Zero Trust está revolucionando las estrategias de VPN.
El modelo de confianza cero se ha desarrollado porque la distinción entre las áreas «externas» e «internas» de los sistemas de información ha comenzado a difuminarse. Las aplicaciones privadas están junto a sus hermanas basadas en SaaS, mientras que la infraestructura pasa de servidores virtualizados en el centro de datos a servicios y aplicaciones que residen en nubes públicas.
Los usuarios también están cambiando. No solo son muy a menudo móviles, sino que ya no son estrictamente seres humanos. La cantidad de API se está disparando y las máquinas ahora se comunican entre sí tanto como los empleados. En estas circunstancias, resulta difícil determinar en quién se “confía” y quién no.
Cuando un servidor web público se puede alojar internamente en una DMZ y una aplicación comercial crítica se ejecuta en un servicio de nube pública conectado a una base de datos en el centro de datos, ¿qué puede entonces considerarse verdaderamente interno?
En tales condiciones, hacer coincidir las listas de control de acceso (ACL) y los permisos de acceso a varias nubes con los servicios de Active Directory se vuelve complejo, y mantener una visibilidad perfecta de los derechos de los usuarios en todos estos modelos es una tarea poco envidiable.
La VPN de acceso remoto se ve desafiada
No es sorprendente que el concepto de VPN, creado en un momento en el que las topologías de red eran muy diferentes, ya no pueda mantenerse al día. No es una coincidencia que muchas organizaciones se estén dando cuenta de la creciente dificultad de adaptar y mantener sus configuraciones de VPN. La estrategia de otorgar permisos de acceso desde el principio seguida de libertad interna virtual (incluso dentro de VLAN bien segmentadas) ya no satisface realmente las necesidades de las organizaciones. La llegada de 5G, al aumentar las oportunidades de conexiones remotas y posiblemente incluso reemplazar las conexiones Wi-Fi corporativas, ciertamente no simplificará las cosas.
Microsegmentación al rescate
Aquí es donde entra en juego el modelo de confianza cero. Si el perímetro desaparece, la noción de confianza otorgada por defecto también debe desaparecer. Debe ser reemplazado por un modelo más ágil en el que cada recurso, donde sea que esté, solo acepta usuarios autenticados sin importar dónde se estén conectando. Esto plantea serios desafíos en la arquitectura del sistema y la red. ¿Tendrán las organizaciones que poner un punto de terminación de VPN delante de cada aplicación? ¿Las organizaciones tendrán que volver a tener varios clientes VPN en una estación de trabajo? ¿Y cómo pueden las empresas centralizar los diferentes derechos y permisos de un usuario móvil?
Presentamos el acceso a la red de confianza cero (ZTNA)
La centralización es donde las tecnologías de acceso a la red de confianza cero (ZTNA) pueden ayudar. ZTNA ofrece una alternativa moderna a la segmentación de red y las VPN y, en su lugar, ofrece microsegmentación. Los servicios de ZTNA tratan cada conexión a cada aplicación como un entorno independiente con requisitos de seguridad individuales. Y, lo más importante, esto es completamente transparente para el usuario. Sin iniciar un cliente VPN y usar un cliente local simple que se activa automáticamente al inicio de la sesión, es posible acceder sin problemas a varios recursos de la empresa, donde sea que estén y siempre con el mismo nivel de seguridad, ya sea que se encuentre en el oficina conectada a través de Ethernet o moviéndose por una conexión 4G.
El servicio ZTNA puede identificar cada aplicación privada (incluso aplicaciones privadas de TI de sombra) y aplica una política de seguridad específica definida por la empresa. Por lo tanto, puede cifrar selectivamente, aplicar políticas predefinidas o exigir autenticación adicional según el perfil de riesgo. Y funciona en cualquier conexión TCP o UDP, ya sea para flujos de aplicaciones nativas (SAP, por ejemplo) o protocolos de red (SSH, RDP, etc.).
Entonces es posible administrar el acceso remoto a cualquier tipo de aplicación con precisión, donde sea que esté alojada e independientemente del origen de la conexión. Esto crea un segmento seguro de uno entre un usuario autorizado específico y una aplicación privada a través de un micro-túnel dinámico cifrado con TLS. Ya no existe ninguna distinción entre las opciones de alojamiento o los modos de conexión (red corporativa o 4G): todos, ya sean empleados o usuarios externos, deben estar debidamente autenticados antes de acceder a un recurso.
Adaptado al modelo de confianza cero
Por esta razón, las organizaciones que eligen migrar gradualmente a un modelo de confianza cero deben comenzar a implementar la microsegmentación para algunos de sus usuarios ahora y comenzar a construir una experiencia que será valiosa en el futuro cuando la confianza cero se vuelva inevitable. Ese día llegará antes de lo que piensas.