3 conclusiones sobre la confianza cero de la Orden Ejecutiva 14028

En mayo de 2021, la Administración Biden emitió la Orden Ejecutiva (EO) 14028, encargando a las agencias federales la tarea de mejorar la ciberseguridad y recomendando específicamente prácticas de seguridad Zero Trust.  

La OE se produjo inmediatamente luego de la pandemia de COVID-19, que aceleró la transformación digital para muchas organizaciones del sector gubernamental y privado. Casi de la noche a la mañana, las organizaciones cambiaron al trabajo remoto y la migración a la nube se convirtió en un requisito más inmediato.

Además, múltiples ataques cibernéticos de alto perfil afectaron significativamente las cadenas de suministro, incluidas SolarWinds, Colonial Pipeline y JBS Meat Processing. 

Ahora, un año luego de la EO 14028, es posible mirar hacia atrás y ver qué progreso se logró en la implementación de Zero Trust en todas las agencias federales.  

Gary Barlet, CTO de Federal Field de Illumio, se unió a Nicolas M. Chaillan, ex CISO de la Fuerza Aérea y la Fuerza Espacial de los EE. UU., para discutir el impacto de EO 14028 en un seminario sitio web organizado por el Instituto de Tecnología de Infraestructura Crítica (ICIT).  

Vea el seminario sitio web aquí:

Continúe leyendo para conocer tres conclusiones principales de su discusión.

EO 14028 ayudó a aumentar la implementación de Zero Trust 

Tanto Barlet como Chaillan están de acuerdo en que hubo avances hacia Zero Trust desde la orden ejecutiva de mayo pasado. La orden ayudó a los equipos de seguridad de las agencias federales, y a las organizaciones privadas, a continuar las discusiones y obtener fondos para las iniciativas de Zero Trust.  

Como dijeron Barlet y Chaillan, "Una orden ejecutiva nunca está de más". 

Lo más importante es que los equipos de seguridad ahora tienen evidencia respaldada por el gobierno para las estrategias de seguridad de Zero Trust.  

"Hace que sea mucho más útil para aquellos que intentan implementar Zero Trust tener algo a lo que apuntar y usar como referencia", dijo Barlet.  

Y para muchas agencias, las discusiones sobre Zero Trust comenzaron con la orden ejecutiva. Según Challain, ayudó a cambiar la opinión de las personas sobre Zero Trust, alejando el consenso de los modelos tradicionales de ciberseguridad hacia las mejores prácticas modernas. 

Esto sigue al creciente éxito del sector privado de Zero Trust en los últimos años , y muestra hasta qué punto el gobierno federal y el ejército están rezagados en ciberseguridad. 

"Los próximos dos años serán un momento interesante con más éxitos de Zero Trust. Es un cambio de mentalidad que es necesario para tener éxito", explicó Barlet.  

Las agencias federales emplean Zero Trust para minimizar el impacto de las inevitables infracciones

Más allá de una orden ejecutiva, Zero Trust tiene beneficios reales para proteger a las organizaciones contra las sofisticadas amenazas cibernéticas actuales.

Las herramientas de seguridad heredadas se centraron en el perímetro, pero la naturaleza dispersa e hiperconectada de las redes modernas significa que el perímetro ya no existe como antes. Esto deja a las redes vulnerables a los ataques. 

"Historia tras historia, año tras año, escuchamos a personas gastar todo este dinero tratando de evitar una infracción, pero no hay discusión sobre lo que sucede después de que ocurre una infracción", dijo Barlet.  

Una estrategia de Confianza cero asume que se producirán infracciones y ofrece formas de mitigar el impacto de un ataque una vez que ocurre.  

Sin embargo, tanto Barlet como Challain están de acuerdo en que hubo cierta confusión sobre lo que significa Zero Trust en la práctica y cómo encaja en las arquitecturas de seguridad existentes.  

"Zero Trust parece implicar que no vas a tratar de prevenir las infracciones, y ese no es el caso", explicó Barlet. "No vamos a renunciar a tratar de prevenir una infracción, pero también planeemos ese error o vulnerabilidad que permite que entre una brecha y cómo podemos prevenir un ataque catastrófico".  

En general, Barlet y Challain recomendaron a las agencias obtener visibilidad de los flujos de red, desactivar la comunicación innecesaria e implementar la segmentación de confianza cero, también conocida como microsegmentación, para limitar la propagación de una infracción.  

Segmentación de confianza cero para agencias federales: solo comience en algún lugar 

Aunque la idea de segmentar la red existió durante años, Barlet y Challain discutieron las formas en que las redes en expansión de hoy hacen que los métodos tradicionales de segmentación que emplean direcciones IP o VLAN sean casi imposibles. Ambos abogan por que la segmentación sea a una escala mucho menor.  

En individuo, Barlet dijo que las redes requieren segmentación de confianza cero para proteger contra el número cada vez mayor de usuarios, aplicaciones y entornos que abren vulnerabilidades para que los atacantes ingresen.  

A pesar de la necesidad apremiante de segmentación de confianza cero, Barlet y Challain señalaron que muchas agencias están abrumadas por el proceso.  

"Necesitas saber quién accede a qué, dónde y cuándo. Luego, necesita saber cuáles de esos flujos de comunicación son innecesarios y pueden bloquear. Cuando tomas todas esas preguntas en su conjunto, es muy desalentador", dijo Barlet. 

No es necesario completar un proyecto completo de segmentación de confianza cero a la vez. Barlet y Challain recomiendan un enfoque incremental para evitar altos costos, confusión y posible hinchazón administrativa. 

"No intentes hacer todo a la vez. Solo comienza en alguna parte", dijo Barlet.  

Al reducir el alcance de un proyecto de segmentación de confianza cero al principio, Barlet y Challain acordaron que las agencias pueden: 

• Evite sentir abrumado por los detalles. 
• Mejorar inmediatamente su postura de ciberseguridad . 
• Obtenga la oportunidad de demostrar la eficacia de Zero Trust para futuras iniciativas. 

"La única forma de llegar a cualquier parte en su viaje de Zero Trust es comenzar. El éxito genera éxito", dijo Barlet. 

Obtenga más información sobre Illumio y la segmentación de Zero Trust:  

• Obtenga más información sobre cómo las organizaciones gubernamentales pueden detener la propagación de infracciones con Illumio.
• Descargue los reportes de Forrester Wave que nombran a Illumio líder tanto en Zero Trust como en microsegmentación.   
• Realice la Evaluación de Impacto de Confianza Cero de ESG para aprender cómo sacar más provecho de su estrategia de Confianza Cero. 
• Contáctenos hoy para programar una consulta y demostración.