Ya son noticias viejas: la pandemia provocó un «salto cuántico» en la transformación digital. Sin embargo, el hecho es que la seguridad aún tiene que ponerse al día.

El trabajo desde casa (WFH) e incluso el trabajo desde cualquier lugar (WFA) ahora es común, y las huellas de nube/nube múltiple continúan expandiéndose rápidamente. Dentro de esta «nueva normalidad», hay muchas tareas operativas que ahora realizamos desde casa o mientras viajamos, que requieren acceso privilegiado. Esto abarca toda la gama, desde la administración de servidores, bases de datos, aplicaciones y soluciones SaaS, hasta incluso la gestión de las cuentas de redes sociales de la organización.

Como consecuencia, estamos permitiendo que las redes Wi-Fi públicas y domésticas no seguras sean una extensión de nuestros «perímetros» de tecnología de la información para realizar tareas en nuestros entornos comerciales. Y los actores de amenazas están aprovechando alegremente las oportunidades que se presentan, como lo demuestra el aumento de ransomware y otros ataques en los últimos dos años.

Este entorno está obligando a las organizaciones a adoptar un modelo de Zero Trust y las estrategias de mitigación de riesgos Essential Eight de Australia para gestionar mejor el riesgo cibernético. La gestión de acceso privilegiado (PAM) es fundamental para ambas iniciativas. Un informe de Forrester, Embrace Zero Trust For Australia’s Essential Eight, establece cómo las organizaciones pueden alinear y optimizar la implementación de estas iniciativas para lograr la máxima reducción de riesgos.

¿Qué es el Essential Eight?

Mantenido por el Centro de Seguridad Cibernética de Australia (ACSC), Essential Eight nació en 2017, y las actualizaciones de las estrategias se lanzaron el año pasado. El gobierno australiano ha hecho obligatorio que los departamentos y agencias del gobierno federal cumplan con los requisitos de los Ocho Esenciales. Sin embargo, si bien estas mejores prácticas de ciberseguridad perfeccionadas por el ACSC se crearon principalmente para organizaciones australianas, los principios tienen un atractivo universal y, por lo tanto, han visto un gran interés y adopción en todo el mundo.

Essential Eight destila controles de seguridad cibernética altamente efectivos, como señala Forrester en el informe, “Los requisitos de Essential Eight establecen el estándar mínimo, no la barra alta. Abordan algunos, pero no todos, los elementos de un marco Zero Trust, como las capacidades relacionadas con la autenticación del usuario y la validación de la carga de trabajo. Lograr el cumplimiento es un paso necesario en la dirección correcta, pero no es el estado final”.

Ir más allá de los Essential Eight con Zero Trust

La seguridad relativa de la red corporativa, con sus cortafuegos y usuarios conocidos sentados dentro de ella, ha desaparecido, para gran parte de la comunidad empresarial, desde el comienzo de COVID. En su lugar, hay soluciones dispuestas apresuradamente que se crearon como medidas provisionales para una pandemia que iba a durar solo unos meses, no unos pocos años. Existen innumerables historias de organizaciones que se han visto afectadas por ataques perpetrados por sofisticados sindicatos criminales y estados nacionales.

Las razones para alinearse con Essential Eight son bastante simples: representa una base sólida en las mejores prácticas de seguridad cibernética que cubren la prevención de la entrega y ejecución de malware, limitando el alcance de los incidentes de seguridad cibernética, recuperando datos y ayudando con la disponibilidad del sistema.

Si bien Zero Trust es anterior a Essential Eight, su prominencia ha aumentado significativamente, dados los cambios en la forma en que hemos estado trabajando durante los últimos dos años. Según una encuesta de 2021 realizada por Identity-Defined Security Alliance (IDSA), el 93 % de los profesionales de seguridad e identidad ahora dicen que el Zero Trust es estratégico para proteger su organización.

Cada vez más, los recursos que requieren autenticación, privilegios y acceso pueden residir fuera del gobierno corporativo. La confianza cero mejora la seguridad al adoptar de manera predeterminada una mentalidad de «nunca confíe, siempre verifique», que requiere autenticación continua, otorga acceso por tiempo limitado según el contexto, impone privilegios mínimos y capas en monitoreo continuo y administración de sesiones.

Aquellas organizaciones que están en el camino de la confianza cero y que también buscan alinearse con los Ocho Esenciales encontrarán que esta alineación es más fácil porque la confianza cero a menudo supera los requisitos de los Ocho Esenciales. A medida que se introducen nuevos regímenes de cumplimiento, Zero Trust coloca a la organización sobre una base sólida para cumplir con cualquier requisito adicional.

Como señaló Forrester en su informe, lograr el cumplimiento no es el estado final sino un paso en el camino. Forrester enfatiza que al hacer que la estrategia sea de confianza cero, las organizaciones pueden cumplir con los requisitos de cumplimiento a medida que avanzan.

Gestión de Acceso Privilegiado (PAM) y Zero Trust

La administración de acceso privilegiado es una pieza fundamental y esencial para habilitar una arquitectura de confianza cero (ZTA) y cumplir con los Ocho Esenciales.

Las soluciones PAM permiten la eliminación de la confianza persistente, hacen cumplir la autenticación continua, aplican privilegios mínimos, permiten el control de acceso adaptable, implementan segmentación/microsegmentación para aislar recursos y monitorean cada sesión privilegiada, ya sea humana, máquina, proveedor, empleado, local o remoto.

Fuente: www.beyondtrust.com