La confianza cero es uno de los términos (o expresiones) de moda más populares en el ámbito tecnológico actual. Fue considerada la tercera tecnología más interesante en nuestro estudio Estado de la estrategia de aplicaciones 2022 y despierta un gran interés en todos los niveles de la organización.
Una de las verdades que suelen pasarse por alto sobre la confianza cero es que, en realidad, es una mentalidad, no una tecnología ni una solución. Por eso sigo volviendo a nuestra convicción fundamental sobre la confianza cero:
«Creemos que la seguridad de confianza cero es, en esencia, una mentalidad —un sistema de creencias— de la que surgen técnicas y tácticas que aprovechan tecnologías específicas y que, posteriormente, pueden aplicarse para hacer frente a un amplio abanico de amenazas de seguridad».
Por eso es importante volver a analizar la regla cero de la seguridad.
Para quienes no estén familiarizados con el concepto de «Regla Cero», este procede de los juegos de rol, en los que las reglas desempeñan un papel fundamental. Las reglas determinan el orden de las interacciones, la interpretación de las tiradas de dados y lo que se puede y no se puede hacer. Igual que en el mundo real. Pero en los juegos de rol existe una Regla Cero que prevalece sobre todas las demás: «El director de juego tiene la última palabra sobre todo lo que ocurre en la partida». En esencia, esto significa que el director de juego puede cambiar, añadir y eliminar reglas en cualquier momento. Y creedme, lo hacen a menudo.
Puede que a algunos les sorprenda saber que la seguridad tiene una Regla Cero, y es la siguiente:
«No confiarás jamás en los datos introducidos por el usuario».
Esta no es una regla nueva; ya se ha puesto de relieve muchísimas veces y he escrito sobre ella en varias ocasiones para recordar que constituye un principio fundamental de las mejores prácticas de seguridad. No seguir esta regla da lugar a vulnerabilidades que pueden desembocar en una explotación generalizada y peligrosa.
La Regla Cero de Seguridad sigue siendo relevante hoy en día, quizá incluso más que nunca. Con la proliferación de las API y el auge de los servicios digitales, hay más bots, scripts y actores maliciosos que nunca. Y aunque el relleno de credenciales sigue siendo una de las principales técnicas de ataque, no dejan de aparecer noticias sobre ataques que aprovechan servicios digitales y API que no cumplen la Regla Cero de Seguridad.
Confiar en los datos introducidos por el usuario es contrario al concepto mismo de confianza cero. No se debe dar por sentado que ningún dato introducido por un usuario —ya sea una persona, un software o un sistema— pueda procesarse de forma segura sin inspeccionarlo. Y punto.
Uno de los principios fundamentales —las convicciones— de la confianza cero es dar por sentado que el sistema está comprometido. Esto puede implicar la presencia de malware o el control por parte de un agente malicioso. Ese es el estado del sistema. La consecuencia es que los datos —los mensajes— procedentes de ese sistema pueden ser maliciosos.
Por consiguiente, por tanto y, en definitiva, nunca debes confiar en ningún dato introducido por un usuario. Punto.
Como se ha indicado anteriormente, esta regla básica da lugar a tácticas (inspección) y tecnologías (WAAP, WAF, NGF) que pueden utilizarse para detectar y neutralizar una amplia variedad de ataques.
La Regla Cero de Seguridad es un componente fundamental del modelo de confianza cero. Su adopción dará lugar a tácticas más eficaces y a una mayor seguridad para todos.
Mantente a salvo ahí fuera.
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.