En tiempos más sencillos, proteger la infraestructura de una organización era relativamente fácil: la mayoría, si no la totalidad, de las aplicaciones, los servicios y los recursos que un usuario —normalmente un empleado— necesitaba para ser productivo estaban disponibles en la red. Con las credenciales adecuadas, por lo general un nombre de usuario y una contraseña, los usuarios se consideraban autorizados y de confianza, y podían acceder a la red y utilizar cualquier aplicación, servicio o recurso para el que tuvieran autorización, además de ver la mayoría de las demás aplicaciones, servicios y recursos de la red. Las organizaciones reforzaban su seguridad perimetral y se sentían a salvo y protegidas frente a ataques y amenazas, porque todo estaba seguro tras los muros fortificados del «castillo» de la red.
Sin embargo, con el tiempo, proteger las aplicaciones, los servicios y los recursos de una organización se volvió sumamente complejo y difícil. Hoy en día, el perímetro de la red no es fácil de definir ni de identificar, especialmente debido al uso cada vez mayor de la nube, el auge del trabajo desde cualquier lugar, el uso de dispositivos móviles y la proliferación del Internet de las cosas (IoT). El personal puede estar compuesto por empleados, contratistas, consultores, proveedores de la cadena de suministro y otros perfiles. La enorme complejidad de la infraestructura actual de las organizaciones ha superado rápidamente la capacidad de la seguridad de red basada en el perímetro.
Aquí entra en juego la confianza cero. La confianza cero no es una idea nueva, pero es un concepto de seguridad más relevante e importante hoy que nunca. Una arquitectura de confianza cero elimina el modelo de red de confianza dentro de un perímetro definido. La confianza cero parte de la premisa de que ya hay un atacante presente en el entorno. También presupone que un entorno propiedad de una organización no es diferente —ni más fiable— que cualquier otro entorno que no le pertenezca. Asimismo, una organización nunca debe dar por sentada la confianza implícita. La máxima de la confianza cero es: «Nunca confíes, verifica siempre».
A medida que crecían tanto el concepto como el deseo de adoptar una arquitectura de confianza cero, también aumentaba la confusión sobre qué era exactamente una arquitectura de confianza cero.
Con el fin de facilitar la comprensión de la arquitectura de confianza cero, el Instituto Nacional de Estándares y Tecnología (NIST) elaboró la Publicación Especial (SP) 800-207 del NIST, «Arquitectura de confianza cero». Aunque no se trata de una guía ni de un plan de implementación, la SP 800-207 describe la confianza cero para los arquitectos de seguridad y proporciona una hoja de ruta para la migración y la implementación de los requisitos de seguridad de una arquitectura de confianza cero.
F5 ha sido seleccionada como uno de los 18 proveedores que colaborarán con el NCCoE del NIST en el proyecto «Implementación de una arquitectura de confianza cero», cuyo objetivo es desarrollar enfoques prácticos e interoperables para diseñar y crear arquitecturas de confianza cero que se ajusten a los fundamentos y principios documentados en NIST SP 800-207, Arquitectura de confianza cero. Las soluciones de ejemplo propuestas integrarán productos comerciales y de código abierto que aprovechan los estándares y las prácticas recomendadas de ciberseguridad para mostrar las sólidas funciones de seguridad de una arquitectura de confianza cero aplicada a varios casos de uso habituales de TI empresarial. (Tenga en cuenta que el NIST no evalúa productos comerciales en el marco de este consorcio ni avala ningún producto o servicio utilizado).
Puede encontrar más información sobre este consorcio en https://www.nccoe.nist.gov/zerotrust.
«Para F5 es un honor y un motivo de gran satisfacción anunciar nuestra colaboración con el Centro Nacional de Excelencia en Ciberseguridad (NCCoE) del Instituto Nacional de Estándares y Tecnología (NIST) en su proyecto “Implementación de una arquitectura de confianza cero”», afirma Peter Kersten, vicepresidente de Ventas para el Gobierno Federal. «Esperamos llevar a cabo una estrecha colaboración con nuestros socios y otras empresas líderes en seguridad que culmine en arquitecturas de referencia y demostraciones de diversos enfoques de diseño interactivos e integrados para una arquitectura de confianza cero que mantengan los principios y preceptos publicados en la norma NIST SP 800-207, Arquitectura de confianza cero».
F5 cuenta en este proyecto con la colaboración de Amazon Web Services (AWS), AppGate, Cisco, FireEye, Forescout, IBM, Ivanti, McAfee, Microsoft, Okta, Palo Alto Networks, PC Matic, Radiant Logic, SailPoint Technologies, Symantec (Broadcom), Tenable y Zscaler.
El resultado de este proyecto será una guía de prácticas de ciberseguridad del NIST, una descripción de acceso público de los pasos prácticos necesarios para implementar diseños de referencia de ciberseguridad para una arquitectura de confianza cero.
Para obtener más información sobre el «Proyecto de implementación de una arquitectura de confianza cero», haga clic aquí. Para obtener información sobre F5 BIG-IP Access Policy Manager (APM), haga clic aquí.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.