4 formas en que los expertos en ciberseguridad del gobierno aseguran la garantía de la misión con confianza cero

Para los equipos federales de seguridad, el aseguramiento de la misión es esencial. Las solicitudes deben permanecer disponibles en todo momento para asegurar el éxito de la misión.

La mejor manera de lograr la resiliencia de la misión es a través de los principios de confianza cero. Con base en la mentalidad de que las brechas son inevitables y un mantra de “nunca confiar, siempre verificar”, Zero Trust puede ayudar a las agencias gubernamentales a incorporar el aseguramiento de la misión en su estrategia de seguridad.

Para compartir estrategias de Confianza Cero y mejores prácticas para el aseguramiento de la misión, los expertos federales en ciberseguridad Gary Barlet, CTO federal de Illumio y ex CIO de la Oficina del Inspector General del Servicio Postal de Estados Unidos, Mark Stanley, Enterprise Cybersecurity Architecture para la NASA, y David Bottom, CIO de la Comisión de Bolsa y Valores se sentaron para un seminario web con la Red Federal de Noticias.

Vea el webinar completo aquí.

Sigue leyendo para obtener un resumen de su discusión y recomendaciones clave para implementar Zero Trust en tu agencia.

¿Por qué las agencias federales necesitan adoptar Zero Trust para el aseguramiento de la misión?

Una estrategia de seguridad Zero Trust ayuda a las agencias a responder a la pregunta: ¿Cómo tenemos éxito si algo sale mal?

“Cuando todos los sistemas están funcionando normalmente, eso es genial”, explicó Barlet. “Pero, ¿qué pasa cuando las cosas están bajo ataque?”

Zero Trust asume que es simplemente cuestión de tiempo antes de que ocurra una violación. Esta mentalidad establece seguridad que no solo ayudará a los equipos a estar al tanto y detener un ataque, sino que también mantendrá los sistemas en funcionamiento ya sea internamente o desplegados al público.

Como señala Barlet, “la NASA no puede simplemente apagar las cosas en medio de un lanzamiento”, y tampoco casi todas las demás agencias. Si los sistemas se ponen fuera de línea debido al ataque de un adversario, la vida de los empleados y de los ciudadanos puede ponerse en peligro y las agencias pierden la confianza con las partes interesadas.

Los panelistas coincidieron en que un enfoque de “poner y olvidar” de la ciberseguridad no es suficiente para mantener la resiliencia de la misión de los sistemas.

“El aseguramiento de la misión no es un ejercicio estático”, dijo Bottom. “Las expectativas y los requerimientos siempre están cambiando. Tienen que ser factorizados en la planeación que hacemos”.

Según los panelistas, parte de esta planeación debe involucrar una infraestructura Zero Trust que limite la capacidad de los adversarios para moverse lateralmente a través de la red. Esto ayuda a limitar el radio de explosión (o impacto) de un ataque en el sistema y ayuda a mantener la resistencia durante un ataque activo.

“Uno de los inquilinos clave de Zero Trust es esta capacidad de limitar el radio de explosión”, explicó Stanley. “Si alguien que intenta ejecutar un ataque de malware [es] capaz de comprometer mi cuenta, bajo un escenario de confianza cero, de menor privilegio, solo podría implementar contra aquellas cosas a las que tengo acceso y nada más”. Zero Trust, agregó, “elimina el movimiento lateralmente a través de la red”.

Según explicó Barlet, este trabajo no es algo que alguna vez termine o se logre plenamente. La seguridad Zero Trust es un proceso continuo.

“Nunca habrá un final del viaje de Zero Trust”, dijo Barlet. “Nunca se termina con las amenazas que enfrentas. Entonces, por lo tanto, el viaje de Zero Trust nunca terminará”.

4 requisitos para asegurar la misión de construcción con Zero Trust

Según los panelistas, estas son sus cuatro recomendaciones clave para los organismos que implementan Zero Trust:

1. Obtenga visibilidad de extremo a extremo

Crucial para ese viaje interminable: “Tener una buena visibilidad fuerte en toda su empresa”, dijo Barlet. La palabra empresa es crítica. Significa visibilidad no solo de elementos de infraestructura, donde las agencias tradicionalmente han instalado defensas perimetrales. La visibilidad se extiende a las aplicaciones, los datos y la forma en que interactúan entre sí.

“Las aplicaciones tienen conectividad interna a la que las agencias a menudo son ciegas”, dijo Barlet. Para asegurar los cinco pilares de Zero Trust, nombrados por la CISA, las agencias “primero necesitan entender lo que está sucediendo en su empresa y cómo las cosas están realmente interconectadas”.

“Se necesita una mirada objetiva no a lo que la gente piensa que está pasando, sino más bien a lo que realmente está pasando”, dijo Barlet. “Necesitas ver en tiempo real, esas interconexiones y ese tráfico fluyendo”. Agregó, cuando Illumio le muestra a un cliente estas dependencias e interconexiones, “suelen ser tan divergentes que tienen un infarto, para ser honesto contigo”.

2. Cree una arquitectura flexible y adaptable

Las redes de hoy cambian constantemente. Los equipos de seguridad ya no pueden confiar en el modelo tradicional de redes estáticas que tardan en cambiar.

“Cualquier modelo o arquitectura Zero Trust tiene que ser capaz de adaptarse a todos esos cambios rápidos”, dijo Barlet.

A medida que las agencias crean y eliminan máquinas virtuales o reconfiguran las configuraciones, la ciberseguridad necesita seguir esos cambios de manera consistente.

3. Implemente Zero Trust en todos los entornos, incluidos endpoints, OT e IoT

Los tres expertos coincidieron en que Zero Trust debe extenderse a los dispositivos de usuario, no solo a los usuarios, y a OT e IoT que interactúan con la red.

Según Stanley, su equipo monitorea constantemente la actividad de los dispositivos de los sistemas de la NASA. Buscan anomalías que puedan cambiar el nivel de confianza en un intento de acceso en particular.

“La belleza detrás de Zero Trust es que está monitoreando la actividad y ajustando puntajes en tiempo real”, dijo Stanely.

Esto asegura que cualquier problema sea visto, priorizado y abordado rápidamente por el equipo de seguridad de la NASA para garantizar que la misión pueda continuar.

4. Incorde la seguridad Zero Trust en los procesos de desarrollo

Barlet recomendó que los principios de Confianza Cero pasen al desarrollo de nuevas aplicaciones en los procesos DevSecOps. Los desarrolladores están utilizando código de código abierto, y la ciberseguridad debe incorporar Zero Trust para asegurar estas aplicaciones.

“La realidad en el desarrollo de código hoy en día es que ya nadie está escribiendo cada línea de código por sí mismo. Están descargando módulos y usando código de código abierto”, explicó Barlet. “Todas estas piezas de software tienen dependencias e interconexiones que la agencia necesita conocer e incorporar al esquema Zero Trust”.

Las agencias pueden ver estas dependencias al obtener visibilidad de los flujos de comunicación de la red. Luego, pueden establecer políticas de seguridad que aseguren que cualquier vulnerabilidad esté cerrada y que solo permitan el acceso que sea necesario.

Póngase en contacto con nosotros hoy para saber cómo Illumio puede asegurar su agencia gubernamental.