¿Qué es la confianza cero?

Desde una perspectiva de seguridad, los modelos de seguridad tradicionales presentan cuatro debilidades clave:

• Amplían la superficie de ataque: las herramientas tradicionales como los cortafuegos y las VPN exponen las direcciones IP a internet. Estas direcciones IP pueden ser descubiertas tanto por usuarios legítimos como por ciberdelincuentes que buscan una superficie de ataque.
• Les resulta difícil evitar las brechas de seguridad: la seguridad de ayer se basa en dispositivos, y tanto si las herramientas de seguridad se implementan como hardware como si son dispositivos virtuales, les cuesta escalar según sea necesario para inspeccionar el tráfico cifrado, donde se esconden la mayoría de las amenazas. Como resultado, la mayoría de los ataques atraviesan las defensas sin ser detectados.
• Permiten el movimiento lateral de amenazas: los enfoques tradicionales conectan entidades a la red para darles acceso a las aplicaciones. Sin embargo, esto implica una confianza implícita y permisos excesivos de los que se puede abusar, lo que permite acceder a todo lo conectado a esa red y propicia brechas de seguridad de mayor alcance.
• No logran evitar la pérdida de datos: los delincuentes intentan extraer datos confidenciales tras rastrear la red en busca de ellos. Esto se lleva a cabo cada vez más a través del tráfico cifrado, porque los atacantes saben que la mayoría de las organizaciones dependen de soluciones de seguridad basadas en dispositivos que no consiguen proteger dicho tráfico. 

El modelo Zero Trust es una arquitectura única que aporta un paradigma y una metodología altamente diferenciados a la ciberseguridad. Estos son los cinco pilares fundamentales que describen qué protege el modelo Zero Trust:

• Identidad: verifique quién accede al sistema
• Dispositivo: confirme que el dispositivo cumple con los requisitos y es de confianza.
• Red: segmente y aísle el tráfico de red
• Aplicación: controle el acceso a aplicaciones específicas
• Datos: proteja la información confidencial tanto en reposo como en tránsito.

Al adherirse a estos principios, zero trust permite a las organizaciones minimizar el riesgo, reducir la complejidad y proteger mejor sus entornos distribuidos.

Zero Trust es un marco único con el que las organizaciones disponen, en la práctica, de una centralita inteligente que proporciona conectividad segura entre cualquier origen y destino, sin extender la red a ningún usuario ni dispositivo. Básicamente, Internet se convierte en la nueva red corporativa.

Así es como funciona la arquitectura a grandes rasgos: 

• Las solicitudes de acceso comienzan con la verificación: para proporcionar acceso con los privilegios mínimos necesarios, es preciso saber quién o qué está intentando acceder. Por lo tanto, se verifica la identidad de cada usuario o entidad que intenta conectarse a un recurso informático.
• A continuación, se identifica el destino: en definitiva, Zero Trust implica conectar las entidades directamente con sus destinos en lugar de con la red, evitando así el movimiento lateral. Por lo tanto, una vez que se verifica al usuario, también es necesario identificar el recurso informático al que intenta acceder y comprender el riesgo que conlleva.
• El riesgo se calcula en función del contexto: la identidad por sí sola no es suficiente para controlar el acceso a los recursos informáticos (las identidades pueden ser suplantadas e incluso los usuarios autorizados pueden causar daños). Así pues, como se ha mencionado anteriormente, Zero Trust controla el acceso en función del riesgo, que se determina mediante inteligencia artificial y aprendizaje automático que evalúan el contexto de acceso.
• Se aplica la política: la política se aplica automáticamente en tiempo real y por sesión, es decir, para cada intento de acceso. Se pueden aplicar diversas acciones, como permitir, bloquear, aislar o engañar, entre otras. Incluso después de que se haya concedido el acceso, la monitorización continua permite identificar cambios de riesgo en tiempo real y modificar la política según sea necesario.
• Se establece la conexión: los usuarios se conectan directamente a las aplicaciones. Si bien la conexión a SaaS y a la web es "entrante", las aplicaciones privadas requieren una conexión de dentro hacia fuera, facilitada por un conector de aplicaciones que se comunica con la nube Zero Trust para establecer la conexión completa. Esto elimina la necesidad de direcciones IP públicas que expongan las aplicaciones. 

Las VPN tradicionales se basan en un modelo de seguridad de tipo "castillo y foso" que otorga un amplio acceso a la red una vez que los usuarios se encuentran dentro. El modelo Zero Trust adopta un enfoque diferente: verifica continuamente el acceso y lo limita a las aplicaciones y los recursos específicos que necesitan los usuarios.

Zero Trust aporta ventajas tanto de seguridad como empresariales al adoptar un modelo de seguridad basado en el acceso con privilegios mínimos, entre las que se incluyen:

1. Ciberseguridad mejorada: Zero Trust reduce la probabilidad de brechas de seguridad y minimiza su posible alcance al eliminar la confianza implícita en todas sus formas (conectividad de red, direcciones IP públicas, etc.) y aplicar el acceso basado en el contexto, la segmentación con conexión directa a las aplicaciones y la monitorización continua.
2. Menor complejidad y costes: Zero Trust reduce los costes al consolidar los productos independientes de seguridad y redes en una única plataforma, simplificar la infraestructura de TI, mejorar la eficiencia administrativa y minimizar los gastos operativos. También previene las brechas de seguridad y sus costes asociados, mejora la productividad de los usuarios mediante mejores experiencias digitales y ofrece otras ventajas. Gracias a todo ello, Zero Trust refuerza la capacidad de una organización para invertir en innovación y adaptarse a los retos futuros de forma segura.
3. Mayor productividad de los usuarios: la conectividad directa a las aplicaciones proporcionada en el perímetro de la red elimina la necesidad de redirigir el tráfico a un centro de datos o una nube distantes. Esto elimina la latencia asociada con los saltos de red, los cuellos de botella de VPN y otros problemas que perjudican las experiencias de los usuarios.
4. Adopción segura de la IA y seguridad: la seguridad de los LLM, el control de acceso de los agentes de IA, la protección de datos de la IA generativa y la prevención de la inyección de instrucciones se simplifican gracias a una arquitectura Zero Trust subyacente. Cuando la identidad, el contexto y el acceso con privilegios mínimos son la base de su marco de seguridad, proteger los datos, ya sean de IA o de otro tipo, se convierte en una tarea menos engorrosa.

Los principios zero trust se pueden aplicar en diversos escenarios para satisfacer las diversas necesidades de seguridad de las organizaciones actuales. Entre los casos de uso populares se incluyen:

• Acceso remoto sin VPN: permita a los usuarios acceder de forma segura y directa a aplicaciones privadas sin exponer la red ni depender de conexiones VPN complejas.
• Protección de datos confidenciales: las plataformas Zero Trust pueden proporcionar funciones de prevención de pérdida de datos (DLP) que detectan y protegen la información confidencial en tránsito hacia la web, en reposo en la nube y en uso en los dispositivos finales. 
• Garantizar la seguridad de las cargas de trabajo en entornos multinube: las cargas de trabajo interactúan frecuentemente con la web y con otras cargas de trabajo. El modelo Zero Trust puede proteger estas comunicaciones entre cargas de trabajo para evitar infecciones y fugas de datos.
• Seguridad de IoT y OT: extienda los principios de Zero Trust a sucursales, plantas de fabricación y otros entornos industriales, protegiendo los dispositivos IoT y OT mediante controles de políticas basados en el principio de mínimo privilegio.
• Acceso de terceros y socios: proporcione a contratistas, proveedores y socios tecnológicos acceso seguro mediante Zero Trust a los recursos de TI sin exponer el resto de su red ni utilizar agentes en los dispositivos finales.
• Seguridad de la IA: adopte de forma segura los modelos de IA a medida que su organización crece, evitando la IA en la sombra y protegiendo los datos de IA con facilidad, reduciendo la carga del SOC y la presión sobre los equipos ejecutivos.

Zero Trust para la IA extiende el principio de "nunca confiar, siempre verificar" a los sistemas de inteligencia artificial, incluidos los grandes modelos de lenguaje (LLM), los agentes de IA, las canalizaciones de datos de entrenamiento y las cargas de trabajo de inferencia. Como base de la seguridad moderna de la IA, este enfoque garantiza que, a medida que las empresas adoptan copilotos GenAI, agentes autónomos y automatización impulsada por IA, cada componente de IA se convierte en una nueva identidad que debe ser verificada, autorizada y supervisada continuamente.

Por qué la IA necesita Zero Trust

• La IA amplía la superficie de ataque: cada modelo, agente y canalización de datos es un punto de entrada potencial para la manipulación maliciosa, la exfiltración de datos o el acceso no autorizado.
• Los modelos y los agentes son nuevas identidades: al igual que los usuarios y los dispositivos requieren verificación, los modelos de IA y los agentes autónomos deben autenticarse y autorizarse antes de acceder a los datos de la empresa o ejecutar acciones.
• El principio de mínimo privilegio se aplica al acceso a los datos: los sistemas de IA solo deben acceder a los datos mínimos necesarios para una tarea específica, no a conjuntos de datos completos ni a bases de conocimiento sin restricciones.
• El principio de autonomía mínima limita las acciones autónomas: los agentes de IA deben operar dentro de límites de permisos estrictamente definidos, lo que evita acciones excesivas o no deseadas que podrían afectar a sistemas críticos.
• La monitorización continua detecta amenazas específicas de la IA: el modelo Zero Trust requiere un análisis del comportamiento en tiempo real para identificar la inyección de instrucciones, la deriva del modelo, el envenenamiento de datos, el uso de IA en la sombra y los intentos de evasión de los adversarios.
• Los flujos de datos de IA deben estar protegidos de extremo a extremo: desde la ingesta de datos de entrenamiento hasta la salida de la inferencia del modelo, cada etapa del ciclo de vida de la IA requiere inspección en línea, gobernanza de acceso y aplicación de políticas.

Al aplicar los principios de Zero Trust a la IA, las organizaciones evitan que los datos confidenciales queden expuestos a modelos no autorizados, detienen los ataques de adversarios antes de que manipulen los resultados y mantienen la gobernanza de las implementaciones de IA que aumentan rápidamente de escala.

La plataforma Zscaler Zero Trust Exchange permite a las organizaciones adoptar plenamente un modelo de seguridad Zero Trust al ofrecer una arquitectura nativa de la nube que conecta de forma segura a usuarios, cargas de trabajo, dispositivos, terceros, nubes, aplicaciones y sucursales. Zero Trust Exchange actúa como una centralita inteligente y garantiza que cada transacción y cada componente del ecosistema de TI de una organización cumplan estrictos principios de Zero Trust para:

• Minimice la superficie de ataque: elimine los cortafuegos y oculte las aplicaciones detrás de Zero Trust Exchange, eliminando así los puntos de entrada para los atacantes.
• Evite las brechas de seguridad: una nube de alto rendimiento inspecciona todo el tráfico (incluido el tráfico cifrado TLS/SSL a gran escala) para aplicar capacidades de detección de amenazas en tiempo real y políticas que detienen las amenazas.
• Evite el movimiento lateral: la segmentación Zero Trust mantiene a todos los usuarios y recursos fuera de la red, lo que impide el movimiento lateral entre los recursos conectados a ella.
• Mejore la experiencia del usuario: los usuarios disfrutan de un acceso rápido, fluido y directo a las aplicaciones y los datos que necesitan, sin las dificultades de las VPN tradicionales.
• Simplifique la infraestructura de TI y las operaciones de seguridad: una plataforma unificada y nativa de la nube consolida las funciones de seguridad y reduce la complejidad y los costes.

Zscaler Zero Trust para IA

Nuestra plataforma Zero Trust Exchange es la base de todas nuestras capacidades de seguridad de la IA:

• Gestión de activos de IA: obtenga visibilidad integral de sus datos y modelos de IA para protegerse de forma proactiva frente a los riesgos de la IA
• Seguridad del acceso a la IA: controle el acceso y el contenido en las aplicaciones populares de GenAI, las soluciones SaaS con IA, la IA integrada y las herramientas de desarrollo.
• Red Teaming automatizado continuo: pruebe, proteja e implemente la IA empresarial con rapidez y confianza.
• Mecanismos de protección de la IA: mitigue las amenazas, evite la pérdida de datos y modere el contenido con una inspección de IA de alto rendimiento.

¿Quiere experimentar cómo Zscaler Zero Trust Exchange puede transformar la seguridad y la eficiencia operativa de su organización? Solicite hoy mismo una demostración de nuestra plataforma.