Cisco revela que solo el 2% de las empresas alcanza la madurez en Zero Trust

Cisco presentó los resultados del reporte Security Outcomes Report on Zero Trust: Adoption, Access, And Automation Trends en el cual se destaca que en la mayoría de las organizaciones han comenzado a implementar algún aspecto de confianza cero, ya sea  con la implementación de la autenticación multifactor, asegurando el acceso de usuarios remotos, implementando la segmentación de la red o aplicando la microsegmentación en las cargas de trabajo en la nube. Sin embargo, sólo el 2%, afirma haber alcanzado la madurez en los pilares de confianza cero.

Para Cisco, una red de confianza cero se basa en un modelo de seguridad que establece la confianza a través de la autenticación y el monitoreo continuo de cada intento de acceso a la red, lo cual difiere con el modelo tradicional de asumir que se puede confiar completamente dentro de una red corporativa.

En el reporte las capacidades de zero trust se clasificaron en cuatro grupos o pilares que se alienan con la arquitectura de zero trust de Cisco y del modelo del Cibersecurity and Infrastructure Security Agency que son:

• Identidad: autenticación multifactor, Control de acceso basado en perfiles, Enterprise single single sign-o.
• Dispositivo: validación continua de usuarios y dispositivos . Detección y respuesta de End Point administración de vulnerabilidades basadas en riesgo.
• Red y Cargas de trabajo: detección de la red y respuesta, microsegmentación de aplicaciones de cargas de trabajo.
• Automatización y orquestación: automatización de flujos de trabajo orquestados, y respuesta de seguridad orquestada y respuesta automatizada.

Principales conclusiones del reporte

Cuantos más pilares se persiguen mejores serán los resultados, lo que respalda la idea de que zero trust requiere un enfoque holístico para obtener beneficios medibles.

• Las organizaciones que aún no han iniciado el camino hacia la confianza cero tienen el doble de probabilidades de informar de incidentes que las que completan todos los pilares de confianza cero: del 67 % al 33 %.
• A medida que las organizaciones agregan tecnologías de confianza cero a su stack de seguridad, el porcentaje de incidentes notificados cae del 74 % al 38 %.

El orden es importante: primero la identidad y control del dispositivo, luego la segmentación, después la automatización y la orquestación.

Entre las ventajas de adoptar este enfoque se incluyen las siguientes:

• Mejora de la respuesta a incidentes: los controles de usuario, como MFA, tienen el mayor impacto en la reducción de incidentes, lo que destaca el valor que estos controles preventivos pueden tener en la productividad de los equipos de SecOps. Menos incidentes es una buena noticia para todos.
• Reducción del riesgo de ransomware: las organizaciones que completaron el pilar de identidad tenían casi un 11% menos de probabilidades de sufrir un ataque de ransomware que las organizaciones sin progreso en ese pilar.

La automatización acelera la adopción de Zero Trust. Los equipos de seguridad evalúan primero la automatización y la orquestación para su arquitectura de confianza cero. Aunque muchos están de acuerdo con la necesidad de automatización, pocos se han dado cuenta de los beneficios. Esta es el área en la que se están enfocando los programas de maduración ya que sin la velocidad de corrección que pueden aportar los flujos de trabajo orquestados, lograr la seguridad de confianza cero seguirá siendo un objetivo difícil de alcanzar.

• Las organizaciones que implementaron SOAR tenían un 7 % más de probabilidades de afirmar que Zero Trust estaba en su lugar.
• Las organizaciones que completan el pilar de automatización y orquestación tienen un 14 % más de probabilidades de tener éxito en la adaptación a los eventos de cambio externos.

El  análisis del Security Outcomes Report on Zero Trust: Adoption, Access, And Automation Trends se realizó con base en las encuestas anónimas realizadas a mediados de 2022 entre profesionales responsables de la seguridad y privacidad de 26 países incluido México,  y en cuyo análisis participó Cyentia Institute.