Por qué finalmente hice las paces con el término Zero Trust

Hace algunas semanas, tuve la oportunidad de reunirme con John Kindervag y conversar sobre la nueva alianza de FireMon con Illumio. Durante esa conversación, John compartió una historia sobre los orígenes de la frase “Zero Trust” que yo nunca había escuchado, y cambió por completo mi percepción de la frase. Creo firmemente en los conceptos de Zero Trust, pero debo admitir que la frase nunca me convenció. No terminaba de encajar conmigo, ya que lo primero que hacemos al adoptar los conceptos de Zero Trust es crear políticas que definen la “confianza”. Reconozco que no se trata de confianza ciega. Las políticas de confianza que se construyen en una política de Zero Trust se basan en identidades e información de estado sobre orígenes y destinos. En lugar de permitir que todos los sistemas internos “confiables” accedan a todos los sistemas externos “no confiables”, creamos accesos explícitos basados en identidades de sistemas tales como:

• Tipo de recurso
• Propósito de negocio (a menudo con etiquetas)
• Estado actual (agentes de seguridad de endpoint activos instalados, sin vulnerabilidades conocidas, usuario autenticado)

Ya no aceptamos que un sistema sea confiable simplemente porque se encuentra en la red interna. Estos son excelentes principios, pero eso no es confianza “cero”. Eso es confianza establecida mediante identidad y verificación.

De los firewalls de la vieja escuela a Zero Trust

Entonces John me recordó la tecnología de firewalls de la vieja escuela, donde las interfaces se definían con niveles de confianza. Cada interfaz definía un nivel de confianza de 0 a 100, donde 0 era el menos confiable (exterior/internet) y 100 el más confiable (interior/interno). El tráfico se permitía de forma predeterminada desde un nivel de confianza alto hacia uno bajo, pero requería una ACL para obtener acceso desde niveles de confianza bajos hacia niveles altos. Y eso es todo: Zero Trust define que debemos tratar todo acceso como si se originara en un nivel de confianza bajo (zero trust) que exige que el acceso se otorgue de forma explícita; de lo contrario, debe denegarse. No más confianza implícita basada en la ubicación en la red. Este regreso al comportamiento de los niveles de confianza de los firewalls de la vieja escuela replanteó para mí los orígenes de Zero Trust. No se trata de “ninguna confianza”, se trata de ninguna confianza implícita, igual que el comportamiento predeterminado del nivel de seguridad de baja confianza 0 en los firewalls de la vieja escuela. Durante mucho tiempo he adoptado los conceptos de Zero Trust, y ahora adopto plenamente la frase. Gracias nuevamente a John por una excelente conversación. Comuníquese con nuestro equipo para obtener más información sobre cómo abordamos Zero Trust y la microsegmentación con Illumio. Vea la conversación aquí.