Mito de cumplimiento y seguridad n.º 3: es mejor bloquear que permitir el acceso

Esta es la parte 3 de una serie de 4 partes que aborda los mitos sobre el cumplimiento y lo que usted necesita saber para unir el cumplimiento y la seguridad en un entorno híbrido. Lea aquí el mito n.º 2.

Una de las prácticas de seguridad más antiguas es “simplemente decir no”. Las empresas inmersas en la transformación digital no pueden seguir ese camino. Tienen usuarios internos y externos, APIs y dispositivos IoT que necesitan acceso a sus redes. No pueden rendirse solo porque el cumplimiento y el control de acceso les resulten difíciles y demanden mucho tiempo. Deben considerar cuidadosamente las razones y los resultados de otorgar el acceso adecuado.

El problema de simplemente decir no es que se omite el paso de definir los requisitos del negocio y se salta directamente al paso de establecer una postura de seguridad optimizada. Esto resulta sorprendente, porque definir los requisitos del negocio para el acceso parecería ser algo bastante sencillo: una simple cuestión de quién necesita acceso a qué y por qué lo necesita.

Sin embargo, las empresas rara vez cuentan con un proceso formal para determinar el acceso, o para eliminarlo una vez que la necesidad del negocio ha terminado, y un acceso excesivamente prescrito es tan peligroso como un acceso innecesario. Existe una desconexión entre las operaciones de seguridad de red, la gestión de TI, los profesionales de cumplimiento y los responsables de las líneas de negocio, y esta brecha no solo aumenta el riesgo de seguridad, sino que también frena la velocidad de salida al mercado.

Por lo tanto, el control de acceso no es solo un rompecabezas tecnológico. Es un problema organizacional.

Planifique bien y deje que la automatización se encargue del resto

Los firewalls de la era moderna están diseñados en torno a un modelo de seguridad positivo, lo que significa que deniegan todo acceso que no esté permitido administrativamente. Cada regla que se agrega al firewall es una decisión de permitir más acceso, y de aceptar más riesgo. Además, cada regla que se agrega debe procesarse cada vez que entra en juego, lo que puede degradar el rendimiento.

No hay una manera sencilla de evaluar cada regla individual en el entorno actual, donde las necesidades del negocio se aceleran continuamente y un número creciente de endpoints y dispositivos necesita acceso rápido a la red. La automatización de políticas de seguridad puede procesar una política de forma rápida y confiable, al tiempo que garantiza que las reglas no entren en conflicto entre sí.

Pero el firewall solo será tan seguro como lo permita su política de seguridad global, por lo que esa política debe planificarse cuidadosamente. A grandes rasgos, los pasos del proceso de planificación son:

1. Siente las bases. Comience por determinar un nivel de riesgo aceptable y solicite aportes tanto de las partes interesadas de tecnología como de negocio. En esta etapa debe elaborarse un borrador de un mapa que muestre a qué recursos se accederá y qué endpoints o dispositivos usarán esos recursos.
2. Establezca la gobernanza. Identifique a las partes interesadas clave y sus responsabilidades en el proceso de planificación. Defina cronogramas e hitos. Continúe desarrollando el mapa de recursos.
3. Identifique principios rectores basados en las necesidades de seguridad y de negocio. Pero no descuide tampoco las necesidades de los usuarios. Como sabe todo profesional de seguridad, los usuarios encontrarán la forma de eludir controles excesivamente restrictivos, y eso puede exponer a la organización a riesgos ocultos. Cuando corresponda, comunique las decisiones a toda la organización para lograr y mantener la participación de los usuarios. A estas alturas, su mapa de recursos debería estar bien desarrollado.
4. Siga la mejor práctica del mínimo privilegio. El mínimo privilegio solo otorga a un endpoint o dispositivo el acceso suficiente para realizar sus tareas. Haga un seguimiento de si los endpoints y dispositivos están usando todos sus privilegios y retire el acceso a los activos que no estén utilizando. La automatización de políticas de seguridad de red de FireMon puede rastrear la actividad y eliminar automáticamente los privilegios no utilizados o enviar una alerta a una persona para que tome medidas adicionales.
5. Verifique si hay redundancias. Puede que ya exista un control de acceso adecuado, y duplicarlo generará riesgo y reducirá la capacidad de gestión. Si ya cuenta con una solución de automatización de políticas de seguridad de red como FireMon, omita este paso. FireMon lo hace automáticamente.
6. Automatice las revisiones periódicas. Las reglas deben revisarse periódicamente y someterse a escaneos de vulnerabilidades sobre las aplicaciones que ejecutan sus funciones de control. Los registros deben recopilarse y monitorearse en busca de violaciones. Nuevamente, si utiliza FireMon, estas actividades ocurrirán automáticamente.

La automatización de políticas de seguridad gestiona sus reglas por usted

Gestionar las reglas de firewall ha sido un proceso intensamente manual y fragmentado. Lo que está en juego es mucho si una organización lo hace mal; de hecho, un gran número de las filtraciones de datos actuales puede atribuirse directamente a firewalls débiles, y Gartner pronostica que el 99 por ciento de las brechas de seguridad de los próximos años serán atribuibles a errores humanos en las configuraciones de firewall.

FireMon es la primera solución que aborda y automatiza activamente la seguridad del firewall.

Desarrollado con aportes directos de nuestros clientes más grandes y sofisticados, FireMon ofrece beneficios pragmáticos y un ROI total en solo meses.

Nuestra plataforma Agile NSPM brinda inteligencia de seguridad integral que mejora la ejecución de la infraestructura de seguridad de red e impulsa decisiones estratégicas basadas en los requisitos actuales. Incluye la capacidad de recopilar datos rápidamente y validar solicitudes de reglas, así como de eliminar reglas innecesarias y hacer que las reglas implementadas sean más específicas, productivas y eficaces, manteniendo los más altos niveles de control de seguridad.

Algunas de las capacidades de Agile NSPM incluyen:

• Flujo de trabajo de negocio integrado. Optimiza las reglas según los requisitos de acceso y las alinea con las políticas y controles de seguridad. Se pueden implementar múltiples flujos de trabajo compatibles con Business Process Model and Notation (BPMN) 2.0.
• Recertificación automatizada de reglas. Monitorea y mantiene revisiones de justificación continuas y/o impulsadas por eventos de auditoría, así como evaluaciones de impacto para el ajuste o la retirada de reglas.
• Orientación proactiva y responsabilidad exigible. Crea automáticamente tickets de cambio para reglas eliminables e invoca recomendaciones a nivel de aplicación, agregando listas de aplicaciones relevantes y configurando el flujo de trabajo según las propiedades de las reglas basadas en la aplicación y el propietario, como destino y servicio.
• Nuevo proceso de flujo de trabajo e interfaz de usuario. Ofrece una interfaz de gestión de reglas/dispositivos impulsada por el negocio para involucrar a las partes interesadas del negocio, mejorar el rendimiento y documentar procesos para el desarrollo de mejores prácticas.
• Políticas centradas en activos y entidades. Adapta las políticas a las necesidades del negocio siguiendo al usuario, el servicio, el host y los datos para cumplir con sus estándares de cumplimiento.
• Análisis continuo. Expone las desviaciones de cumplimiento, permite corregir el rumbo rápidamente y activa acciones para recuperar el cumplimiento.

La automatización logra un equilibrio entre acceso y riesgo

La lección de este mito es que la supuesta solución milagrosa de bloquear tiene el potencial de resultar contraproducente. Sin embargo, con un análisis cuidadoso y consistente basado en datos, el personal de cumplimiento y seguridad puede detectar cualquier falla y remediarla rápidamente en tiempo real.

No necesitamos negar el acceso a los activos y la información vitales de nuestras redes híbridas, ni tampoco abrir las compuertas a todo aquel que lo exija. Se puede encontrar un equilibrio.