La protección de todos los accesos: un deber incuestionable de toda empresa

Opinión del experto Stefan Rabben, Director de Ventas de la región DACH y Europa del Este de WALLIX.

November 2022

En un contexto en el que los usos digitales están cambiando significativamente y la ciberdelincuencia se considera ahora la tercera fuerza económica mundial, la necesidad de proteger el acceso a las infraestructuras de las organizaciones es mayor que nunca. Al proteger el acceso, las organizaciones garantizan la continuidad de su actividad, cumplen con los requisitos normativos y, lo que es más importante, permiten que los datos sean accesibles a todos, lo que facilita la innovación y garantiza su competitividad económica.

La pandemia ha provocado que el mundo experimente una aceleración de la transformación digital, por lo que la necesidad de acceder de forma segura a los datos corporativos es mayor que nunca. Basta con pensar en la normalización del teletrabajo, el crecimiento masivo de los servicios en la nube o el gran aumento del número de dispositivos móviles. Sin embargo, muchas de las aplicaciones que en un principio permitieron a las organizaciones continuar con su actividad durante los largos meses de confinamiento han provocado el aumento considerable del número de puntos de acceso a sus infraestructuras informáticas y, teniendo en cuenta que estos puntos son potenciales puertas de entrada para los hackers, proteger los datos y las aplicaciones que se encuentran tras estas entradas se ha vuelto una tarea imprescindible. El récord de 2021 no deja lugar a dudas: un total de 40 000 millones de datos personales fueron hackeados, es decir, unos 10 datos personales por individuo a nivel mundial, lo que supone un aumento del 78% con respecto a 2020.

No obstante, lo más probable es que este récord se siga batiendo ya que en la actualidad la ciberdelincuencia está experimentando una especie de industrialización, lo que incrementará en gran medida el riesgo cibernético que pesa sobre las economías de muchos países. Ahora las organizaciones de hackers operan muy cerca de las empresas. Es más, la ciberdelincuencia se considera la tercera industria más importante del mundo y, pese a que en 2015 el coste total fue de 3 billones de dólares y en 2021 de 6 billones, se prevé que en 2025 alcance los 10,5 ºbillones. Estos costes incluyen el daño y la destrucción de datos personales y/o financieros, el robo de dinero, la pérdida de productividad, la malversación de fondos, el fraude, el robo de propiedad intelectual y el daño a la reputación. También hay que tener en cuenta los costes en los que incurren las organizaciones por la interrupción de su actividad —que a veces se puede prolongar durante un largo período de tiempo tras el ataque—, así como la inversión que estas tienen que realizar para recuperar los datos y sistemas pirateados.

Ya no existe la seguridad, sino la protección adecuada.

Vivimos en una época de cambio de paradigma en la que ya no hay seguridad en las fronteras y en la que los usuarios —ya sean personas o máquinas— son cada vez más móviles y necesitan acceder a los datos de las organizaciones en cualquier momento y desde cualquier lugar. Los propios datos se están volviendo efímeros (almacenamiento en la nube, soluciones SaaS, automatización, etc.) con el objetivo de controlar los costes y ganar en flexibilidad. Esto se aplica a todos los sectores, incluidos los más críticos como la sanidad, la industria o la administración, los cuales necesitan urgentemente proteger estos accesos para garantizar la continuidad de la actividad, el cumplimiento de la normativa y, lo que es aún más importante, la accesibilidad de los datos, lo que a su vez posibilita la innovación y el refuerzo de su competitividad económica.

Para proteger los accesos, las empresas deberían implementar medidas como las que siguen:

• Autenticación multifactor (MFA) para neutralizar los riesgos asociados a las credenciales comprometidas.
• Gestión del acceso remoto basada en las últimas tecnologías de seguridad, lo que mantiene el acceso remoto de proveedores, empleados o administradores de terceros.
• Gestión de sesiones para monitorear, controlar y auditar las sesiones.
• Gestión de contraseñas que garantiza la protección y rotación de contraseñas y claves, además de la supresión de contraseñas difíciles.
• Y, por último, la gestión del menor privilegio, que permite conceder los privilegios adecuados al usuario correcto en el momento adecuado y detiene la propagación del malware bloqueando el movimiento lateral y vertical.

Soluciones integradas para conseguir la mejor protección posible

WALLIX combina estas tres medidas en una única solución llamada PAM4ALL. Esta solución permite que las organizaciones implementen de forma rápida una arquitectura Zero Trust con una fuerte autenticación y control de accesos adaptados a los usuarios, ya sean humanos o máquinas, dependiendo de la tarea que estos necesiten realizar y durante un periodo de tiempo determinado (Just-In-Time o «justo a tiempo»). También es imprescindible que los responsables de seguridad tengan una perspectiva general constante de las actividades que se producen en la red de la empresa para que así puedan intervenir con rapidez en caso de amenazas avanzadas o incluso malware. Las empresas deben implementar una fuerte autenticación, controlar las elevaciones de privilegios, bloquear movimientos laterales y eliminar derechos de administrador local. También tienen que proteger cuentas, llaves y certificados necesarios para la automatización y las prácticas DevOps. Así es como se deberían proteger los entornos DevOps, independientemente del tipo de plataforma de automatización que se utilice y sin exponer las credenciales (evitando el hard coding). Las políticas de control de accesos garantizan la concesión de niveles adecuados de privilegios y, teniendo en cuenta las mejores prácticas de rotación de contraseñas, se pueden definir los procedimientos sin interrumpir  los procesos de trabajo internos.

Es por ello que es absolutamente necesario proteger todos los accesos, no solo los de las cuentas privilegiadas. Siguiendo el principio del menor privilegio se consigue proteger a todos los usuarios y puestos de trabajo vulnerables de una organización. Todos los trabajadores en algún momento de su jornada laboral utilizan algún tipo de privilegio para acceder a ciertos recursos internos. El reto es conceder acceso en el momento adecuado con el nivel correcto de privilegios para completar la tarea esperada, independientemente del lugar para:

• Todos los usuarios: ya sean empleados, proveedores, partners, individuos o máquinas, etc.
• Todo tipo de situación.
• Todos los recursos estratégicos corporativos.
• Todos los dispositivos de la empresa.