¿Cómo protegemos a las organizaciones, la información y habilitamos el trabajo remoto seguro en un mundo cada vez más digital? Con el paradigma Confianza Cero.
Por Daniel Verswyvel, Gerente General de Microsoft Centroamérica
El mundo es cada vez más digital: trabajamos, estudiamos, compramos, vendemos, nos comunicamos y nos entretenemos en plataformas tecnológicas. Gracias a ellas, en medio de los peores desafíos de la crisis de salud pública, los ciudadanos hemos logrado seguir siendo productivos; los niños y jóvenes han podido seguir aprendiendo, los comerciantes han encontrado nuevos mercados y clientes, los médicos han podido atender virtualmente a sus pacientes y los gobiernos, de igual manera, han podido continuar prestando servicios a los ciudadanos. Ahora, el modelo híbrido llegó para quedarse.
De acuerdo con el Índice de Tendencias Laborales de Microsoft, el 46% de las personas planea cambiar a estos modelos y trabajar a distancia. Y aunque hemos visto que esta transformación tiene innumerables ventajas, también exige adaptaciones y nos enfrenta a un desafío nuevo: millones de personas colaborando e interactuando digitalmente generan vulnerabilidades para el activo más importante de las organizaciones, su información.
La migración a la virtualidad nos ha enfrentado a uno de los panoramas de ciberseguridad más complejos que jamás hayamos visto, pues para las redes de cibercriminales se trata de una actividad muy lucrativa. Éstos son cada vez más inteligentes, creativos, bien financiados, organizados y no están limitados por ninguna frontera geográfica. Si quisiéramos mirar algunas de las cifras más relevantes en Ciberseguridad, se sabe que: más del 90% de las intrusiones se inician por un correo de phishing; entre 24 a 48 horas, un atacante logra tener control completo de una red; y el costo de la ciberdelincuencia para la economía mundial en 2022 será de 8 trillones de dólares.
Como los atacantes saben que la data es el mayor activo de las organizaciones en la era digital, la seguridad debe ser la prioridad para las organizaciones de todos los tamaños y sectores, pues un ataque cibernético puede acabar con una empresa: las vulneraciones de datos tienen un costo promedio de 3.9 millones de dólares y las organizaciones pueden demorarse en promedio 57 días en detectarlo, cuando ya tal vez sea tarde para reparar el daño. Ante este escenario, es claro que debemos dar una nueva mirada a la seguridad de la información y la ciberseguridad, pues lo que teníamos pensado para el mundo presencial no es suficiente para encarar estas nuevas realidades.
¿Cómo hacemos del trabajo desde casa algo conveniente y seguro a la vez? ¿Cómo podemos ayudar a las personas a confiar en la seguridad de sus dispositivos, datos y actividades en línea? La respuesta es el paradigma Confianza Cero. Si entendemos que el riesgo se concentra mayormente en el acceso, en los dispositivos y en las aplicaciones, podemos ayudar enormemente a contener buena parte de las vulnerabilidades y a tomar las medidas para cubrir nuestros activos en esos frentes. Una estrategia de Confianza Cero se basa en principios sencillos: verificar de manera explícita, otorgar acceso con
privilegios mínimos y asumir una brecha, siempre. Estos pasos relativamente sencillos ayudan a mantener la seguridad en medio de la complejidad que viene con el trabajo híbrido.
Verificar de manera explícita
En el mundo actual, donde los perímetros de la red corporativa están desapareciendo, la identidad es la primera línea de defensa. A nadie le gustan las contraseñas; no sólo son inconvenientes, sino que, además, son el objetivo principal de los ataques: los hackers lanzan un promedio de 50 millones de ataques de contraseña al día, 579 por segundo y el 11 % de los usuarios jamás las cambia. Una sola dirección de correo electrónico promedio está asociada con 130 cuentas y más de la mitad de los usuarios regulares -de todas las edades- usa la misma contraseña para varias cuentas. Así que nuestro mantra en Microsoft es «sin contraseña» (o “passwordless”) mientras éstas sigan siendo difíciles de recordar para las personas y fáciles de adivinar o robar para los piratas informáticos.
Monitorear los inicios de sesión para detectar actividades sospechosas y limitar o bloquear el acceso hasta que se presente una prueba de identidad adicional reduce de manera drástica las posibilidades de una infiltración. La autenticación multifactor moderna (o “MFA”, por sus siglas en inglés) no tiene por qué ser complicada para el usuario y, por el contrario, ayuda a las organizaciones a fortalecer sus controles de acceso y simplificar la experiencia del usuario.
Privilegios mínimos
No podemos conformarnos con proteger nuestra información de las amenazas que vienen del exterior, pues uno de los mayores riesgos para cualquier organización es la fuga de datos. Es necesario un enfoque de manejo interno de la información en este nuevo escenario de trabajo híbrido, en donde las personas están creando, almacenando y compartiendo datos de nuevas maneras. Confianza Cero es una postura de seguridad de “asumir una brecha”; que trata cada solicitud de acceso como un riesgo único que debe ser evaluado y verificado. Crear reglas de acceso, accesos temporales y diferenciados, permisos condicionales, permite, además, que una infiltración de un actor malicioso encuentre muchos más obstáculos para moverse lateralmente en la red y dificulta su acceso a la información crítica.
Asegurar los dispositivos de los empleados
Los dispositivos presentan otra oportunidad para que los actores maliciosos se infiltren en las organizaciones. En este mundo híbrido, los empleados tal vez estén trabajando desde sus computadores personales, sus teléfonos y tabletas, corran viejos sistemas operativos o descarguen aplicaciones vulnerables en sus dispositivos. Los aplicativos que permiten a
la organización controlar todos los dispositivos, sin importar dónde estén, pueden guiar a los empleados para que los mantengan actualizados. Dotar estos sistemas de directivas de Acceso Condicional permite limitar o bloquear el acceso a dispositivos que son desconocidos o que no cumplen con sus directivas de seguridad.
Descubrir y gestionar aplicaciones en la nube
Las aplicaciones en la nube proliferan y son tan fáciles de utilizar que, por lo general, los departamentos de TI no están conscientes de a qué aplicaciones en la nube tienen acceso los empleados. Para controlarlo, existen soluciones que permiten descubrir todas las aplicaciones utilizadas en la red y que evalúa su seguridad para permitir, bloquear el acceso o incorporarlo al directorio activo son parte fundamental de la estrategia de Confianza Cero.
Soluciones integradas para solucionar la complejidad
Es cierto que la complejidad y la fragmentación generalmente obstaculizan este proceso de implementación de Confianza Cero, pero el compromiso de Microsoft es ayudar a resolver este problema con seguridad para todos proporcionada desde la nube con soluciones integradas que permiten a las organizaciones enfocarse en lo más importante y brindan una mayor visibilidad de todas las plataformas y nubes.
La pandemia sin duda pasará, pero el uso intensivo de las tecnologías digitales seguirá en aumento, y proteger nuestro espacio digital continuará siendo fundamental para salvaguardar derechos de los ciudadanos como la privacidad, la propiedad, así como para aumentar la confianza de los ciudadanos en las tecnologías digitales, y que éstos puedan sentirse cómodos usándolas. Todo comienza con la confianza, pues la gente va a utilizar sólo la tecnología en la cual confía. Pero, paradójicamente, para confiar se hace imprescindible asumir el principio de Confianza Cero como práctica necesaria de nuestra estrategia de seguridad.
No importa cuánto mejoremos los sistemas si no mejoramos también nuestros comportamientos: no hay mejor protección que nuestra propia conducta. Por esa razón, la capacitación y concientización de las personas es un elemento fundamental para la gestión del riesgo cibernético. Los colaboradores son la primera línea de defensa de una organización así que debemos capacitarlos para que conozcan y puedan detectar las técnicas de intrusión de los cibercrímenes para no caer en las trampas. Es un trabajo humano, y un esfuerzo de equipo.
En Microsoft estamos comprometidos a construir un mundo más seguro para todos. La seguridad es un deporte de equipo, y estamos juntos en esto.