Tenga cuidado al sacar a colación el tema de las VPN (redes privadas virtuales) con Anton Chuvakin, responsable de la estrategia de soluciones de seguridad « » en Google Cloud. No le gustan mucho. «Se rompen», afirma. «Se estropean con mucha frecuencia. «Y en los momentos más difíciles».
El escepticismo de Chuvakin está bien fundado. En los últimos diez meses, ha sido testigo de un experimento imprevisto en tiempo real. Un compañero de trabajo de Google que accedió a los recursos de trabajo de Google mediante el modelo de «acceso de confianza cero» (que, en la mayoría de los casos, exige la autenticación de cada dispositivo y de cada usuario antes de conceder el acceso a la red) no tuvo ningún problema de conexión. Por su parte, la esposa de dicho hombre, que utilizaba una VPN para acceder a su trabajo, se enfrentaba a problemas de conexión a la red al menos una vez al día. La frustración que supone intentar trabajar de esa manera, afirma Chuvakin, «es lo que le pasa a su cerebro cuando se conecta a una VPN».
Las dificultades que conlleva el uso de las VPN y los problemas de seguridad que plantean para los trabajadores remotos —las VPN son excelentes si se mantienen y configuran correctamente, pero no protegen contra las amenazas que se introducen a través de una red doméstica— preocupan mucho a Chuvakin, al igual que los demás retos a los que se enfrentó la tecnología empresarial el año pasado. Dado que los trabajadores se encontraban de repente fuera de sus cortafuegos, los equipos de seguridad se apresuraron a protegerlos con el software antimalware y los sistemas de supervisión que antes proporcionaba la red de la oficina.
A medida que el teletrabajo se va consolidando como la nueva normalidad en todo el mundo, estos equipos deben garantizar ahora que el proceso de autenticación sea eficaz, seguro y fácil de utilizar en toda la empresa. Muchos se ven obligados a hacerlo en entornos complejos de nube híbrida de , o bien se enfrentan a dificultades con sistemas heredados y aplicaciones obsoletas.
[Lea también: Por qué la complejidad no es enemiga de la seguridad]
La labor de Chuvakin consiste en dar respuesta a la necesidad actual de disponer de un acceso remoto seguro. Aporta a este cargo una trayectoria formidable. Además de haber ocupado anteriormente el cargo de responsable de la estrategia de seguridad de Google Chronicle, desempeñó el cargo de vicepresidente de investigación y analista destacado en la empresa de estudios de mercado Gartner. Allí se ocupó de la gestión de la información y los eventos de seguridad, la gestión de registros, la supervisión de la seguridad, los centros de operaciones de seguridad, el análisis de seguridad y el análisis del comportamiento de usuarios y entidades, entre otras disciplinas. Chuvakin, físico de profesión, también ha conseguido un impresionante número de seguidores en Internet a través de su cuenta de Twitter « » ( ) y de sus artículos en línea «» ().
Chuvakin se reunió recientemente con Endpoint para analizar los retos de seguridad a los que se enfrentan las empresas a medida que se preparan para un futuro en el que su plantilla seguirá trabajando a distancia, así como la forma en que los equipos de seguridad están recurriendo al modelo «zero trust» para proteger a los trabajadores y las redes.
¿En qué medida se ajusta un modelo de seguridad de «confianza cero» a las prioridades actuales del CISO?
Cuando las empresas pasaron al teletrabajo el año pasado, muchas recurrieron a sus servidores VPN para permitir el acceso remoto. Sin embargo, la situación resultó complicada cuando se vieron en la necesidad de pasar de 1,000 empleados que teletrabajaban a 50,000. Era una situación complicada, ya que no solo tenían que pagar por un mayor acceso a la VPN, sino que además tenían que adaptar esos sistemas de forma diferente.
El objetivo e e del modelo «zero trust» es proteger las redes informáticas frente a intrusiones maliciosas. Lo hace considerando que cada dispositivo que intenta iniciar sesión constituye una amenaza potencial. El modelo «zero trust» es una solución más sencilla al problema del acceso remoto que las VPN.
Por eso, ahora es un buen momento para hacerlo. Nos encontramos en una época en la que el acceso remoto eficaz, sencillo, seguro, estable y basado en el modelo «zero-trust» es una necesidad imperiosa. Esa es la razón principal. Pero hay otros.
¿Qué son?
Entre ellos se encuentra el número de aplicaciones y servicios a los que las empresas acceden a través de los navegadores, que ya es relativamente elevado y sigue aumentando. Antes, si necesitaba acceso directo a la red, utilizaba la VPN y, una vez que había entrado, ya estaba dentro, y podía acceder a muchas cosas. Creemos que, hoy en día, en el mundo de las aplicaciones de navegador y el acceso a las API [interfaces de programación de aplicaciones], resulta mucho más sencillo para los equipos de seguridad proporcionar un acceso seguro a estas aplicaciones, y también es mucho más sencillo para los empleados acceder a ellas.
[Lea también: Los expertos ofrecen consejos para dar los primeros pasos con el modelo «zero trust»]
Este es uno de esos casos excepcionales en los que se puede lograr un equilibrio entre la facilidad y la seguridad. Y este es un punto fundamental. Sé que suena a propaganda comercial: «Oh, es seguro y fácil». Pero podemos demostrarlo. Es más seguro porque se dispone de controles de acceso más detallados y no se conceden permisos generales a los usuarios para realizar determinadas acciones. Es sencillo porque los usuarios no tienen que preocuparse por iniciar un cliente VPN ni por configurar certificados digitales ni nada por el estilo. Ya está todo solucionado.
¿De qué manera ayuda el modelo «zero trust» a las empresas a gestionar entornos híbridos complejos?
El término «nube híbrida» se refiere a que hay determinadas aplicaciones en las instalaciones, otras en la nube privada y otras en varias nubes. Incorporo el concepto de «multicloud» al de nube híbrida, aunque no siempre sea lo que se espera.
Esto forma parte de un reto importante. En la actualidad, los sistemas informáticos de las empresas consisten en una superposición de elementos de hace años, a los que se han ido añadiendo nuevas tecnologías. Casi ninguna tecnología desaparece por completo. Piénselo: los ordenadores centrales no han desaparecido. Los clientes nos comentan la complejidad de sus entornos en su conjunto. Cuentan con servidores Unix, servidores Windows, centros de datos y servicios en la nube de Amazon y Google. Quieren saber qué deben hacer para gestionarlos todos mejor.
En mi época en Gartner, vi a muchos clientes que tenían un miedo tremendo a gestionar y proteger los entornos en los que tenían sistemas implementados en las versiones 1970s, 1980s, 1990s, 2000s, 2010s y, ahora, la 2020s —desde mainframes hasta contenedores—.
En mi opinión, el reto de la nube híbrida es una parte de ese reto más amplio.
El modelo «zero trust», y más concretamente nuestro producto « » BeyondCorp Enterprise , resulta útil en estos entornos, ya que abarca las aplicaciones de Google Cloud. Y tanto en entornos en la nube en general como en las propias instalaciones. BeyondCorp Enterprise le permite realizar la transición a la nube o utilizar entornos híbridos. Esto es lo que más importa.
A medida que desarrollaba esto, colaboró con los clientes para pasar al modelo «zero trust». ¿Qué lecciones ha aprendido de ellos?
Las organizaciones suelen decirnos: «Bueno, ustedes tienen este sistema extraordinario que funciona muy bien». Es suave como la mantequilla. Es seguro. «Le proporciona toda la telemetría que necesita». Lo que olvidan es que Google —que cuenta con algunos de los mejores ingenieros del planeta— tardó aproximadamente diez años en desarrollar este sistema tan fluido, tan seguro y tan fácil de usar.
Los clientes también afirman que Google nunca ha tenido que lidiar con una gran cantidad de tecnología obsoleta. Así es. Nadie en Google tiene un ordenador central.
Sin embargo, si es usted una compañía de seguros del Medio Oeste, dispondría de un entorno informático empresarial bastante complejo que incluye tecnología realmente antigua.
Así pues, la pregunta es: ¿puede funcionar el acceso de confianza cero en ese contexto? Digo que va a ser difícil, pero la motivación para hacerlo es aún mayor, incluso más importante. Porque, si no lo hacen, la pirámide de la complejidad los sepultará.
¿Qué consejo les da?
Esto es realmente difícil. Ese es el tema recurrente con muchos de los clientes con los que trato. Pero, en última instancia, tendrán que pasar a este modelo. De no ser así, es muy probable que todas las capas informáticas, con todos los métodos de acceso y autenticación individuales, dejen de funcionar correctamente.
Es necesario que estos entornos de alto riesgo se gestionen de forma moderna, mediante el modelo «zero trust». No resulta viable tener una VPN por un lado y otra VPN por otro. Al final, la complejidad acabaría con usted.
