En un momento en que los ataques basados en IA aumentan sin cesar, esto debilita la economía digital colombiana.
Por: Juan Alejandro Aguirre, director de Ingeniería de Soluciones en SonicWall Latinoamérica.
Los mitos han retrasado la difusión del modelo de Acceso a la Red Zero Trust (ZTNA) en Colombia.
Los malentendidos sobre ZTNA impiden que las organizaciones se beneficien de este enfoque de ciberseguridad que, establece que, en principio, no se debe confiar en ningún usuario. ZTNA verifica continuamente la identidad, el estado del dispositivo y el contexto de acceso con cada nuevo intento de conexión a un activo digital.
Este enfoque reduce significativamente la vulnerabilidad a los ataques de phishing (centrados en el robo de credenciales), el uso de dispositivos no administrados, la persistencia de usuarios con permisos de acceso excesivos y las fugas de datos. Todo esto también contribuye a reducir el riesgo que representan los equipos de terceros que utilizan sus propios dispositivos para acceder a la red de la empresa a la que prestan servicios.
Un segmento de la economía, en particular, corre el riesgo de quedar rezagado ante estos logros: las pequeñas y medianas empresas (pymes). Este es un sector con limitaciones presupuestarias y de personal. Esto quizás explique por qué, en 2023, el 43 % de todos los ciberataques se dirigieron a las pymes. Otro estudio del mismo año indica que el 31 % de este sector sufrió la suspensión de sus procesos de negocio debido a ataques de phishing, ransomware y filtraciones de datos.
Las ideas erróneas sobre la implementación del modelo ZTNA podrían estar contribuyendo a la vulnerabilidad de las pymes ante los ciberdelincuentes. En Estados Unidos, por otro lado, este escenario está experimentando una transformación significativa: el 48% de este segmento empresarial ya cuenta con procesos de ciberseguridad alineados con el modelo Zero Trust.
Los líderes de estas organizaciones han comprendido que las antiguas estrategias para proteger sus activos digitales ya no funcionan. Utilizar VPN y firewalls obsoletos significa abrir la puerta al adversario en un contexto donde lo que define el perímetro a proteger ya no es la red corporativa, sino el usuario y su identidad. Los empleados de las pymes están ahora en todas partes, accediendo a aplicaciones en la nube y utilizando internet como su red principal.
Aquí presentamos una refutación a los mitos que retrasan la llegada de Zero Trust a las pymes:
1 – Para implementar ZTNA, es necesario adquirir nuevas soluciones de seguridad. Esto puede evitarse revisando las soluciones de ciberseguridad ya existentes en la pyme. El mercado ofrece, por ejemplo, firewalls que pueden actualizarse y reconfigurarse para admitir el modelo Zero Trust. A continuación, se presentan algunas acciones prácticas:
- Firewalls: Los firewalls también pueden actuar como puntos de control para las conexiones en soluciones ZTNA nativas digitales, dentro de un modelo SaaS. Esto crea segmentos de red más pequeños y aislados, lo que limita la propagación de las brechas de seguridad. La unificación y centralización de los firewalls facilitan este avance mediante el uso de “software como servicio” para realizar las actualizaciones necesarias.
- VPNs: Las VPN tradicionales suelen ser uno de los puntos débiles del entorno digital. Se recomienda configurarlas para otorgar acceso a aplicaciones específicas según los roles de usuario, en lugar de concederles acceso total a la red. Este acceso puede ser temporal, eliminando así la posibilidad de que permanezcan “abiertas” sin garantías de seguridad.
- Seguridad de endpoint: Esta tecnología, a menudo infrautilizada, puede servir de base para nuevas políticas de cumplimiento, garantizando que estos dispositivos cumplan con los estándares de seguridad ZTNA antes de acceder a la red.
- Adoptar el acceso con privilegios mínimos. Este es un nuevo enfoque para la gestión de acceso privilegiado (PAM), donde las configuraciones fijas del pasado dan paso a un acceso temporal y constantemente verificado. Esto se aplica a usuarios de todos los niveles jerárquicos.
- Explore las capacidades del proveedor de identidad en la nube. Esta es una tecnología ampliamente utilizada; se recomienda estudiar esta plataforma para reemplazar los derechos de acceso predeterminados con un aprovisionamiento basado en Zero Trust.
- Supervise continuamente cada acceso, independientemente del usuario. La plataforma de ciberseguridad de ZTNA combina hardware y software como servicio para automatizar este proceso, actuando de forma predictiva para bloquear y mitigar los ataques.
2 – ZTNA es un modelo costoso, difícil de implementar y de gestionar. Aquí es donde los MSSP (Proveedores de Servicios de Seguridad Gestionados) marcan la diferencia para el segmento de las PYME colombianas. Un estudio realizado en 2024 revela que las soluciones Zero Trust implementadas y gestionadas con el apoyo de MSSP pueden reducir los riesgos de brechas de seguridad en un 50 % y proporcionar un retorno de la inversión del 92 % en tres años. Desde la perspectiva del control de costos, la investigación de IDC encargada por IBM el informe indica que las empresas que contratan servicios de seguridad gestionada (MSSP) pueden reducir sus gastos en ciberseguridad hasta en un 25%.
Además de aliviar la carga financiera del modelo ZTNA, un MSSP reduce la complejidad de implementar el modelo Zero Trust en una pyme. Es posible comenzar protegiendo solo algunas aplicaciones críticas y ampliando la alineación con ZTNA al ritmo del crecimiento del negocio. Asimismo, muchas soluciones Zero Trust están basadas en la nube, son fáciles de gestionar y se integran con el proveedor de identidad que ya utiliza la pequeña empresa, como Microsoft Entra ID o Google Workspace.
Gracias a su agilidad y al alto nivel de compromiso de sus empleados, las pymes colombianas llevan en su ADN los valores que aceleran el progreso hacia el modelo ZTNA. La clave reside en contar con el apoyo de un MSSP experto en procesos, productos y gestión de personal. En este proceso, el MSSP se fortalece gracias a la relación que mantiene con proveedores que respetan el papel fundamental del proveedor de servicios de seguridad. Se trata de una alianza estratégica —pyme, MSSP y proveedor— que trabaja en conjunto para fomentar una cultura de ciberseguridad en el país.