Trends 2022 en seguridad: el rol de la biometría facial en el concepto de Zero Trust
Inicialmente, el modelo se aplicaba exclusivamente en el contexto de la protección de la infraestructura de información de la empresa. Sin embargo, últimamente la estrategia de confianza cero se ha aplicado también a la seguridad física. El principio fundamental de Zero Trust es «no confíes nunca a nadie, y verifícalo siempre». ¿Cómo se interpreta este postulado en los sistemas de seguridad actuales? ¿Y cuál es el rol de la biometría en la implementación del modelo de Zero Trust? Descubrámoslo junto con el equipo de RecFaces.
Tabla de contenidos
- Del «periodo de protección» a la «confianza cero»
- Las principales áreas de interés de Zero Trust en la seguridad de la información
- Protección de la red
- Protección de los dispositivos
- Protección de los usuarios
- Trabajar con los usuarios en el concepto de Zero Trust
- Cuenta a todos
- El modelo del menor privilegio
- Autenticación
- Zero Trust y la biometría en la seguridad de la información
- Zero Trust y la biometría en la seguridad física
Del «periodo de protección» a la «confianza cero».
El analista de Forrester John Kinderwago fue el primero que formuló el concepto de Zero Trust en 2010. Según su idea, para proteger los recursos de información, las empresas deben abandonar el concepto de «perímetro protegido» y comprobar constantemente a todos los usuarios y todos los dispositivos relacionados con la red corporativa.
En los «años cero», la prioridad de los profesionales de la seguridad de la información era proteger el perímetro de la red local contra las intrusiones no autorizadas. Y la zona dentro del perímetro se consideraba segura por definición. Sin embargo, con el paso de los años, la infraestructura informática local fue sustituida por los servicios en la nube y el concepto BYOD (Bring Your Own Device), en el que los empleados llevaban sus dispositivos personales -portátiles, teléfonos, tabletas, etc.- a la oficina. El Internet de las Cosas (IoT), con sus altavoces inteligentes, lámparas y teteras, también se está convirtiendo en un posible objetivo de los ciberataques. El punto de no retorno para el concepto de «perímetro protegido» resultó ser la pandemia de coronavirus, cuando millones de personas en todo el mundo quedaron a distancia. Se hizo evidente que los dispositivos podían verse comprometidos y los datos de los usuarios podían ser robados en cualquier momento. Y, por lo tanto, los controles de seguridad no deben limitarse al momento de conectarse a la red.
Las principales áreas de interés de Zero Trust en la seguridad de la información
Protección de la red
Para robar información, se necesita más que infiltrarse en una red local: hay que poder moverse dentro de ella. Para lograr la máxima seguridad de la red, Zero Trust propone utilizar el principio de microsegmentación, en el que la red y otros recursos se dividen en pequeñas zonas aisladas dentro de un perímetro común. Cada uno de estos segmentos tiene una política de seguridad y unos derechos de acceso distintos. Incluso si un intruso entra en una zona, no podrá avanzar más y extender la amenaza a toda la red.
Protección de los dispositivos
Por muy extensa que sea la red de la empresa, el equipo de seguridad informática debe conocer todos los dispositivos a los que se puede acceder. Y no se trata sólo de los ordenadores laborales o personales de los empleados. Son los smartphones, los discos duros externos y los numerosos «dispositivos inteligentes» que crecen en número cada año. Sí, inventariar todos los dispositivos y supervisar su estado de forma periódica no es tarea fácil. Sin embargo, como se ha mencionado anteriormente, a veces incluso una cafetera inteligente instalada en la casa de un empleado se convierte en un punto débil del sistema de seguridad.
Protección de los usuarios
El elemento humano ha sido tradicionalmente el punto más vulnerable de cualquier estrategia de seguridad. Especialmente cuando la persona trabaja a distancia y simplemente no es posible físicamente controlar todas sus acciones. Existen casos en los que la red de una empresa ha sido derribada por los hijos de un empleado que ha instalado un malware en un ordenador doméstico. El ataque no debe basarse necesariamente en una intención maliciosa. El trabajador puede simplemente ser descuidado y caer en la estafa del phishing. Los recursos de toda la empresa se verán afectados por esto.
Trabajar con los usuarios en el concepto de Zero Trust
En términos del concepto de confianza cero, cualquier intento de acceso a la red corporativa es una amenaza potencial para la seguridad de la empresa. El principio «esta persona es de confianza y aquella no» no funciona, ya que en este modelo no hay usuarios de confianza. Estos son los principios básicos para minimizar el «elemento humano» en una estrategia de confianza cero.
Cuenta a todos
Al igual que los dispositivos de acceso, todos los usuarios deben ser contados y divididos en grupos. Y no sólo los empleados, sino también los visitantes, socios o contratistas. Absolutamente todos los que tienen al menos un mínimo de derechos de acceso a la red de la empresa.
El modelo del menor privilegio
Este principio implica la aplicación de restricciones estrictas a los derechos de acceso de cada usuario. Todos deberían estar satisfechos con el mínimo necesario para realizar sus tareas laborales. Por ejemplo, un contable no puede acceder a la información de marketing y un comercializador no puede acceder a los materiales de información financiera. En este caso, si la cuenta de un usuario se ve comprometida, los atacantes sólo accederán a una parte de los datos, pero no a todos los recursos de la empresa.
Autenticación
Una autenticación fuerte y fiable es la base de Zero Trust. Elegir erróneamente una forma de verificación de la identidad de un usuario puede socavar todos los esfuerzos para construir una estrategia de confianza cero. A pesar de la obviedad de esta verdad, la cuestión de qué autenticación es realmente fiable sigue abierta.
Las contraseñas siguen siendo el método más popular de verificación de usuarios. Sin embargo, este método tiene muchos problemas. Las contraseñas robadas son la causa más común de las filtraciones de datos y los ataques de hackers. Las contraseñas complejas sólo empeoran el problema. Muchos empleados son físicamente incapaces de recordar largas combinaciones de números, letras y símbolos. En consecuencia, las contraseñas se escriben simplemente en un papel, que a menudo se guarda en el escritorio. Un método más avanzado es la autenticación multifactorial, que consiste en contraseñas, PIN o combinaciones de números de SMS o aplicaciones especiales de autenticación. En el caso de los dispositivos móviles, existe la posibilidad de confirmar la identidad de un usuario mediante los datos de una tarjeta SIM instalada en el teléfono e identificada por el operador móvil. Pero, por desgracia, los teléfonos inteligentes y las tarjetas SIM tampoco son inmunes del robo y la piratería.
Zero Trust y la biometría en la seguridad de la información
La alternativa más segura a las contraseñas hoy en día es la autenticación biométrica. Sobre todo, se basa en la biometría facial. Su principal ventaja es la inalienabilidad del factor de acceso: la cara de una persona no puede ser robada ni pirateada. Veamos el ejemplo de Id-Logon, una solución biométrica de software de RecFaces diseñada para la autenticación de usuarios en sistemas de información.
- La autentificación debe llevarse a cabo en todo momento
La identidad de un usuario no sólo se verifica al iniciar la sesión, sino también mientras se trabaja. La opción de comprobación de antecedentes garantiza que la persona sigue estando frente al ordenador. Si el sistema «no ve» al empleado, la frecuencia de las comprobaciones aumenta y, tras un intervalo de tiempo seleccionado, el acceso al dispositivo se bloquea automáticamente. Se requerirá una nueva autentificación para seguir trabajando.
- Control del acceso de personas no autorizadas
Imagínese que un empleado se conecta con éxito, pero luego un colega o una persona no autorizada se presenta en su escritorio. En este caso, el sistema notificará el incidente al departamento de seguridad informática como resultado de la comprobación de antecedentes. Además, el sistema bloqueará el acceso por completo si este es el escenario.
- Verificación adicional para las transacciones críticas
La solución de software puede conectarse a los sistemas de prevención de fugas de datos DLP o a otros sistemas de control. En caso de actividad sospechosa del usuario o de transacciones significativas, el sistema le avisa para que realice una verificación biométrica no planificada. Todas estas confirmaciones se guardan en un archivo especial. De este modo, si es necesario, la seguridad o la dirección de la empresa pueden comprobar en todo momento quién y cuándo se ha realizado una operación concreta.
- Es posible la autenticación multifactorial
La autenticación biométrica del usuario puede utilizarse sola o junto con contraseñas, códigos PIN y otros factores.
- Protección contra deepfakes y accesos ilegales
La solución de software incluye algoritmos de Liveness para combatir los intentos de inicio de sesión con foto o vídeo por parte de un usuario con derechos de acceso. Permiten al sistema comprobar que hay una persona viva detrás del dispositivo. Además, el propio algoritmo de reconocimiento facial es muy preciso. La probabilidad de denegar el acceso a un empleado autorizado es menor del 3%, y de conceder el acceso a una persona no autorizada es menor del 0,0001%. Los intentos repetidos de autenticación o autorización mediante fotos o vídeos pueden provocar el bloqueo total del dispositivo.
Zero Trust y la biometría en la seguridad física
El concepto de Zero Trust puede aplicarse no sólo en la seguridad de la información, sino también en la seguridad física, donde la principal «vulnerabilidad» sigue siendo el individuo. Independientemente de que sea un empleado, un visitante o incluso un profesional de la seguridad. Siguiendo el principio de «no te fíes de nadie», es necesario saber siempre con seguridad quién está en las dependencias. Las tarjetas de acceso estándar no ofrecen esa garantía: sólo sabemos que una persona con una determinada identificación ha pasado por un torniquete o una puerta. Pero nunca podremos estar seguros de si era realmente él, o si la tarjeta estaba en manos de una persona no autorizada.
Para la seguridad física de «confianza cero», también es preferible la identificación por biometría facial. Como una cara, es prácticamente imposible de falsificar o transferir a otra. Además, este tipo de identificación resuelve el problema de las tarjetas de identificación perdidas y olvidadas, y elimina la necesidad de buscar apresuradamente una tarjeta de identificación frente a un torniquete o cualquier otro dispositivo de ACS. El procedimiento de la placa es más rápido y cómodo. Por ejemplo, la identificación de una sola persona con la solución de software Id-Gate de RecFaces requiere menos de un segundo.
La biometría permite la continuidad del control, lo que también está en consonancia con el concepto de Zero Trust. No sólo comprobar la identidad de una persona una vez cuando entra en una empresa, sino seguir haciéndolo cuando ya está en las dependencias. También para controlar y detener posibles violaciones de acceso. Por ejemplo, en salas que requieren una protección especial o incluso en zonas aisladas al aire libre. Esto no requiere necesariamente hardware adicional o dispositivos de control físico. Es suficiente desplegar una red de puntos de control de acceso virtuales basados en Id-Guard. Pueden utilizarse no sólo para controlar la presencia de personas no autorizadas en el lugar, sino también para regular los derechos de acceso de los empleados a determinados lugares. Si una cámara detecta a una persona no autorizada, el sistema avisará automáticamente a los responsables de seguridad. Por ejemplo, la solución de software Id-Guard, desarrollada por RecFaces, permite eliminar rápidamente la entrada de personas no autorizadas en las dependencias, poner en marcha listas de exclusión e investigar rápidamente posibles incidentes de seguridad.
Es importante tener en cuenta que además del abuso por parte de los empleados o visitantes en la seguridad física, hay otro punto potencial de compromiso. A saber, la recepción, la oficina de pases y el personal de seguridad. Es decir, aquellas personas autorizadas que conceden derechos de acceso a otros. Siguiendo el modelo de Zero Trust, también deben ser objeto de controles constantes. Especialmente cuando se trata de cualquier actividad importante: desde la entrega de tarjetas de identificación hasta el manejo de cualquier documento importante. Aquí es donde la seguridad física entra en estrecho contacto con la seguridad de la información. El círculo se cierra, y volvemos a la cuestión de la autentificación precisa de los empleados con acceso a los sistemas de credenciales que hemos discutido antes.
La realización del concepto Zero Trust es un proceso que requiere mucho tiempo y trabajo. No es una tarea fácil sistematizar a los empleados con diferentes derechos de acceso, realizar un inventario exhaustivo de los dispositivos, actualizar el software obsoleto que no se ajusta a las normas de seguridad modernas. En comparación, Google tardó unos siete años en construir BeyondCorp. Es un marco de trabajo basado en un modelo de confianza cero y originalmente pensado para uso interno. En 2020, creó BeyondCorp Remote Access, un producto basado en la nube que ofrece a los empleados un acceso remoto seguro a los recursos internos de la empresa desde cualquier dispositivo sin necesidad de una VPN. Por supuesto, este es un ejemplo excepcional. Pero incluso las empresas de mediano tamaño necesitan al menos unos meses para implantarlo. Alternativamente, el concepto puede ser implementado de forma incremental, comenzando con una revisión de las reglas de verificación y autenticación de usuarios. Por ejemplo, introduciendo la autenticación biométrica en las operaciones de la empresa. Las modernas soluciones de software en el ámbito de la biometría no requieren ni grandes inversiones en la renovación de la infraestructura, ni una instalación compleja, sino que responden plenamente a la idea de «confianza cero». Por ejemplo, se tarda 20 minutos en instalar los productos biométricos RecFaces. Es tiempo suficiente para que el usuario obtenga un producto completo y fiable con total funcionalidad.
Más información sobre los escenarios de uso y las características técnicas de las soluciones de software de RecFaces disponible aquí.
