El cifrado es una pista falsa: la segmentación es la clave para una seguridad eficaz
El cifrado es una pista falsa: la segmentación es la clave para una seguridad eficaz
Un nuevo mes, una nueva filtración de datos. Esta vez, la Oficina de Gestión de Personal (OPM), una importante agencia del gobierno de EE. UU., Tuvo que revelar que, además de una violación inicial de 4,2 millones de registros personales, es posible que se hayan comprometido 15 millones de registros adicionales, que contienen información detallada de investigaciones de antecedentes. Las implicaciones tanto para los empleados comprometidos como para la infraestructura gubernamental en general son significativas.
En la inevitable caída de alto perfil, el debate se ha desatado sobre la falta de cifrado en el OPM, a pesar del hecho de que el cifrado por sí solo no podría haber evitado una violación a esta escala porque no había una segmentación efectiva y segura de usuarios o datos. A medida que las organizaciones se apresuran a evitar otra violación monumental de información personal, Paul German, VP EMEA, Certes Networks, advierte contra la repetición de los viejos errores e insiste en que la brecha de OPM realmente revela que es hora de pensar de manera diferente sobre la seguridad y adoptar la segmentación criptográfica de usuario a aplicación.
Abundan las teorías
Cada violación importante de datos, y la filtración de datos OPM fue increíble, genera una gran variedad de teorías sobre lo que podría y debería haberse hecho para prevenirla. Cuando desaparecen millones de registros personales sobre empleados del gobierno, las investigaciones son intensas y de alto perfil. Desde la audiencia ampliamente informada por el Comité de Supervisión y Reforma Gubernamental de la Cámara de Representantes hasta los llamados a la renuncia de la alta gerencia de la OPM, esta ha sido una violación que se ha manifestado en el ojo público.
La conclusión general ha sido que el mayor problema no fue la falla en bloquear la infracción inicial, sino la falta de controles, tiempo para la detección y otras salvaguardas que deberían haber evitado que los intrusos obtengan información útil. Pero el hecho de que los datos robados en esta violación masiva no estuvieran protegidos por enmascaramiento, redacción y cifrado de datos es una especie de pista falsa. Lo que realmente destaca la brecha de OPM es el problema continuo de la segmentación tradicional basada en la red, es decir, la capacidad de comprometer la identidad de un solo usuario para obtener acceso a una gran cantidad de información entre organizaciones.
Sin embargo, en una era de evolución continua del panorama de amenazas combinada con una diversidad y complejidad crecientes de la arquitectura de TI subyacente, ¿cómo puede un director de seguridad de la información (CISO) imponer un mayor control y lograr ese nivel esencial de control de datos y aplicaciones específico del usuario? ?
Mejores prácticas de seguridad
Hay algunos aspectos de las mejores prácticas de seguridad que ahora son un hecho. Es esencial un enfoque de defensa en profundidad que combine múltiples capas de tecnologías de prevención y detección, junto con controles y políticas de procedimiento; la identificación de usuarios y el control de acceso es una herramienta estándar para proporcionar administración y control centralizados; y las herramientas intuitivas de detección de intrusiones se están volviendo cada vez más clave para identificar cuándo ocurren las infracciones antes de que hayan tenido tiempo de obtener una gran cantidad de datos, aunque este último problema es sin duda uno con el que las organizaciones continúan luchando.
Otras áreas de las mejores prácticas de seguridad siguen siendo opacas. Y uno de los mayores problemas que continúa desafiando al CISO es la necesidad de segmentar las aplicaciones sensibles y no sensibles, o segmentar las redes en áreas manejables que no solo restrinjan el acceso sino que también aseguren que, en caso de que ocurra un acceso no autorizado, aplicaciones y datos críticos. no están comprometidos.
Sin embargo, un hecho es claro: simplemente incluir el cifrado en la mezcla no es la respuesta. Como han insistido los portavoces de OPM, incluso si la información hubiera sido encriptada, podría no haber sido suficiente para evitar que los atacantes obtengan datos utilizables de esta intrusión. Según la OPM, cuando un intruso tiene las credenciales de un usuario en la red, se puede acceder a los datos incluso si están encriptados, al igual que los usuarios de la red tienen que acceder a los datos, que es lo que ocurrió en este caso.
Sin embargo, si la OPM hubiera tenido una segmentación efectiva, esta brecha nunca podría haber alcanzado esta escala masiva porque el intruso solo podría haber accedido a los datos y aplicaciones a los que se le había permitido a ese usuario, lo que garantiza un acceso controlado. Se habría evitado el movimiento lateral desde la aplicación comprometida hacia las aplicaciones más sensibles, conteniendo efectivamente la brecha y limitando su impacto a través de la segregación y compartimentación.
Seguridad definida por software
Entonces, ¿cómo se puede lograr eso? La clave es aprovechar el poder del cifrado de una manera altamente enfocada y dirigida para crear un flujo criptográfico entre cada usuario y cada aplicación. Basándose en la tecnología de control de acceso e identidad ampliamente implementada, una relación criptográfica crea un vínculo limpio e irrompible entre cada usuario y los datos y aplicaciones permitidos. Con este enfoque, una organización puede garantizar que, en caso de una infracción, el intruso no pueda traspasar los límites / privilegios definidos para acceder a otra información restringida.
Uno de los aspectos más atractivos de este modelo es que elimina las limitaciones específicas de la infraestructura y adopta un nuevo enfoque de seguridad definido por software. Las aplicaciones y los datos se encuentran en una infraestructura enormemente diversa, desde LAN a WAN, nubes privadas a públicas, redes móviles, Internet y otros entornos. Las técnicas de segmentación utilizadas en cada parte de esta infraestructura son igualmente diversas y fragmentadas, con VLAN, IPsec, TLS, SSL, ACL y una variedad de otras herramientas que desempeñan un papel en la segmentación del tráfico. Esta ‘fragmentación de la segmentación’ y la dificultad de configurarla y gestionarla de un extremo a otro es la razón principal por la que la segmentación eficaz rara vez se implementa en la práctica.
Pero con cada relación criptográfica específica de «usuario a aplicación», la infraestructura se vuelve irrelevante. La cuestión es: ¿a qué aplicaciones / datos debería permitirse el acceso de cada usuario y cómo debería permitírseles acceder a estas aplicaciones? La respuesta a esta pregunta debería guiar la implementación de la segmentación que se oriente a los usuarios y las aplicaciones, no a la infraestructura.
Más importante aún, este enfoque evolucionado para el control de acceso y la protección de aplicaciones ahora puede ser impulsado por reglas y requisitos comerciales, en lugar de estar limitado por lo que la infraestructura puede ofrecer.
Tomando este enfoque, la escalada de privilegios que ocurrió en la violación de OPM simplemente no puede ocurrir. En lugar de depender de la segmentación de red tradicional para controlar el acceso, con esta relación criptográfica entre el usuario y las aplicaciones permitidas, si el usuario se ve comprometido, el intruso obtiene acceso a esta información permitida, pero no más. El intruso no puede utilizar una única identidad de usuario comprometida para obtener acceso gratuito en todos los ámbitos y saltar lateralmente de una aplicación a otra que contenga datos más confidenciales.
Conclusión
Hay una gran reacción instintiva a esta violación de OPM, con demandas de que se aplique el cifrado en todo el sector público de EE. UU. Para salvaguardar estos datos críticos. Pero el riesgo es que las organizaciones hagan que todo este proceso sea demasiado complicado y aún así no logren el nivel de seguridad requerido. Existe una enorme diferencia entre el cifrado hasta el punto de entrada y el uso de cifrado para gestionar la relación entre un usuario, los dispositivos que se pueden utilizar y las aplicaciones permitidas dondequiera que residan. El cifrado por sí solo no es la respuesta. En cambio, la solución se basa en un cifrado sólido combinado con controles de gestión de acceso e identidad, alineados con las aplicaciones y los derechos de acceso de los usuarios según lo determinen las reglas comerciales.
Las organizaciones deben comenzar a considerar la seguridad de una manera diferente, y es la creación de esa relación criptográfica específica entre el usuario y la aplicación que será la clave para, finalmente, prevenir estas enormes, y continuas, brechas en la seguridad de los datos vitales.