A la vista de los incidentes de ciberseguridad observados últimamente, cada vez más organizaciones están planteándose utilizar aproximaciones denominadas «de confianza cero» en sus redes y sistemas.
Y esto es perfectamente razonable porque, tal y como nos advierten los diferentes organismos involucrados en la ciberseguridad nacional, el número y sofisticación de los ataques han aumentado, haciendo que la visión tradicional de la seguridad no esté preparada para responder a un entorno tan dinámico y cambiante. Por eso, aproximaciones de confianza cero son clave y se pueden utilizar en la práctica optando, entre otros, por la estandarización y la certificación como mecanismos para su adopción.
Confianza cero: Verificar siempre
El modelo de seguridad de confianza cero lo compone un conjunto de principios orientados a prevenir ataques y pérdidas de datos. Se basa en que los modelos de seguridad tradicionales que presuponen que todo lo que se encuentra dentro de una red es confiable ya no son válidos.
Arraigado este principio de «nunca confiar, siempre verificar», la confianza cero está diseñada para proteger el entorno digital. Sirvan como ejemplo algunas de sus principales consideraciones:
- Asumir que el entorno TIC es hostil y no confiable por defecto.
- Identificar componentes críticos en la infraestructura TIC, así como verificar y monitorizar todos los accesos.
- Proporcionar acceso solo a través de conexiones seguras, independientemente de la ubicación.
- Mantener un control de acceso estricto, basado en la necesidad de conocer y de privilegio mínimo.
- Determinar los permisos de acceso según el nivel de confianza de la petición: por ejemplo, el propietario de la cuenta, dispositivo, dirección IP o ubicación.
Un paso adelante en el modelo de confianza cero sería la verificación y certificación de los productos
Principios
Debido a la creciente complejidad tecnológica, las amenazas persistentes y las consideraciones geopolíticas, los gobiernos y la industria de las telecomunicaciones discuten aspectos como si se puede confiar y en qué grado y condiciones en la cadena de suministro.
Con el fin de introducir un mecanismo objetivo en esta discusión, se necesitan directrices, criterios objetivos y mecanismos de certificación. La exclusión de proveedores basados en aspectos no relacionados con la ciberseguridad, como el país de origen, socava un enfoque internacional basado en normas aplicables a todos, limitando la competitividad y la innovación en todo el sector.
Por lo tanto, la confianza cero es una excelente herramienta. Incluso organismos como Enisa (Agencia de la Unión Europea para la Ciberseguridad) sugieren que es una consideración política extender este principio a toda la cadena de suministro con mecanismos como las declaraciones de garantía de los proveedores. Pero también con verificación de seguridad de productos y certificaciones que deben completarse por todos los proveedores que proporcionan productos o servicios TIC en diferentes escenarios.
Con la introducción de la caja de herramientas del 5G en 2020, la Unión Europea ha dado los primeros pasos positivos en esta dirección. Sin embargo, la implementación práctica ha resultado difícil, por lo que es positivo continuar tomando medidas concretas para reforzar el modelo de confianza cero.
Confianza cero en redes 5G
Un paso adelante en el modelo de confianza cero sería la verificación y certificación de los productos, incluyendo su proceso de desarrollo, como la evaluación independiente de las funcionalidades de seguridad conforme a estándares técnicos aplicables a todos.
Buen ejemplo de este enfoque es el «5G Security Knowledge Base», desarrollado por la asociación GSMA, que se centra en proporcionar medidas de mitigación para gestionar amenazas e implementar principios de confianza cero, reconociendo que la seguridad es una responsabilidad compartida.
Otro buen ejemplo es la verificación/certificación bajo el esquema de aseguramiento de equipos de redes de comunicaciones NESAS. Este esquema se refiere a estándares de seguridad diseñados específicamente para la industria de redes móviles y definidos por GSMA y 3GPP, proporcionando un análisis de amenazas, definiciones de componentes críticos, métodos y requisitos generales para el aseguramiento de dichos equipos.
En definitiva, Huawei es un firme partidario de la confianza cero: Este modelo proporciona unas reglas de juego que promueven un enfoque proactivo de la gestión de riesgos y se aplica igual para todas las partes involucradas. Si el concepto de confianza cero se adopta de manera combinada con el de verificación/certificación, el resultado es que tanto el «5G Security Knowledge Base» como el modelo de verificación NESAS podrían ser una referencia para adoptar un mayor nivel de seguridad en estas infraestructuras de comunicaciones móviles.
