Operacionalización de la confianza cero — Pasos 2 y 3: Determinar en qué pilar de confianza cero centrarse y especificar el control exacto

Esta serie de blogs amplía las ideas introducidas en mi publicación de marzo,”La confianza cero no es difícil... Si eres pragmático”.

En ese post, delineé seis pasos para lograr Cero Confianza. Aquí, profundizaré más en dos de los seis pasos descritos para proporcionar un marco sólido que pueda ser utilizado por los profesionales de la microsegmentación en organizaciones grandes y pequeñas para que sus proyectos sean más exitosos. Antes de comenzar, aquí hay una representación visual de cada paso:

Paso 2: Determine en qué pilar Zero Trust centrarse

En parte 1 de esta serie, analicé “Identificar qué proteger” y le recomendé que para lograr su objetivo a largo plazo, la adopción de Zero Trust en toda la empresa, era prudente comenzar poco a poco y buscar solicitudes de candidatos que coincidieran idealmente al menos 2 de los 3 criterios que se enumeran a continuación:

• Tener un fuerte impulsor para adoptar los principios de seguridad Zero Trust, es decir, un requisito reglamentario o de cumplimiento de normas, un hallazgo de auditoría que debe abordarse o una respuesta a una violación.
• Están marcadas como aplicaciones críticas.
• Tener disposición a ser conejillos de indias.

Imagine que he cazado alrededor de mi organización y he encontrado una aplicación que maneja datos PCI y, por lo tanto, necesita cumplir con Requerimientos de PCI-DSS. También pasa que tiene un hallazgo de auditoría en torno al 'acceso excesivo a la red', está marcado como un componente crítico en el sistema de pagos de mi cliente y, después de mucho convencimiento, el equipo de aplicaciones ha accedido a trabajar conmigo en la adopción de un marco Zero Trust para asegurar adecuadamente su aplicación. Si devuelvo rápidamente a mi lista de criterios de selección, puedo ver que mi aplicación elegida cumple con los 3 requisitos.

Entonces, ahora paso a determinar en qué Pilar de Confianza Cero enfocarme en esta iteración; estos son los pilares:

De la misma manera que debes tomar un enfoque muy enfocado a la hora de identificar qué aplicaciones proteger en esta etapa, debes aplicar una actitud similar al determinar cómo abordar la propia Zero Trust. Intentar abordar cada pilar en un ciclo sería ambicioso y poco realista, ya que probablemente necesitaría implementar un conjunto diverso de controles y tecnologías, lo que dificultaría el objetivo recomendado de lograr avances relativamente rápidos y medibles.

Forrester en realidad proporciona un Herramienta de evaluación del modelo de madurez de confianza cero para ayudar a los profesionales a identificar las brechas en la adopción de Zero Trust por parte de su organización y estos resultados se pueden utilizar para identificar los pilares de confianza cero específicos en los que centrarse. Supongamos que ha ejecutado esta evaluación con mi aplicación elegida e identifica lagunas significativas en el protección de cargas de trabajo ejecutar la aplicación, y específicamente destaca que son fácilmente accesibles desde toda mi red. Esto le llevaría a enfocar esta iteración en particular en proteger las cargas de trabajo que alojan su aplicación, asegurando que obtenga excelente visibilidad en esta área.

Paso 3: Especifique el control exacto

La protección de carga de trabajo abarca muchas capacidades de seguridad que incluyen, entre otras, la seguridad y aplicación efectiva de parches del sistema operativo y cualquier aplicación instalada, controles de protección contra amenazas basados en host como antivirus, EDR, monitoreo de integridad de archivos, firewall basado en host, etc.

El paso 2 de la Evaluación de Madurez de Confianza Cero ha identificado un acceso excesivo a la red a cargas de trabajo de aplicaciones como la brecha más significativa en Zero Trust, por lo que recomiendo centrarse en el firewall basado en host, o más generalmente la microsegmentación, como el control de seguridad a aplicar para mover su aplicación un paso más adelante en su viaje de Zero Trust.

Desde mi propia experiencia personal como practicante antes de unirme a Illumio, sé que para implementar efectivamente la microsegmentación, necesita una excelente visibilidad de las dependencias upstream y downstream de su aplicación, para que tenga la información correcta con la que construir y validar el menor privilegio, basado en lista blanca, Políticas de confianza cero que protegerá sus cargas de trabajo.

Por lo tanto, cuando se enfoca en la protección de la carga de trabajo y la visibilidad y análisis asociados con esto, y ha aclarado aún más que planea construir solo micro-controles de segmentación en esta etapa, ahora está listo para identificar los datos de entrada necesarios para hacer realidad esta visión. Y eso es exactamente en lo que me voy a centrar en la próxima edición de esta serie.

¿No puedes esperar a mi próximo post para saber más? Visita nuestra página sobre cómo poner en marcha su estrategia Zero Trust con microsegmentación para obtener información privilegiada.