Qué debo proteger con una arquitectura de confianza cero
Nunca confíe, siempre verifique. Aprenda a implementar una arquitectura de confianza cero para ayudar a administrar los riesgos y proteger las cargas de trabajo de TI en su organización.
«Confíe, pero verifique» es un concepto de seguridad del pasado. Hoy en día, las organizaciones adoptan cada vez más una arquitectura de confianza cero para gestionar mejor el riesgo. Fiel a su nombre, la confianza cero requiere que los programas de seguridad nunca confíen y siempre verifiquen.
El marco de Forrester Zero Trust eXtended incluye siete pilares fundamentales diferentes. Uno de estos pilares cubre cómo los administradores de seguridad crean políticas e implementan herramientas para las diversas cargas de trabajo que una empresa utiliza para operar. En el contexto de arquitecturas de confianza cero, las cargas de trabajo se refieren a cualquier aplicación o servicio que opera en centros de datos privados o nubes públicas. Esta es una divergencia de las metodologías de seguridad típicas, ya que se aleja de una arquitectura de seguridad basada en el perímetro a una que protege cada carga de trabajo o recurso individual.
Aquí, examine el proceso de determinar qué cargas de trabajo deben protegerse y qué nivel de riesgo puede y debe tolerarse en un contexto de arquitectura de confianza cero.
Identificar y clasificar cargas de trabajo
El primer paso en el proceso de carga de trabajo es identificar cada carga de trabajo. La carga de trabajo debe clasificarse en función de su propósito, quién necesita acceso a ella y la crítica general para el negocio. Este paso requiere el aporte de las partes interesadas del negocio en los diversos departamentos que usan cargas de trabajo de TI. Cuanto más crítica y sensible sea la carga de trabajo, más controles de seguridad deberían implementarse para protegerla.
A continuación, se crea una identidad digital para cada carga de trabajo. Esto no solo identifica la aplicación o el servicio, sino que también crea un punto de aislamiento donde se pueden aplicar controles de acceso, almacenamiento de datos y políticas de cifrado de datos.
Implementar políticas de control de acceso
Por último, con base en este proceso crítico, se deben implementar políticas y herramientas de seguridad con un propósito específico para permitir o denegar el acceso. Tenga en cuenta que las solicitudes de acceso pueden provenir de dispositivos autónomos de IoT, usuarios u otras cargas de trabajo. Por lo tanto, se pueden requerir múltiples capas de herramientas de seguridad dentro de la arquitectura de confianza cero.
Una arquitectura de confianza cero puede adaptarse para ajustarse a cualquier negocio vertical y a cualquier carga de trabajo de tecnología. Dicho esto, solo es útil si se dedica el tiempo y el esfuerzo adecuados para identificar flujos de trabajo críticos y envolver la seguridad necesaria a su alrededor. Además, son necesarias auditorías periódicas de las cargas de trabajo para garantizar que las tecnologías actuales y nuevas cumplan con los niveles de seguridad necesarios en función de la importancia general para el negocio.
