Blog

Del riesgo cero a la confianza digital

Cada vez se oye hablar más del modelo de seguridad “riesgo cero”. Ante el aumento y  sofisticación de los ataques informáticos, muchos se plantearon adoptar la reacción escéptica de “no confiar en nadie”. En la práctica de las organizaciones, esto se ha traducido en la obligación de identificar y verificar a cada persona o dato, tanto fuera como dentro de la red, de cualquiera que intente conectar o acceder a nuestra información, antes de permitirlo.

El riesgo cero es muy complicado de lograr, sobre todo en organizaciones con una larga historia y sistemas heredados de hace años. Por eso, la confianza digital parece confirmarse como el próximo modelo de seguridad  y está cimentada sobre la denominada “huella digital” de empleados y clientes. Este rastro digital permite identificar perfiles o patrones de comportamiento de cada usuario, con información de sus propios dispositivos, incluida su ubicación.

La confianza digital permite al usuario acceder a aplicaciones y sistemas, siempre que su perfil esté autorizado. Sin embargo, los inevitables controles de entrada deben ser breves y simples, para garantizar una experiencia de uso satisfactoria.

La confianza digital implica el despliegue de diferentes herramientas que identifiquen engaños o robots, buscadores de amenazas automatizados y nuevas tácticas de ataque, identidades digitales falsas o cualquier método de suplantación. El repositorio de identidades digitales es por eso una mina de oro para los cibercriminales, por lo que su inviolabilidad debe ser total.

El respaldo de la nube es otro elemento en el que debe asentarse la confianza digital y muchos proveedores de seguridad ya están desarrollando tecnologías Cloud que se suman a los clásicos beneficios de esta plataforma; su flexibilidad y escalabilidad.

Los sistemas de seguridad basados ​​en la nube están construidos con API abiertas, por lo que los equipos de seguridad pueden integrar tecnologías en la plataforma con relativa facilidad y activar o desactivar la seguridad, en función de sus necesidades.

La seguridad basada en la nube es especialmente importante en una era de nube híbrida ya que los servicios basados en ella plantea nuevos retos de seguridad. A menudo, el departamento IT no tiene conocimiento de la activación de nuevos servicios en la nube o de la conexión de sus usuarios a ella. Pero, gracias a esta flexibilidad y escalabilidad de la seguridad en la nube, las organizaciones logran ahora una visibilidad adicional de sus entornos, en lugar de una vista estática de la organización, con un conjunto definido de tecnologías, protegiendo puntos específicos de la red.

La seguridad basada en la nube también permite una mayor automatización y orquestación. Con el advenimiento de los runbooks o libros de ruta, los profesionales de seguridad tienen una base de conocimiento que les aporta visión sobre qué, cómo y cuándo responder a nuevas conexiones inusuales e incidentes de seguridad. También, a automatizar respuestas en el momento apropiado.

Aprovechando las máquinas, pueden escanear el entorno en busca de cambios, reunir y construir inteligencia de nuevo en la plataforma (y en nuevos runbooks), para saber tomar medidas cuando exista una amenaza clara.

Seguridad por diseño

Pero si hay una tendencia evidente en este mundo de la seguridad es que las organizaciones ahora buscan ser seguras por diseño. Durante muchos años, crearon soluciones tecnológicas y luego “afrontaron” las medidas de seguridad. Esto suponía, cuando menos, retrasos en su puesta en marcha y nuevos costes.

Más tarde, adoptaron la seguridad en diferentes entornos y estadios para cada uno de ellos, los denominados proyectos por etapas. Aquí el equipo IT está involucrado desde el principio, pero la seguridad también se deja para el final.

Pero esta mentalidad está cambiando otra vez. Ahora que cualquier organización sabe que el mundo digital ha venido para quedarse, también se reconoce abiertamente que este mundo debe ser seguro por diseño.

Esto equivale a decir que la ciberseguridad debe estar intrincada en lo más profundo de la organización, en todos sus desarrollos y formar parte de las siglas que hoy predominan en cualquier empresa. Si hasta ahora la productividad IT estaba basada en la llamada DevOps, en adelante deberán modificarse para convertirse en DevSecOps e incluir la seguridad por diseño en toda su operativa, desde su concepto, hasta el diseño o su puesta en marcha, en todos los procesos de la organización.