Gonzalo Erro, Data Privacy and Security Officer

A la vista de los recientes incidentes de ciberseguridad, cada vez más organizaciones se plantean utilizar aproximaciones denominadas de “confianza cero” en sus redes y sistemas.

Según advierten diferentes organismos involucrados en ciberseguridad, los avances y la sofisticación de los ataques han aumentado, haciendo que el modelo tradicional de la seguridad no esté preparado para responder a un entorno tan dinámico y cambiante. En este sentido, aproximaciones de “confianza cero” son clave y se pueden utilizar en la práctica optando, entre otros, por la estandarización y la certificación.

No confiar por defecto, verificar siempre

El modelo de seguridad de “confianza cero” lo componen un conjunto de principios orientados a prevenir ataques y pérdida de datos. La idea principal es que los modelos de seguridad tradicionales, que presuponen que todo lo que se encuentra dentro de una red es confiable, ya no son válidos.

El modelo de “confianza cero” está diseñado para proteger el entorno digital. Sirvan como ejemplo algunas de las principales consideraciones de este modelo:

1. Asumir que el entorno TIC es hostil y no confiable por defecto;
2. Identificar componentes críticos en la infraestructura TIC, verificar y monitorizar todos los accesos;
3. Proporcionar acceso solo a través de conexiones seguras, con independencia de la ubicación;
4. Mantener un control de acceso estricto basado en la necesidad de conocer y de privilegio mínimo;
5. Determinar los permisos de acceso según el nivel de confianza de la petición: por ejemplo el propietario de la cuenta, del dispositivo, dirección IP o ubicación.           

¿Por qué los principios de “Confianza Cero” son importantes?

Debido a la creciente complejidad tecnológica, las amenazas persistentes y las consideraciones geopolíticas, los gobiernos y la industria de las telecomunicaciones discuten aspectos como si se puede confiar, en qué grado y condiciones en la cadena de suministro. Con el fin de introducir un mecanismo objetivo en este debate, se necesitan directrices, criterios objetivos y mecanismos de certificación. La exclusión de proveedores basados en aspectos no relacionados con la ciberseguridad, como el país de origen, socava un enfoque internacional basado en normas aplicables a todos, limitando la competitividad y la innovación en todo el sector.

Por lo tanto, el principio “Confianza Cero” es una excelente herramienta y organismos como ENISA sugieren que es una consideración política extender este principio de “Confianza Cero” a toda la cadena de suministro con mecanismos como las declaraciones de garantía de los proveedores, pero también con verificación de seguridad de productos y certificaciones que deben completarse por todos los proveedores que proporcionan productos o servicios TIC en diferentes escenarios.

Con la introducción de la caja de herramientas del 5G en 2020, la UE ha dado los primeros pasos en esta dirección. Sin embargo, la implementación práctica ha resultado difícil, por lo que es positivo continuar tomando medidas concretas para reforzar el modelo de “Confianza Cero”.

Expansión del modelo “Confianza Cero” en redes 5G

Un paso adelante en el modelo de “Confianza Cero” sería la verificación y certificación de los productos, incluyendo  el proceso de desarrollo del producto, como la evaluación independiente las funcionalidades de seguridad conforme a estándares técnicos aplicables a todos.

Un buen ejemplo de este enfoque es el “5G Security Knowledge Base” desarrollado por la GSMA, que se centra en proporcionar medidas de mitigación para gestionar amenazas e implementar principios de “Confianza Cero”, reconociendo que la seguridad es una responsabilidad compartida. Otro buen ejemplo es la verificación/certificación bajo el esquema de aseguramiento de equipos de redes de comunicaciones NESAS. Este esquema se refiere a estándares de seguridad diseñados específicamente para la industria de redes móviles y definidos por GSMA y 3GPP, proporcionando un análisis de amenazas, definiciones de componentes críticos, métodos y requisitos generales para el aseguramiento dichos equipos.

Huawei es un firme partidario del modelo de “Confianza Cero”. Este modelo proporciona unas reglas de juego que promueven un enfoque proactivo de la gestión de riesgos y se aplica igual para todas las partes involucradas. Si el concepto de “Confianza Cero” se adopta de manera combinada con el de verificación/certificación, el “5G Security Knowledge Base” y el modelo de verificación NESAS podrían ser referencias para adoptar un mayor nivel de seguridad en las infraestructuras de comunicación móviles.