Desde hace décadas, la red privada virtual (VPN) ha sido un elemento imprescindible en la vida cotidiana de los profesionales que trabajan fuera de la oficina. He aquí otro tema recurrente: quejarse de la VPN.
Los usuarios finales se quejan del tiempo adicional que las VPN añaden al proceso de inicio de sesión en la red corporativa y sufren una conexión a Internet más lenta una vez que se conectan. Los administradores de red deben atender las llamadas al servicio de asistencia de esos usuarios enfadados. Parece que todo el mundo considera que las VPN son incómodas, difíciles de manejar y molestas.
Y eso fue antes de la pandemia. Tradicionalmente, la mayoría de las empresas adquirían una capacidad de VPN suficiente para dar servicio a aproximadamente el 10 % de sus empleados en un momento dado, lo cual bastaba para garantizar que los comerciales en sus rutas, los altos directivos y otras personas pudieran realizar su trabajo cuando se encontraban fuera de la oficina.
Pero, de repente, todo el mundo se vio trabajando desde casa y, a menos que se pudiera conseguir rápidamente el hardware local necesario para ejecutar las VPN tradicionales (conocidas como «concentradores de VPN»), las empresas se vieron en apuros para garantizar a sus empleados conexiones seguras y fiables.
«Las empresas se han visto obligadas a multiplicar por diez su capacidad de VPN, y los usuarios están experimentando un rendimiento peor que nunca.»Richard Stiennon
«Lo que antes era una molestia, ahora está obstaculizando el desarrollo de la actividad empresarial», afirma Richard Stiennon, fundador de IT-Harvest, una empresa de análisis de seguridad. «Las empresas se han visto obligadas a multiplicar por diez su capacidad de VPN, y los usuarios están experimentando un rendimiento peor que nunca».
De hecho, en una encuesta realizada por Tanium en June 2020, los directivos señalaron que las redes VPN sobrecargadas constituían el segundo mayor reto de seguridad al que se enfrentaban a medida que avanzaban hacia una plantilla más distribuida. (El primer reto consistía en identificar los nuevos dispositivos informáticos de la red, ya que los trabajadores a distancia se conectaban con sus dispositivos personales.) Como consecuencia, el 40 % afirmó que, de cara al futuro, reduciría su dependencia de dicha tecnología.
[Vea: Una buena seguridad es sinónimo de una buena gestión de las tecnologías de la información]
Una de las razones: los equipos de ciberseguridad tuvieron que dedicar tanto tiempo a configurar conexiones seguras para los trabajadores a distancia que descuidaron otras tareas, afirma Stiennon. En la encuesta de Tanium, el 26 % de los directivos de alto nivel afirmaron que sus empresas se vieron obligadas a restar prioridad a la aplicación de parches y otras actividades de seguridad durante los primeros meses de la crisis. En 2021, a medida que la pandemia se prolonga, muchas empresas están buscando alternativas más seguras y escalables.
Es hora de actualizar
Afortunadamente, las empresas disponen de una alternativa. A medida que cada vez más tareas digitales se realizan mediante servicios basados en la nube —como Microsoft360, Slack y Zoom—, los principales proveedores han desarrollado funciones que son más rápidas, más automatizadas y más seguras que las VPN. Esto hace que las VPN resulten cada vez más obsoletas, afirma Rob Sadowski , de , responsable de marketing de confianza y seguridad en Google Cloud.
«. Contar con acceso remoto integrado en la nube supone una mejor experiencia tanto para el usuario como para los administradores.»Alex J. Philips
«Las VPN simplemente no son la mejor opción para una plantilla distribuida», afirma Sadowski. «Disponer de acceso remoto integrado en la nube supone una mejor experiencia tanto para el usuario como para los administradores».
Alex J. Philips, director de sistemas de información de National Oilwell Varco, con sede en Houston, está de acuerdo. «Probablemente, las VPN sean la principal fuente de problemas en mi ámbito», afirma.
La empresa de servicios para pozos petrolíferos de la 2016 retiró más de una docena de sus routers VPN y pasó a utilizar un servicio basado en la nube que ofrecía cientos de puntos de acceso en todo el mundo. Un ingeniero de Singapur, por ejemplo, podría iniciar sesión de forma segura en aplicaciones basadas en la nube sin necesidad de utilizar una VPN. El resultado fue una mejor experiencia de usuario, tanto si el empleado se conectaba a la aplicación de control de gastos de la empresa como si utilizaba servicios en la nube como Zoom o Slack.
«Otra ventaja fue la escalabilidad», afirma Philips. Con la VPN, el número máximo de empleados que se conectaron de forma remota fue de 2,000. Cuando se desató la pandemia, había 9,000 trabajadores conectados al mismo tiempo. El sistema en la nube los gestionó sin ningún problema.
[Lea también: Cómo está impulsando Bank of America su futuro digital]
«Mientras tanto, todas esas otras empresas se apresuraban a adquirir más capacidad de VPN, en un momento en el que las cadenas de suministro mundiales se estaban paralizando y resultaba imposible encontrar más hardware», afirma. «Si aún hubiéramos tenido nuestra arquitectura VPN tradicional, no sé qué habríamos hecho, pero habría sido una auténtica pesadilla».
Los servicios basados en la nube ofrecen sus propias funciones de seguridad integradas, que no presentan las vulnerabilidades inherentes a las VPN. Google Cloud, por ejemplo, desarrolló una tecnología de código abierto denominada « » (BeyondCorp) para que sus propios empleados pudieran iniciar sesión de forma segura desde la red Wi-Fi de su domicilio, o desde cualquier otra red no segura, sin tener que lidiar con una VPN.
Cuando la ciudad de Nueva York creó su Cyber Command con el fin de establecer una infraestructura común para todos los sitios web y servicios municipales, las autoridades optaron por Google Cloud, en parte porque les permitía evitar el uso de VPN. «Cuentan con trabajadores que protegen la ciudad más grande del país, y necesitan que esos trabajadores puedan acceder a aplicaciones y recursos esenciales siempre que lo deseen», afirma Sadowski.
Cómo ganarse la confianza en el modelo «zero trust»
Además de contar con un ancho de banda prácticamente ilimitado, BeyondCorp aplica un enfoque de seguridad denominado «cero confianza», en el que los usuarios deben acreditar su identidad de diversas formas cada vez que acceden a los sistemas, aplicaciones y sitios web de la empresa. Uno de los problemas de las VPN tradicionales es que, una vez que se permite el acceso de los usuarios a una red, estos tienen total libertad para acceder a cualquier lugar que deseen, lo que, en teoría, podría incluir bases de datos confidenciales de clientes y empleados.
Recientemente, unos piratas informáticos accedieron a través de una VPN a la red de una empresa de tratamiento de aguas de Oldsmar (Florida) y estuvieron a punto de inyectar cantidades peligrosas de lejía en la red de suministro de agua, según inform .
Un sistema de «confianza cero» no solo verifica la identidad de cada dispositivo, sino que también garantiza que esté correctamente configurado y que, por ejemplo, no utilice software obsoleto o sin soporte técnico. Verifica la identidad del usuario, de modo que los empleados despedidos no puedan iniciar sesión. Además, controla el acceso a cada aplicación para garantizar que el usuario disponga de los permisos necesarios para acceder a ella.
[Lea también: Cómo Tanium proporciona visibilidad de los terminales para BeyondCorp de Google]
Las VPN ( ), concebidas por primera vez por un ingeniero de Microsoft en el mid-1990s, funcionan creando un «túnel» temporal y cifrado entre un router corporativo y el ordenador del empleado. Se diseñaron para que el usuario solo tuviera acceso a las aplicaciones de la red de la empresa, y no estaban pensadas para las conexiones permanentes actuales.
La demanda de soluciones VPN no desaparecerá de la noche a la mañana, por supuesto. No solo muchas empresas han optado por adquirir más capacidad en lugar de adoptar nuevos enfoques, sino que proveedores como IBM han encontrado formas de adaptar sus soluciones de VPN para que se basen en mayor medida en la nube.
No obstante, si el teletrabajo se convierte en una realidad para millones de empleados, los administradores de red tendrán que proteger un número mucho mayor de dispositivos de forma más eficiente, y no solo los ordenadores personales cuidadosamente configurados con los que los empleados llevan trabajando desde hace décadas. Será necesario garantizar un acceso seguro para el ordenador portátil doméstico, los dispositivos móviles y cualquier otro dispositivo nuevo que surja en los próximos años. Esto supone un terreno fértil para los ladrones cibernéticos y los piratas informáticos, ya que un mayor número de dispositivos implica más oportunidades de robar contraseñas y otras credenciales.
Los proveedores de tecnología se están asociando cada vez más para resolver este complejo problema de gestión. Tanium, por ejemplo, anunció una colaboración con Google en 2020, de modo que las empresas que utilicen nuestro sistema de gestión de terminales y BeyondCorp puedan inspeccionar de forma continua todo el tráfico del navegador Chrome en busca de malware y otras amenazas.
«Hay una razón por la que a todo el mundo le encanta odiar las VPN», afirma John Pescatore , de , director de tendencias emergentes en seguridad del Instituto SANS. «Debería poder trabajar de la misma manera, tanto si se conecta desde su oficina, desde la red Wi-Fi de su casa, como desde un aparcamiento o una habitación de hotel, sin siquiera tener que saber que existe algo llamado VPN».
