Por qué la confianza cero y la segmentación están fallando a algunas organizaciones

Las aplicaciones se sientan en el corazón de cualquier empresa moderna. Impulsan la creación de experiencias innovadoras para los clientes y apoyan la productividad de los empleados. Pero a medida que el tráfico entre aplicaciones ha aumentado y los entornos se han vuelto más distribuidos, la visibilidad, el control y la seguridad han flaqueado. Esta es la nueva realidad para la que se hicieron los enfoques Zero Trust basados en la segmentación. Sin embargo, no todas las segmentaciones son iguales.

Un nuevo informe del analista Enterprise Strategy Group (ESG) ofrece aprendizajes importantes para los líderes de seguridad de TI de la empresa. Aquí está la conclusión: estas herramientas deben centrarse en el nivel de carga de trabajo y, para evitar las limitaciones de la segmentación tradicional basada en la red, también deben desacoplar la segmentación de la infraestructura de red.

¿Por qué Zero Trust?

Ha pasado una década desde El famoso op-ed de Marc Andreesen afirmaba que “el software se está comiendo el mundo”. Hoy en día, decenas de aplicaciones basadas en la nube impulsan la organización típica, impulsando la colaboración de los empleados, la lealtad de los clientes y las ganancias. Según ESG, 88% de las organizaciones ahora soportan al menos 100 aplicaciones de negocios. Pero aunque las plataformas en la nube han ayudado a estas empresas a desarrollar su propio software, también han introducido complejidad y potencial riesgo cibernético.

Las herramientas de seguridad tradicionales se enfocan en el tráfico norte-sur, o protección en el perímetro. Mientras tanto, el volumen de tráfico de aplicación a aplicación, o este-oeste, se ha disparado, lo que ha dado lugar a brechas peligrosas en la protección. Aquí es donde entra Zero Trust.

La confianza cero se basa fundamentalmente en el principio de “nunca confiar, siempre verificar”. Hay dos supuestos básicos y subyacentes: ya se ha producido una brecha en la red y no se debe confiar ciegamente a los usuarios, recursos y dispositivos. En su lugar, deben autenticarse continuamente y su acceso a los recursos restringirse a través de principio de privilegio mínimo. Cuando Zero Trust funciona según lo previsto, proporciona la base para una ciberseguridad altamente efectiva y adaptable que se adapta a la era actual centrada en las aplicaciones y la nube.

Sin embargo, como también revela la investigación de ESG, muchos líderes de TI y seguridad creen erróneamente que Zero Trust es costoso y complejo de implementar tanto desde una perspectiva organizativa como técnica. Si bien muchas de estas percepciones negativas tienen su origen en la confusión del mercado y los mensajes difusos de los proveedores, contienen un núcleo de verdad. La encuesta de ESG revela que la mitad de todos los que han tenido que pausar o abandonar un proyecto Zero Trust en el pasado citan “problemas organizacionales” como la causa.

El camino hacia la verdadera segmentación

Como explica con más detalle ESG, la segmentación debe ser un “elemento fundamental” de cualquier proyecto Zero Trust. Esto se debe a que Zero Trust se trata esencialmente de aislar entidades en red para que puedan comunicarse con otros solo cuando la política lo permita.

El problema es que no todos los enfoques de segmentación ofrecen los atributos que necesitan las organizaciones actuales. Por ejemplo, los métodos estáticos como las listas de control de acceso (ACL) y las VLAN generalmente carecen de la escalabilidad que requiere un entorno basado en la nube. No proporcionan una manera fácil de usar para programar y administrar las miles de reglas de ACL que se encuentran en dispositivos de red. También pueden requerir que las redes se vuelvan a diseñar, lo que podría ser una tarea importante.

Según ESG, la conclusión es la siguiente: Las organizaciones deben elegir soluciones que abstraen la segmentación de la red y estén enfocadas en el nivel de carga de trabajo. ¿Por qué? Porque al hacerlo, pueden superar estos desafíos heredados y garantizar que la segmentación sea tan dinámica y escalable como el entorno que protege.

Puede leer el informe ESG completo aquí.

En la segunda parte de esta serie de dos partes, veremos los cinco atributos clave que las organizaciones exigen a sus proveedores de segmentación y cómo se acumula la oferta de Illumio.