Zero Trust: empezar por la identidad y no por el producto

Durante años la seguridad consistió en construir un perímetro sólido y confiar en todo lo que estuviera dentro. El trabajo remoto, la nube y los servicios de terceros desmantelaron ese supuesto: la mayoría del tráfico relevante ya no cruza el perímetro.

El principio operativo

Ninguna solicitud se autoriza por el lugar desde donde llega. Cada acceso se autentica y se autoriza de forma explícita, con el mínimo privilegio necesario y durante el menor tiempo posible. La identidad se convierte en el nuevo perímetro.

Orden de implementación que funciona

• Inventario de identidades. Humanas, de servicio y de máquina. La mayoría de las organizaciones descubre que no sabía cuántas tenían.
• Autenticación multifactor resistente al phishing. Los factores basados en contraseñas de un solo uso por mensaje son interceptables; las llaves de seguridad físicas no.
• Revisión de privilegios. Eliminar accesos heredados, cuentas compartidas y permisos acumulados por cambios de rol.
• Acceso condicional. Contexto de dispositivo, ubicación y sensibilidad del recurso.
• Segmentación. Limitar el movimiento lateral para que una credencial comprometida no equivalga a toda la red.
• Telemetría y respuesta. Sin visibilidad de lo que ocurre, el modelo no se puede operar.

El error de inversión

Comprar la plataforma antes de ordenar las identidades produce el mismo resultado que digitalizar un proceso roto: acelera algo que estaba mal. El endurecimiento de identidades es más barato, más rápido y más efectivo que cualquier producto de seguridad de red.