.png)
John Kindervag habla sobre lo que los líderes de seguridad aún no tienen que ver con la confianza cero
John Kindervag no se propuso crear un movimiento. Simplemente pensó que el firewall era tonto.
En ese entonces, los firewalls particulares con los que trabajaba asignaban niveles de confianza a cada interfaz. Si ibas del lado "confiable" de la red al lado "no confiable", ni siquiera necesitabas una regla.
John, entonces un probador de penetración, sabía exactamente lo peligroso que era eso. Y cuando habló, recibió críticas del cliente, su compañía y el proveedor del firewall.
Pero no podía deshacer de la idea: ¿Por qué estábamos construyendo redes sobre algo tan vago (y, francamente, sin sentido) como la "confianza"?
Esa pregunta lanzó lo que ahora llamamos Zero Trust. Y décadas después, John, ahora el evangelista jefe de Illumio, todavía está derribando suposiciones obsoletas y presionando a la industria de la ciberseguridad para que piense de manera diferente.
En esta publicación de blog, desglosaremos la sabiduría de la reciente conversación de John con el Dr. Chase Cunningham en el podcast No Trust , De la teoría a la práctica: el viaje de Zero Trust con John Kindervag y el Dr. Chase Cunningham, donde compartió los principios clave de Zero Trust que considera que aún faltan los líderes de seguridad.
No más centros masticables: el nacimiento de Zero Trust
Cuando John se unió a Forrester, finalmente tuvo el espacio para explorar esta gran idea, y la capacitación de analistas de la compañía la alentó.
"Escribieron la descripción de nuestro trabajo en la pizarrón", dijo. "'Piensa en grande'. Así que dije, quiero estudiar la confianza en los sistemas digitales".
Eso llevó a dos años de investigación primaria, incluidas conversaciones con el Foro de Jericho (que originalmente se opuso a Zero Trust), arquitecturas prototipo y un sinfín de expertos de la industria que intentaban romper el concepto.
Pero ninguno pudo.
Finalmente, John publicó su innovador artículo, No More Chewy Centers, presentando Zero Trust. Un documento de seguimiento, Build Security Into Your Network's DNA: The Zero Trust Network Architecture, presentó una visión que enfatizaba la segmentación, un concepto que John vio durante mucho tiempo como fundamental para Zero Trust.
"Para proteger una superficie, se necesita segmentación", dijo. "Es por eso que estoy en Illumio ahora".
El iceberg de la visibilidad
Si Zero Trust parece que irrumpió repentinamente en escena hace unos años, John dice que solo estás viendo la punta del iceberg.
"La gente piensa que se reavivó en 2021, pero siempre estuvo ahí", explicó. "Simplemente no tenías visibilidad".
Señala la violación de Target de 2013 y la violación de OPM de 2015 como momentos críticos que pusieron a Zero Trust en el radar de las agencias gubernamentales de EE. UU.
Detrás de escena, la adopción comenzó a crecer como una bola de nieve, especialmente en los círculos federales. Pero las compañías estaban nerviosas por admitirlo.
"Cuando pedí hacer estudios de caso, los equipos legales y de relaciones públicas dijeron que no", dijo. "'No queremos que la gente sepa que estamos haciendo Zero Trust. Eso podría convertirnos en un objetivo'".
Todo eso cambió con la orden ejecutiva del presidente Biden de 2021 que exige Zero Trust para las agencias federales. De repente, lo que fue un movimiento silencioso ganó impulso público.
"Ya no sigo las amenazas"
Una de las creencias más contrarias a la intuición de John es que no rastrea las amenazas.
"No estudio el malware más reciente o las campañas de ataque", dijo. "Porque en un entorno de confianza cero bien diseñado, no importan".
¿Por qué? Porque Zero Trust asume que las infracciones son inevitables y crea controles para proteger lo que importa en lugar de perseguir cada alerta.
"No existe una política en un entorno de Zero Trust que permita que un recurso desconocido de Internet coloque una carga útil desconocida en su Protect Surface", explicó.
No estudio el malware o las campañas de ataque más recientes porque en un entorno Zero Trust bien diseñado, no importan.
Los protocolos que usan los atacantes no cambiaron. Y los mismos vectores de ataque básicos, como enlaces de phishing o contraseñas incorrectas, siguen dominando.
"Los atacantes siguen usando las mismas herramientas de hace 20 años", dijo. "Este no es el mundo cinético. En cibernética, todavía están atrapados dentro de los mismos rieles TCP / IP".
En lugar de perseguir la información sobre amenazas, John se centra en políticas aplicables y proteger superficies.
Zero Trust no se trata necesariamente de reaccionar más rápido. Se trata de eliminar las opciones del atacante en primer lugar.
Olvídate de los pilares: siguiendo el modelo de 5 pasos para Zero Trust
Una de las razones por las que tantos esfuerzos de Zero Trust se estancan es porque las organizaciones intentan seguir marcos rígidos llenos de palabras de moda y pilares. John dice que es hora de simplificar.
"Empleo el modelo de cinco pasos. Siempre. Comience con la superficie de protección, no con una lista de productos", alentó.
Los cinco pasos, descritos en publicaciones gubernamentales como el Reporte NSTAC al Presidente sobre Confianza Cero y Gestión de Identidad Confiable, incluyen:
- Definir la superficie de protección
- Asignar flujos de transacciones
- Cree una arquitectura de confianza cero
- Crear política
- Monitorear y mantener
John advierte contra tratar de abordar Zero Trust de una vez o pensar que es un viaje de madurez lineal.
"La gente piensa: 'Primero haremos toda la identidad, luego los dispositivos, luego la red'", dijo. "Nunca lograrás nada de esa manera".
En cambio, recomienda que los equipos dividan el proyecto en superficies protectoras que son pequeños trozos de alto valor de su red que se pueden proteger de extremo a extremo.
Y siempre comience con la pregunta más importante: ¿Qué estamos protegiendo?
Zero Trust es un imperativo de liderazgo
Cuando se le preguntó cómo mantener el impulso de Zero Trust, John ofreció una verdad simple: "Obtenga la aceptación del liderazgo. Todo cambia cuando están a bordo".
Eso es lo que convierte los incentivos desalineados en alineación.
"Mucha gente me dijo: 'Nunca haremos Zero Trust aquí'. Y luego el CEO dice que lo estamos haciendo, y de repente está sucediendo".
¿La única forma de cambiar la mentalidad de las compras de valores a corto plazo a la estrategia a largo plazo? Conviértalo en una prioridad de liderazgo.
"La ciberseguridad no es una partida presupuestaria trimestral", dijo John. "Es lo que dirige tu negocio". O como dijo sin rodeos: "Si la computadora falla, los aviones no vuelan".
La ciberseguridad no es una partida presupuestaria trimestral. Es lo que dirige su negocio.
Zero Trust: no está de moda ni es opcional
Zero Trust se generalizó. Lo ves en los mandatos gubernamentales, las campañas de los proveedores y los llamativos documentos técnicos. Pero la mayor parte pierde el punto.
Lo que John Kindervag está compartiendo, y lo hizo durante casi 20 años, no es un lanzamiento de producto o un marco de marketing. Es un cambio de mentalidad. Uno que obligue a las organizaciones a dejar de reaccionar y comenzar a diseñar. Uno que esté arraigado en una estrategia real, no en un gasto basado en el miedo.
En un mundo de ataques constantes, herramientas superpuestas y presión para mover rápido, la voz de John es estable. Nos recuerda que la ciberseguridad no se trata de seguir las tendencias, se trata de proteger lo que más importa.
Es exactamente por eso que Zero Trust ya no es opcional. Es antifragilidad operativa, por diseño.
¿Quieres escuchar más podcasts de líderes de Zero Trust como John? Suscríbete a nuestro galardonado podcast El segmento: Un podcast de liderazgo de confianza cero.
.webp)