Joseph Carson Chief Security Scientist y Advisory CISO en Delinea 

Durante décadas, la ciberseguridad se ha centrado en crear un perímetro seguro diseñado para mantener a los adversarios fuera de él. Pero este viejo paradigma casi ha desaparecido por completo desde que comenzó la pandemia. Cuando el confinamiento obligó a millones de personas a trabajar de forma remota, en cuestión de semanas el concepto de murallas y barreras digitales se convirtieron en algo del pasado. Organizaciones de todo el mundo se vieron obligadas a encontrar nuevas formas de acceder a sus datos corporativos de forma remota.  Los cambios creados a partir de esta nueva realidad han visto emerger la identidad como un nuevo perímetro y las organizaciones han tenido que aprender a responder a esta nueva necesidad o bien pagar el precio. El nuevo perímetro debe ser seguro. Pero ¿qué significa esto para las organizaciones y cómo deben prepararse?

La desperimetrización

El sector de la ciberseguridad lleva tiempo anunciando el fin del perímetro. En 2003, un colectivo de CISOs liderado por el jefe de seguridad de Royal Mail (servicio postal de Reino Unido), David Lacey, fundó un grupo llamado “The Jericho Forum” para centrarse en el concepto de «desperimetrización». Este mismo foro instó a la industria a despertar a un mundo en el que el perímetro estaba muerto, emitiendo una serie de «mandamientos» para un «futuro sin perímetro». Ahora ese futuro ha llegado.

La rápida migración a la nube y la creciente importancia del trabajo remoto o híbrido son las dos tendencias que han asegurado que el concepto de perímetro tradicional nunca vuelva a aparecer. Estudios recientes apuntan a que, si bien el teletrabajo en España empezó a decrecer un año después de que se iniciara la pandemia, los niveles de teletrabajo o de trabajo híbrido siguen siendo mayores que previos a la pandemia. Actualmente, un 14,4% de los empleados españoles trabaja, al menos ocasionalmente, desde casa. Y, la Comunidad de Madrid es la región que cuenta con mayor desarrollo del teletrabajo, con un 24,3% de sus ocupados que dice trabajar al menos de manera ocasional desde su hogar, según el último informe de Adecco Group Institute.

En este nuevo entorno de trabajo, las organizaciones ya no están protegidas por el equivalente digital de gruesos muros alrededor de su fortaleza (la oficina). En cambio, cada miembro del personal tiene su propia entrada a la red, que está protegida por su identidad digital o por el dispositivo administrado y protegido por la empresa. Este enfoque es conveniente y adecuado para las fuerzas de trabajo deslocalizadas. Sin embargo, esta situación también expone a la empresa a un gran número de vulnerabilidades.

Para muchas empresas, las contraseñas y los nombres de usuario siguen siendo la parte principal de una estrategia de seguridad basada en la identidad y también se ha convertido en una nueva amenaza. De hecho, un Informe de Verizon (DBIR) de 2021 concluyó que en el 61% de todas las brechas de seguridad los atacantes utilizaron credenciales. Y es que este tipo de  cuentas con credenciales son un objetivo importante para los ciberdelincuentes, ya que permiten el acceso a una amplia gama de activos y poderes, incluida la capacidad de acceder y alterar material confidencial o incluso borrar registros para cubrir sus huellas.

Ahora, casi todos los usuarios pueden considerarse privilegiados, porque pueden acceder a, al menos, algún dato o información confidencial. La vulneración de las credenciales de un solo usuario permite a los ciberdelincuentes aumentar los privilegios y obtener acceso a toda la red de una organización. Los atacantes ya no necesitan lanzar un ataque frontal, en su lugar, trabajan silenciosa y pacientemente hasta que encuentran una sola credencial que les permita acceder a toda la red. Entonces, ¿cómo deben protegerse las organizaciones en la era de los ataques basados ​​en la identidad?

El primer paso para proteger las identidades requiere un cambio de pensamiento que reconozca el hecho de que todos los usuarios tienen privilegios. Sin embargo, no son iguales en acceso o riesgo. Si un usuario sólo necesita acceder al correo electrónico del trabajo o a documentos no confidenciales, una contraseña o autenticación de múltiples factores puede ser adecuada. Si acceden a datos confidenciales de clientes, se debe exigir al usuario que se someta a una autenticación y verificación más rigurosas para obtener la autorización. Se puede poner un límite de tiempo a su acceso como una forma de reducir el riesgo. También se les podría pedir que presenten una solicitud digital para interactuar con los datos que explique por qué necesitan acceso, lo que incluye un seguimiento de auditoría completo.

Todos los usuarios son privilegiados

Una vez que todos los usuarios son considerados privilegiados, se debe comenzar a capacitarlos para que sigan las mejores prácticas y eviten compartir contraseñas o usar las mismas frases memorables en todos los sistemas y mantener otras prácticas básicas de higiene cibernética. Debemos ayudar a los empleados a pasar las contraseñas a un segundo plano, utilizando soluciones de acceso privilegiado que brinden más automatización y reduzcan la necesidad de que los empleados recuerden las contraseñas. Los empleados de todos los niveles dentro de una organización deben comprender cuáles son los riesgos asociados a los privilegios a los que tienen derecho, porque la vulneración de su cuenta puede ser un trampolín que permita a los adversarios extender su ataque accediendo a cuentas con mayores privilegios.

Cuando se implementan soluciones de seguridad de identidad, la estrategia debe basarse en la orquestación para que todas las soluciones funcionen juntas. Las soluciones PAM (Gestión de accesos privilegiados) pueden tomar la iniciativa, permitiendo que los equipos de seguridad creen una defensa de varios frentes que permita un acceso seguro sin problemas cuando el riesgo es bajo, y que a su vez pueda bloquear los sistemas o buscar más información, cuando los niveles de peligro son altos. Un enfoque basado en la interoperabilidad, la automatización y la orquestación ayudará a mitigar el riesgo de que un atacante utilice credenciales robadas, pero también ofrecerá una experiencia fluida que permitirá que los empleados se beneficien del aumento de productividad gracias a trabajar en un entorno remoto basado en la nube.

El perímetro tradicional está siendo reemplazado por uno nuevo: más poroso, flexible y en constante cambio, creado por las identidades. Responder a esta nueva realidad no es una opción, sino una necesidad. La identidad se ha convertido en un campo de batalla para los ciberdelincuentes y dependiendo de las decisiones que tomen las organizaciones, las identidades se convertirán en una herramienta más que les permita reducir los riesgos o no.