4 formas en que los expertos en ciberseguridad del gobierno garantizan la garantía de la misión con confianza cero

Para los equipos de seguridad federales, la garantía de la misión es esencial. Las solicitudes deben permanecer disponibles en todo momento para garantizar el éxito de la misión.  

La mejor manera de lograr la resiliencia de la misión es a través de los principios de Zero Trust. Basado en la mentalidad de que las infracciones son inevitables y en un mantra de "nunca confíes, siempre verifica", Zero Trust puede ayudar a las agencias gubernamentales a incorporar la garantía de la misión en su estrategia de seguridad.  

Para compartir las estrategias de Zero Trust y las mejores prácticas para garantizar la misión, los expertos federales en ciberseguridad Gary Barlet, CTO federal de Illumio y ex CIO de la Oficina del Inspector General del Servicio Postal de EE. UU., Mark Stanley, Arquitectura de Ciberseguridad Empresarial de la NASA, y David Bottom, CIO de la Comisión de Bolsa y Valores, se sentaron para un seminario sitio web con Federal News Network.

Vea el seminario sitio web completo aquí.

Siga leyendo para obtener un resumen de su discusión y recomendaciones clave para implementar Zero Trust en su agencia.  

¿Por qué las agencias federales deben adoptar Zero Trust para garantizar la misión?

Una estrategia de seguridad Zero Trust ayuda a las agencias a responder a la pregunta: ¿Cómo tenemos éxito si algo sale mal?

"Cuando todos los sistemas funcionan normalmente, eso es genial", explicó Barlet. "¿Pero qué pasa cuando las cosas están bajo ataque?"

Zero Trust asume que es simplemente cuestión de tiempo antes de que ocurra una infracción. Esta mentalidad establece una seguridad que no solo ayudará a los equipos a ser conscientes y detener un ataque, sino que también mantendrá los sistemas en funcionamiento, ya sea internamente o implementados al público.  

Como señala Barlet, "la NASA no puede simplemente apagar las cosas en medio de un lanzamiento", y tampoco pueden hacerlo casi todas las demás agencias. Si los sistemas se desconectan debido al ataque de un adversario, la vida de los empleados y los ciudadanos puede poner en peligro y las agencias pierden la confianza de las partes interesadas.

Los panelistas estuvieron de acuerdo en que un enfoque de configuración y olvido de la ciberseguridad no es suficiente para mantener los sistemas resistentes a la misión.

"La garantía de la misión no es un ejercicio estático", dijo Bottom. "Las expectativas y los requisitos siempre están cambiando. Deben tener en la planeación que hacemos".  

Según los panelistas, parte de esta planeación debe involucrar una infraestructura de Zero Trust que limite la capacidad de los adversarios para mover lateralmente a través de la red. Esto ayuda a limitar el radio de explosión, o impacto, de un ataque al sistema y ayuda a mantener la resistencia durante un ataque activo.  

"Uno de los inquilinos clave de Zero Trust es esta capacidad de limitar el radio de explosión", explicó Stanley. "Si alguien que intenta ejecutar un ataque de malware [es] capaz de comprometer mi cuenta, en un escenario de Zero Trust, de privilegios mínimos, solo podría implementar contra aquellas cosas a las que tengo acceso y nada más". Zero Trust, agregó, "elimina el movimiento lateral a través de la red".

Como explicó Barlet, este trabajo no es algo que termine o se logre por completo. La seguridad de Zero Trust es un proceso continuo.

"Nunca habrá un final del viaje de Zero Trust", dijo Barlet. "Nunca hay un final para las amenazas que enfrentas. Por lo tanto, el viaje de Zero Trust nunca terminará".

4 requisitos para construir la garantía de la misión con Zero Trust

Según los panelistas, estas son sus cuatro recomendaciones clave para las agencias que implementan Zero Trust:

1. Obtenga visibilidad de extremo a extremo

Crucial para ese viaje interminable: "Tener una buena visibilidad estable en toda su compañía", dijo Barlet. La palabra compañía es crítica. Significa visibilidad no solo de los elementos de infraestructura, donde las agencias tradicionalmente instalaron defensas perimetrales. La visibilidad se extiende a las aplicaciones, los datos y la forma en que interactúan entre sí.

"Las aplicaciones tienen conectividad interna a la que las agencias a menudo son ciegas", dijo Barlet. Para cerciorar los cinco pilares de Zero Trust nombrados por CISA, las agencias "primero deben comprender qué está sucediendo en su compañía y cómo las cosas están realmente interconectadas".

"Se necesita una mirada objetiva no a lo que la gente piensa que está pasando, sino a lo que realmente está sucediendo", dijo Barlet. "Necesitas ver en tiempo real, esas interconexiones y ese tráfico que fluye". Agregó que, cuando Illumio le muestra a un cliente estas dependencias e interconexiones, "generalmente son tan divergentes que tienen un ataque cardíaco, para ser honesto contigo".

2. Construir una arquitectura flexible y adaptable

Las redes actuales cambian constantemente. Los equipos de seguridad ya no pueden confiar en el modelo tradicional de redes estáticas que tardan en cambiar.  

"Cualquier modelo o arquitectura de Zero Trust tiene que ser capaz de adaptar a todos esos cambios rápidos", dijo Barlet.

A medida que las agencias crean y eliminan máquinas virtuales o reconfiguran los ajustes, la ciberseguridad debe seguir esos cambios de manera consistente.  

3. Implemente Zero Trust en todos los entornos, incluidos endpoints, OT e IoT

Los tres expertos coincidieron en que Zero Trust debe extender a los dispositivos de los usuarios, no solo a los usuarios, y a OT e IoT que interactúan con la red.

Según Stanley, su equipo monitorea constantemente la actividad de los dispositivos de los sistemas de la NASA. Buscan anomalías que puedan cambiar el nivel de confianza en un intento de acceso en individuo.

"La belleza detrás de Zero Trust es que monitorea la actividad y ajusta los puntajes en tiempo real", dijo Stanely.  

Esto garantiza que el equipo de seguridad de la NASA vea, priorice y aborde rápidamente cualquier problema para garantizar que la misión pueda continuar.

4. Incorpore la seguridad Zero Trust en los procesos de desarrollo

Barlet recomendó que los principios de Zero Trust pasen al desarrollo de nuevas aplicaciones en los procesos de DevSecOps. Los desarrolladores están empleando código abierto y la ciberseguridad debe incorporar Zero Trust para proteger estas aplicaciones.  

"La realidad en el desarrollo de código hoy en día es que ya nadie escribe cada línea de código por sí mismo. Están descargando módulos y usando código abierto", explicó Barlet. "Todas estas piezas de software tienen dependencias e interconexiones que la agencia debe conocer e incorporar al esquema Zero Trust".

Las agencias pueden ver estas dependencias al obtener visibilidad de los flujos de comunicación de la red. Luego, pueden establecer políticas de seguridad que garanticen que las vulnerabilidades se cierren y solo permitan el acceso necesario.

Contáctenos hoy para saber cómo Illumio puede proteger su agencia gubernamental.