ZTNA, o como desconfiar de todo

La gran pandemia originada por el Covid-19 que ha azotado brutalmente a todo el mundo ha supuesto muchos retos en el sector tecnológico con la (obligada) adopción del teletrabajo. Y el campo de la seguridad informática no ha pasado desapercibido, tomando grandes novedades.

Una de estas novedades es el concepto de ZTNA (Zero Trust Network Access). Esto no es una funcionalidad adicional ni un concepto nuevo, sino que se podría definir como un conjunto de mejores prácticas o recomendaciones agrupadas en una única palabra. Pero vamos al grano, ¿qué es eso de ZTNA?

En primer lugar, nos tenemos que centrar en definir las siglas ZT o “zero trust”. Esta expresión viene a decir: “no te fíes de nada ni de nadie en un primer momento”. Y ese es el concepto, no fiarse de absolutamente nada en una primera aparición, teniendo que realizar una validación y verificación si queremos trabajar con ello, aunque sea algo que sabemos que es legal, también hay que verificarlo previamente.

Una vez que tenemos ese “ZT” claro, si añadimos el acceso desde la red tenemos el concepto completo. No conceder el acceso a la red interna o externa (si, interna y externa, importante pensar en ambas redes) si previamente no ha sido verificado y validado.

Pongamos un ejemplo en el mundo informático. Supongamos que el CEO de la organización se conecta con su equipo corporativo a la red interna. En este punto podríamos pensar que está todo correcto, es el CEO, conectado con su equipo corporativo mediante un cable de red interno desde su sitio habitual. Muy bien. Ahora supongamos que alguien con las credenciales del CEO se conecta desde un equipo no corporativo, desde la red de su casa particular y quiere acceder a archivos de Recursos Humanos. Sería sospechoso, no?

Quizá, en un modelo tradicional, para el primer caso se concedería el acceso y para el segundo no. Pero desde un modelo ZT o ZTNA cambia un poco la película. En este modelo no se concedería el acceso a ninguno, siendo necesario ejecutar una serie de comprobaciones previas, como validar el usuario, validar el equipo y comprobar la seguridad, comprobar el acceso que se solicita, minimizar los recursos, etc. Y una vez se tengan unas conclusiones, tomar una decisión.

Como se comentaba al principio esto se ha visto propulsado por el teletrabajo, ya que el entorno de trabajo ha cambiado y la barrera de seguridad perimetral que antes se tenia en las empresas, se ha movido a un entorno más Cloud. Pero como se venia destacando, esto es solo un concepto o una forma de pensar, las tecnologías que dan soporte al ZTNA no han cambiado y se puede llevar a cabo con Firewalls, proxys, NAC, EDR, VPNs y un largo etcétera de recursos.

El objetivo es conseguir una granularidad muy fina de cualquier acceso y cualquier dato, implementar microsegmentación y adaptar de forma muy reducida cualquier acceso a su única finalidad, pero siempre, bajo previa validación.