A fondo: La confianza cero, clave para sobrevivir al 2021

El año que está a punto de terminar ha estado plagado de cambios a nivel empresarial y tecnológico. La pandemia de coronavirus obligó a una transformación digital masiva, liderada por la habilitación de puestos de trabajo en remoto y una mayor apuesta por el comercio electrónico para garantizar la continuidad de los negocios. Estos cambios, que en algunos casos se han digerido de forma precipitada, seguirán marcando la realidad de las organizaciones durante los próximos meses.

Dejar 2020 atrás no supone una solución inmediata a todos nuestros problemas. De hecho, HP prevé que los ataques de los ciberdelincuentes serán más selectivos en 2021. También cree que las empresas deberán esforzarse por cambiar su cultura y adquirir nuevas estrategias.

“Las organizaciones necesitan aceptar que el futuro está distribuido a través de una infraestructura endpoint”, afirma. “Todo, desde los dispositivos de los teletrabajadores, hasta los dispositivos industriales de IoT”, esto es, de internet de las cosas, “se han convertido en las nuevas líneas de actuación en la batalla de la ciberseguridad. Para hacer frente a este desafío, las organizaciones necesitan repensar sus controles de seguridad, y adoptar las innovaciones tecnológicas necesarias”.

El enfoque de seguridad debe cambiar porque el mundo ya no es el que era hace tan sólo unos meses. Los espacios de trabajo han cambiado. Y los ciberdelincuentes se profesionalizan y actúan de manera cada vez más inteligente. Si los criminales nutren sus conocimientos sobre cómo hacer daño, las empresas deben evolucionar al mismo ritmo que ellos e intentar adelantarse a sus golpes. Esto pasa por diseñas arquitecturas más robustas que protejan también el hardware.

Además, HP apuesta por la “confianza cero” y dice que “está aquí para quedarse”, si bien “necesita ser implementada de una manera que sea transparente para el usuario”. La red corporativa, las aplicaciones y la información ya no se pueden blindar a la vieja usanza. La evolución hacia una fuerza de trabajo descentralizada lleva los datos fuera del cortafuegos de la empresa y los enfrenta a lo desconocido.

“La confianza cero”, determina la firma norteamericana a la hora de hablar sobre el futuro de la seguridad, “es el mejor enfoque defensivo para permitir el trabajo a distancia, pero para que la gestión de las identificaciones y el acceso sea perfecta, tiene que ser también fácil de usar. Los métodos de autenticación de calidad son un factor clave para lograr la confianza cero”. Y aquí entran tecnologías como la biometría.

En esto está de acuerdo la compañía de productividad Zoom, que desarrolla la aplicación del mismo nombre. Su CISO, Jason Lee, ha publicado una lista con algunas predicciones para 2021 y la forma de trabajo híbrida, que mezcla las tareas en remoto con la vuelta presencial a la oficina, y determina que el modelo “Zero Trust será un foco principal” el año que viene para los responsables de seguridad.

Esto implica que todos los empleados tendrán que ser validados antes de acceder a las aplicaciones corporativas. Y que cada uno de ellos tendrá un nivel de acceso determinado a los datos. Esta forma de proceder, con autorizaciones individuales y comprobaciones continuas de si ciertos empleados necesitan acceder en un momento preciso a datos sensibles o no, ayudará a las compañías a mantenerse a salvo de ojos curiosos.

También es de esperar que las organizaciones incrementen el control sobre los equipos informáticos. Lee asume que “la protección de datos para la forma de trabajo híbrida será cada vez más compleja” y que “los líderes de seguridad tendrán que reevaluar su postura de seguridad de la red, mantener una estrategia eficaz de protección de datos en los endpoints y considerar la gestión de dispositivos móviles”.

Zoom confía en que “las compañías avanzarán hacia la autenticación de dispositivos personales” mientras los empleados se queden en casa, para favorecer el distanciamiento social que permite contener la expansión de la pandemia y hacerlo de forma segura. La autenticación multifactor para terminales personales, propiedad de la empresa o compatibles con BYOD ganará valor. De hecho, los programas como Bring Your Own Device garantizarán un acceso fiable mientras se mantiene la productividad.

La congestión de la red corporativa podría convertirse en un problema añadido. Y “la guerra por el talento de la ciberseguridad seguirá calentándose”, termina su pronóstico Jason Lee. “El año pasado muchas empresas comenzaron a contratar profesionales de la seguridad cibernética a distancia”, sin importar el lugar. “En 2021, los profesionales de la ciberseguridad podrán seguir trabajando desde donde quieran”. La formación será esencial para que todo salga adelante.

La conducta del usuario

El año que viene, el comportamiento de los usuarios va a ser más importante que nunca para los ciberdelincuentes a la hora de acometer sus ataques. Las técnicas de ingeniería social, las estafas BEC (Business Email Compromise), el fraude del CEO y trucos similares serán fundamentales para causar víctimas. Así lo pronostica cxLoyalty. El engaño esta vez vendrá también de los vídeos falsos con el fenómeno del deepfake.

“El auge del teletrabajo a causa de la pandemia y todo el interés que ha despertado el COVID-19 está siendo aprovechado por los ciberdelincuentes este año. El interés que despertarán cuestiones como la vacuna”, señala Eduardo Esparza, VP General Manager de esta empresa de soluciones de fidelización, “también será una oportunidad para ellos, junto con otras nuevas amenazas. Por eso, es muy importante que los usuarios protejan su identidad digital a través de buenas prácticas y el empleo de soluciones de protección, VPN” (red privada virtual) “y escaneo web”.

“En este sentido”, añade Espaeza, “las compañías pueden tener un papel muy relevante y aportar un gran valor añadido si les ofrecen un servicio que incluya herramientas específicas para garantizar esa protección”. Diseñar una estrategia de seguridad clara, en la que prime la prevención además de la detección de riesgos, permitirá proteger los recursos digitales más valiosos.

En el mismo sentido se pronuncia Trend Micro, otra compañía que ha publicado sus sensaciones a nivel de seguridad para el año que está a punto de comenzar. “A medida que comenzamos a entrar en un mundo pospandémico, es probable que la tendencia al trabajo a distancia se mantenga para muchas organizaciones. Prevemos ataques más agresivos contra los datos y las redes corporativas”, anuncia Jon Clay, director de comunicación de amenazas globales de Trend Micro.

“Los equipos de seguridad tendrán que duplicar la capacitación de los usuarios, la detección y respuesta extendidas y los controles de acceso adaptativos”, prosigue. “El año pasado se trataba de sobrevivir; ahora es el momento de que las empresas prosperen, con la seguridad integral en la nube como base”.

La nube se presenta como problema y solución al mismo tiempo. Las organizaciones están volcando mucha información a las plataformas de cloud computing para respaldar a quienes ya no trabajan desde la sede central. El caso es que un pequeño error o una configuración incorrecta podrían causar un cataclismo. Las amenazas en esta área persistirán. Parece que las vulnerabilidades en las herramientas de colaboración y productividad online serán oro para los delincuentes.

Por su parte, las crecientes integraciones de herramientas suponen un riesgo adicional. Las API expuestas serán uno de los vectores de ataque preferidos de los tipos malos, que con ellas podrán capturar datos de clientes, hacerse con el código fuente de las aplicaciones y castigar los servicios de backend.

Trend Micro destaca que los hackers centrarán esfuerzos en las redes domésticas durante 2021 a modo de “plataforma de lanzamiento crítica para comprometer las redes corporativas de TI e IoT”. Esto es, de tecnología de información y de internet de las cosas. Los modelos de negocio de acceso como servicio aumentarán. Y, al igual que otros expertos, los miembros de Trend Micro opinan que los equipos de ciberseguridad tendrán que revisar sus políticas de protección, incluyendo el trabajo desde casa, para sobrevivir. “Los enfoques Zero-Trust se verán cada vez más favorecidos para potenciar y asegurar la fuerza de trabajo distribuida”.

Ante todo esto, la educación de los usuarios no puede faltar. Las personas que trabajan a menudo con datos sensibles, como los equipos de recursos humanos o los comerciales, van a estar en el punto de mira y deben mejorar sus conocimientos para evitar caer en la trampa de los malvados. Si las empresas toman nota y facilitan su aprendizaje, tendrán alguna posibilidad.