaciones empresariales durante los incidentes cibernéticos. Las organizaciones que implementan arquitecturas «zero-trust» integrales con una protección de datos robusta están mejor posicionadas para defenderse de las amenazas cibernéticas modernas y mantener la continuidad del negocio.

Somos conscientes de que su proceso de adopción del modelo «zero-trust» requiere una planificación minuciosa y contar con el socio tecnológico adecuado. Permítanos mostrarle cómo nuestras soluciones pueden reforzar su nivel de seguridad.Solicita una demostraciónpara saber cómo podemos ayudarte a proteger tus datos.