Puesta en práctica de Zero Trust – Pasos 2 y 3: Determinar en qué pilar de Zero Trust centrar y especificar el control exacto

Este serial de blogs amplía las ideas presentadas en mi publicación de marzo, “La confianza cero no es difícil… si eres pragmático”.

En esa publicación, describí seis pasos para lograr Zero Trust. Aquí, profundizaré en dos de los seis pasos descritos para proporcionar un marco estable que pueda ser empleado por los profesionales de la microsegmentación en organizaciones grandes y pequeñas para hacer que sus proyectos sean más exitosos. Antes de comenzar, aquí hay una representación visual de cada paso:

Paso 2: Determinar en qué pilar de Confianza cero centrar

En la primera parte de este serial, analicé "Cómo identificar qué proteger" y recomendé que, para lograr el objetivo a largo plazo (la adopción de Zero Trust en toda la compañía), era prudente comenzar poco a poco y buscar solicitudes candidatas que cumplieran idealmente con al menos dos de los tres criterios que se enumeran a continuación:

• Tener un fuerte impulsor para adoptar los principios de seguridad de Zero Trust, es decir, un requisito normativo o de cumplimiento, un hallazgo de auditoría que debe abordar o una respuesta a una infracción.
• Están marcadas como aplicaciones críticas.
• Tener la voluntad de ser conejillos de indias.

Imaginemos que busqué en mi organización y encontré una aplicación que maneja datos PCI y, por lo tanto, debe cumplir con los requisitos PCI-DSS. También tiene un hallazgo de auditoría sobre "acceso excesivo a la red", está marcado como un componente crítico en mi sistema de pagos de clientes y, luego de mucho convencer, el equipo de aplicaciones aceptó trabajar conmigo para adoptar un marco de Confianza Cero para proteger adecuadamente su aplicación. Si reviso rápidamente mi lista de criterios de selección, puedo ver que la aplicación elegida cumple los tres requisitos.

Entonces, ahora paso a determinar en qué pilar de confianza cero centrarme en esta iteración: estos son los pilares:

De la misma manera que debe adoptar un enfoque muy centrado al identificar qué aplicaciones proteger en esta etapa, debe aplicar una actitud similar al determinar cómo abordar Zero Trust en sí. Intentar abordar todos los pilares en un ciclo sería ambicioso y poco realista, ya que probablemente necesitaría implementar un conjunto diverso de controles y tecnologías, lo que obstaculizaría el objetivo recomendado de lograr un progreso relativamente rápido y medible.

De hecho, Forrester proporciona una herramienta de evaluación del modelo de madurez de Confianza Cero para ayudar a los profesionales a identificar brechas en la adopción de Confianza Cero en sus organizaciones y estos resultados se pueden usar para identificar los pilares específicos de Confianza Cero en los que centrar. Supongamos que ejecutó esta evaluación en mi aplicación elegida y que identifica brechas significativas en la protección de las cargas de trabajo que ejecutan la aplicación y, específicamente, destaca que son fácilmente accesibles desde toda mi red. Esto lo llevaría a centrar esta iteración particular en proteger las cargas de trabajo que alojan su aplicación, lo que garantizaría que obtenga una excelente visibilidad en esta área.

Paso 3: Especificar el control exacto

La protección de la carga de trabajo abarca muchas capacidades de seguridad, incluidas, entre otras, la protección y la aplicación de parches efectivos del sistema operativo y cualquier aplicación instalada, controles de protección contra amenazas basados en host, como antivirus, EDR, monitoreo de integridad de archivos, firewall basado en host, etc.

El paso 2 de la evaluación de madurez de Confianza Cero identificó el acceso excesivo a la red a las cargas de trabajo de las aplicaciones como la brecha más significativa en Confianza Cero, por lo que recomiendo centrar en el firewall basado en host, o más generalmente en la microsegmentación, como el control de seguridad a aplicar para llevar su aplicación un paso más adelante en su viaje hacia Confianza Cero.

Por mi propia experiencia personal como profesional antes de unirme a Illumio, sé que para implementar eficazmente la microsegmentación, necesita una excelente visibilidad de las dependencias ascendentes y descendentes de su aplicación, de modo que tenga la información correcta con la que construir y validar las políticas de confianza cero basadas en listas blancas y con el mínimo privilegio que protegerán sus cargas de trabajo.

Entonces, cuando se concentra en la protección de la carga de trabajo y la visibilidad y el análisis asociados con esto, y además aclaró que planea solo crearcontroles de microsegmentación en esta etapa, ahora está listo para identificar los datos de entrada necesarios para hacer de esta visión una realidad. Y eso es exactamente en lo que me centraré en la próxima edición de este serial.

¿No puedes esperar a mi próxima publicación para obtener más información? Visita nuestra página sobre cómo poner en práctica su estrategia de Zero Trust con microsegmentación para obtener información privilegiada.