Modelo de madurez de Zero Trust y planificación de la migración

Zero Trust no es un producto que se compra, sino un proceso de mejora continua en varios dominios de seguridad. Sin un modelo de madurez estructurado, las organizaciones tienen dificultades para priorizar las inversiones y medir los avances. El CISA Zero Trust Maturity Model proporciona un lenguaje común y una hoja de ruta que ayuda a los equipos a comprender su postura actual y planificar mejoras realistas y graduales.

El CISA Zero Trust Maturity Model define cinco pilares —identidad, dispositivos, redes, aplicaciones y cargas de trabajo, y datos— y tres etapas de madurez: tradicional, avanzada y óptima. En la etapa tradicional existen silos y es común la confianza implícita. En la etapa avanzada mejoran la automatización y la integración. En la etapa óptima, las políticas dinámicas, la supervisión continua y la automatización están completamente implementadas en todos los pilares.

En el pilar de identidad, las organizaciones tradicionales utilizan autenticación básica con nombre de usuario y contraseña, sin MFA. Las organizaciones avanzadas implementan MFA y inicio de sesión único para la mayoría de las aplicaciones. Las organizaciones óptimas utilizan autenticación continua basada en riesgos con análisis de comportamiento: cada solicitud de acceso se evalúa en tiempo real mediante puntuaciones de riesgo dinámicas, elevación de privilegios just-in-time y métodos de autenticación sin contraseña.

En el pilar de dispositivos, las organizaciones tradicionales disponen de un inventario de activos mínimo y aplican pocos controles. Las organizaciones avanzadas implementan MDM y hacen cumplir comprobaciones básicas de cumplimiento. Las organizaciones óptimas cuentan con un inventario completo de activos, supervisión continua del cumplimiento, corrección automatizada de dispositivos que no cumplen los requisitos, atestación de hardware (TPM) e integración de las señales de estado del dispositivo en cada decisión de acceso mediante el motor de políticas.

En el pilar de redes, las organizaciones tradicionales dependen de firewalls perimetrales y redes internas planas. Las organizaciones avanzadas implementan macrosegmentación y comienzan a reemplazar la VPN por ZTNA en algunos casos de uso. Las organizaciones óptimas logran la microsegmentación completa de todas las cargas de trabajo, tráfico este-oeste cifrado, perímetros definidos por software y análisis del tráfico de red que alimentan el motor de políticas Zero Trust en tiempo real.

En cuanto a aplicaciones y cargas de trabajo, las organizaciones tradicionales conceden un acceso amplio por aplicación. Las organizaciones óptimas aplican acceso con privilegios mínimos por sesión, con prevención de pérdida de datos en línea e inspección en la capa de aplicación. En el pilar de datos, las organizaciones tradicionales aplican una clasificación mínima. Las organizaciones óptimas logran el descubrimiento y la clasificación automatizados de datos en reposo y en movimiento, cifrado en todas partes y controles de acceso centrados en los datos que siguen a estos independientemente de dónde se desplacen.

Antes de planificar una migración, realice una evaluación de brechas en los cinco pilares. Para cada pilar, documente el estado actual (tradicional, avanzado u óptimo), el estado objetivo y las brechas que deben cerrarse. Recopile datos de los registros del proveedor de identidad, las consolas de MDM, los diagramas de red, los inventarios de aplicaciones y los informes de clasificación de datos. El resultado es una lista priorizada de proyectos asignados a cada pilar.

Las migraciones exitosas a Zero Trust comienzan con logros rápidos que aportan valor de seguridad sin interrumpir el negocio. Entre los logros habituales de la fase 1 se incluyen: implementar MFA para todos los usuarios, inscribir los dispositivos en MDM, implementar SSO para reducir la proliferación de contraseñas y habilitar Conditional Access básico. Estos pasos abordan los riesgos más críticos (compromiso de credenciales y dispositivos no administrados) y, al mismo tiempo, generan confianza entre las partes interesadas para realizar inversiones mayores.

La fase 2 integra los pilares e incorpora automatización. Las puntuaciones de riesgo de identidad alimentan las políticas de Conditional Access. El cumplimiento del dispositivo se aplica como puerta de acceso a las aplicaciones. ZTNA reemplaza la VPN para el acceso remoto. Privileged Access Management (PAM) almacena y rota las credenciales privilegiadas. La automatización reduce la intervención manual y garantiza que las políticas se apliquen de forma coherente, eliminando los errores humanos en las decisiones de control de acceso.

Entre los desafíos habituales de la migración a Zero Trust se incluyen las aplicaciones heredadas que no admiten protocolos de autenticación modernos (SAML, OIDC), la resistencia de las partes interesadas cuyos flujos de trabajo se ven alterados y la proliferación de herramientas al integrar productos de identidad, MDM, SIEM y ZTNA. Para abordarlos se necesitan hojas de ruta de modernización de aplicaciones, patrocinio ejecutivo, programas de gestión del cambio y consolidación de plataformas para reducir la complejidad de la integración.

La madurez de Zero Trust debe medirse con métricas cuantificables, no con valoraciones subjetivas. Entre las métricas clave se incluyen: porcentaje de usuarios inscritos en MFA, porcentaje de dispositivos inscritos en MDM y que cumplen los requisitos, porcentaje de aplicaciones accesibles únicamente mediante ZTNA, tiempo medio de detección (MTTD) de intentos de movimiento lateral y número de protocolos heredados deshabilitados. La medición periódica con respecto a los puntos de control del modelo de madurez de CISA mantiene el programa encaminado y justifica la continuidad de la inversión.

En esta lección ha aprendido que: el modelo de madurez de Zero Trust de CISA define cinco pilares en tres etapas de madurez, las evaluaciones de brechas identifican la postura actual y permiten priorizar los proyectos de mejora, y la migración por fases, comenzando por logros rápidos (MFA, MDM, SSO), proporciona beneficios tempranos de seguridad mientras se avanza hacia un modelo Zero Trust completo. A continuación, exploraremos la metodología de threat hunting y cómo generar hipótesis estructuradas para realizar investigaciones proactivas.