¿Qué es el acceso remoto seguro?

¿Cómo funciona?

El acceso remoto seguro permite a los empleados que están fuera de la oficina utilizar los recursos que necesitan para ser productivos. Proporciona un medio para que se conecten a centros de datos, redes, aplicaciones o recursos en la nube con sus dispositivos remotos a través de conexiones a Internet de redes wifi públicas o domésticas no seguras en lugar de a una red corporativa.

El acceso remoto seguro proporciona a los empleados híbridos de hoy en día un búfer que se encuentra entre su terminal e Internet, lo que les permite establecer conexiones remotas mientras minimizan el riesgo de un acceso no autorizado.

Las políticas y tecnologías de acceso remoto seguro varían según la empresa, ya que cada departamento de TI tiene sus propias instalaciones, requisitos y presupuesto para brindar un acceso seguro desde cualquier lugar.

¿Por qué es importante el acceso remoto seguro?

Actualmente, muchas empresas están contratando en función de la cualificación en lugar de la ubicación de los potenciales empleados. El trabajo remoto e híbrido está aquí para quedarse, y con la evolución de las amenazas cibernéticas y las vulnerabilidades en los máximos históricos, el acceso remoto seguro se ha trasladado a lo más alto de la lista de prioridades para los departamentos de TI y seguridad de todo el mundo, independientemente de cuál sea su sector.

En el pasado, los empleados de una organización estaban en su red, y todas las aplicaciones residían en el centro de datos conectado a esa misma red. Sin embargo, con el inicio de la pandemia de la COVID-19, las empresas se vieron obligadas a cambiar rápidamente al trabajo a distancia para mantenerse productivas y rentables. Esto significó adoptar soluciones de acceso remoto para proporcionar a los usuarios la capacidad de acceder a aplicaciones internas como Microsoft 365 haciéndolas extensivas al usuario remoto, bien a través de la red o mediante otros métodos.

Los estándares de seguridad actuales son tremendamente diferentes de los de hace incluso cinco años, y el paradigma que rodea a las tecnologías de acceso remoto seguro está cambiando rápidamente.

¿Qué tecnologías se utilizan para el acceso remoto seguro?

Hay una gran variedad de soluciones de acceso remoto en el mercado. Veamos algunas de las que más utilizan las organizaciones actuales.

Virtual Private Network (VPN)

Es la predecesora de todas las soluciones de acceso remoto seguro. Una VPN proporciona acceso a la red corporativa de una empresa a través de un túnel que se sitúa entre la red y un usuario remoto. Una vez autentificados, los usuarios tienen acceso ilimitado a la red y pueden moverse lateralmente por ella.

Autentificación de dos factures/multifactor (2FA/MFA)

A través de este método, un usuario obtiene acceso a una red o recursos corporativos autenticándose por al menos dos medios. Puede ser cualquier combinación de contraseña, dirección de correo electrónico, escritorio remoto, dispositivo móvil o incluso datos biométricos como una huella digital. Si un usuario no puede autenticarse en ambos o en todos los frentes, se rechaza la solicitud.

Inicio de sesión único (SSO)

El SSO permite a un usuario acceder a todos y cada uno de los recursos a través de una forma de autenticación, por lo tanto, "única". A menudo lo utilizan empresas de todos los tamaños, así como particulares, para evitar tener que administrar varios nombres de usuario y contraseñas.

Gestión de acceso privilegiado PAM

Pam se refiere a la conjunción de personas, procesos y tecnología para gestionar el acceso. Proporciona a TI una mayor visibilidad de las cuentas supervisándolas en tiempo real mientras detiene los ciberataques y las amenazas internas, optimiza la eficiencia operativa y garantiza el cumplimiento. Con PAM, los usuarios sólo tienen acceso a los recursos a los que están autorizados y la gestión de los accesos es mucho más estricta.

Ventajas del acceso remoto seguro

Las soluciones de acceso remoto seguro son activos valiosos para su organización y le ayudan a:

• Mantener seguros los datos confidenciales. Proteja los datos de su organización limitando el acceso de fuentes externas y otorgándolo únicamente por un medio seguro y controlado. Esto reduce en gran medida el perfil de riesgo de su organización, lo cual es crucial dada la letanía de amenazas avanzadas que existen en la actualidad.
• Reducir la superficie de ataque. Defiéndase aún más eficazmente contra amenazas avanzadas al reducir la cantidad de vectores de ataque que los ciberdelincuentes pueden utilizar para infiltrarse en puntos finales remotos. Esto ayuda a mejorar la postura de seguridad de su organización.
• Lograr y mantener el cumplimiento. Ayude a su organización a evitar el incumplimiento en el creciente panorama actual de regulaciones de privacidad y protección de datos evitando las filtraciones y pérdidas de datos.

Las mareas cambiantes

Desde hace algunas décadas, los profesionales de TI confían en las VPN para ofrecer un acceso remoto seguro. Esta práctica se ha mantenido incluso a pesar de que cada vez más usuarios empezaban a trabajar fuera de la red y accedían a los recursos corporativos a través de sus ordenadores portátiles o dispositivos móviles, y a medida que más aplicaciones e infraestructura se trasladaban a la nube.

Finalmente, los departamentos de TI y de seguridad tuvieron que plantearse una pregunta difícil: con tantos usuarios fuera de la red y tantas aplicaciones en la nube, ¿tiene siquiera sentido conectar a los usuarios remotos a la red interna?

La conexión de la seguridad a la red es el eje de los problemas del antiguo modelo de acceso remoto. Además de una mayor latencia, las organizaciones que dependen de la tecnología VPN heredada se enfrentan a un mayor riesgo en dos áreas clave:

1. Confianza inherente, a menudo excesiva.
2. Mayor riesgo de acceso externo a la red.

A diferencia de un enfoque de confianza cero, las antiguas arquitecturas de castillo y foso, que dependen en gran medida de VPN, a menudo ofrecen confianza demasiado fácilmente. Esta filosofía defectuosa crea una red "plana" que depende de direcciones IP, controles de acceso basados en terminales y otros factores para determinar la autenticación dentro de una red corporativa. Una vez que un usuario está dentro de una de estas redes planas, el usuario puede moverse por toda la red corporativa.

Esto permite a los ciberdelincuentes explotar la superficie de ataque VPN para infiltrarse en la red y lanzar ransomware, ataques de phishing, denegación de servicio y otros medios para exfiltrar datos empresariales críticos.

Por el contrario, el enfoque de confianza cero trata todo el tráfico, incluido el que ya se encuentra dentro del perímetro, como hostil. A menos que las cargas de trabajo hayan sido identificadas mediante un conjunto de atributos basados en el contexto, no son confiables y no pueden comunicarse.

Como analizaremos a continuación, el acceso remoto seguro ha evolucionado para satisfacer las demandas del mundo actual que prioriza la nube.

Redefinición del acceso remoto seguro con el acceso a la red de confianza cero

En respuesta a las necesidades actuales, los equipos de TI están aprovechando el marco de acceso a la red de confianza cero (ZTNA) (también conocido como perímetro definido por software [SDP]) para permitir el acceso remoto seguro para usuarios fuera de la red.  ZTNA brinda acceso seguro a las aplicaciones de su empresa privada, tanto si están alojadas en nubes públicas, nubes privadas o su centro de datos, sin la necesidad de una VPN.

ZTNA se basa en un modelo de confianza adaptable, donde la confianza nunca es implícita y el acceso se otorga según la necesidad de saber y con los mínimos privilegios definidos por políticas de seguridad granulares. Estas soluciones de seguridad no requieren dispositivos físicos y se pueden implementar en cualquier entorno para admitir todas las aplicaciones API REST.

Para ser considerada ZTNA, una solución debe cumplir con estos cuatro principios:

1. ZTNA aísla el acto de proporcionar acceso a las aplicaciones del acceso a la red. Esto reduce el riesgo para su red, como la infección por dispositivos comprometidos, y sólo otorga acceso a las aplicaciones a usuarios autorizados.
2. Las conexiones internas desde la aplicación al usuario garantizan que tanto la red como la infraestructura de la aplicación se vuelvan invisibles para los usuarios no autorizados. Las IP nunca están expuestas a Internet, lo que crea una "red oscura" y hace que la red sea imposible de encontrar.
3. La segmentación de aplicaciones garantiza que una vez autorizados los usuarios, el acceso a las aplicaciones se conceda de forma individualizada, de modo que los usuarios autorizados tengan acceso exclusivamente a aplicaciones específicas en lugar de acceso completo a la red.
4. ZTNA adopta un enfoque de seguridad del usuario a la aplicación en lugar de un enfoque de seguridad centrado en la red. La red pierde importancia e Internet se convierte en la nueva red corporativa, aprovechando microtúneles TLS cifrados de extremo a extremo en lugar de MPLS.

Por qué ZTNA es más eficaz que la VPN para el acceso remoto seguro

Cuando se trata de acceso remoto seguro, la transformación digital lo ha cambiado todo. Como se señaló anteriormente, las VPN ya no son adecuadas para mantenerse al día con las amenazas avanzadas actuales y el volumen de usuarios que se conectan a aplicaciones privadas fuera de la red. Esto puede generar graves quebraderos de cabeza en lo que respecta a las experiencias de usuario, la conectividad, la seguridad y la administración.

ZTNA, en cambio, ofrece una mejor experiencia a los trabajadores a distancia. No hay necesidad de conectarse a una farragosa VPN. En cambio, el acceso es continuo independientemente de los cambios en la conectividad de la red. Además, ZTNA reduce la latencia de acceso para lograr experiencias más rápidas, independientemente de la ubicación.

Asimismo, ZTNA mejora su postura de seguridad al alejarse de la seguridad de la red y centrarse en la seguridad de la conexión entre usuario y aplicación. El acceso se otorga individualmente, lo que permite que únicamente los usuarios autorizados accedan a aplicaciones específicas. El movimiento lateral es imposible y la superficie de ataque se reduce. Las redes y las aplicaciones están ocultas para los usuarios no autorizados y las IP nunca están expuestas, lo que reduce la amenaza de ataques basados en Internet.

A diferencia de VPN, las herramientas ZTNA son fáciles de administrar. Esto se debe a que con ZTNA no es necesario instalar, configurar ni administrar dispositivos. No se centra en direcciones IP, por lo que no es necesario administrar ACL, políticas de cortafuegos ni traducciones. Además, se pueden aplicar políticas granulares a nivel de aplicación y usuario, lo que permite una seguridad hiperconcentrada para las aplicaciones y un acceso con menos privilegios a los usuarios.

Elegir un servicio de acceso remoto seguro para las necesidades actuales

Aunque todas las soluciones ZTNA se basan en la idea de la confianza adaptativa, ZTNA está disponible en dos formas: ZTNA como oferta independiente y ZTNA como servicio.

ZTNA como oferta independiente requiere que implemente y administre todos los elementos del producto. Además, varios proveedores de nube IaaS ofrecen capacidades de ZTNA para sus clientes. La solución ZTNA se posiciona en el perímetro de su entorno, bien sea en el centro de datos o en la nube, e intermedia una conexión segura entre el usuario y la aplicación.

Estos son algunos de los beneficios de ZTNA independiente:

• Usted tiene control y administración directos de la infraestructura de ZTNA, lo que puede ser necesario para cumplir con las necesidades.
• Los servicios de IoT alojados en las instalaciones pueden beneficiarse de velocidades optimizadas.
• Las velocidades de rendimiento pueden aumentar si los usuarios locales no tienen que conectarse a Internet para acceder a aplicaciones alojadas localmente.

ZTNA independiente le brinda más control sobre su entorno, pero es posible que se esté perdiendo los beneficios de un servicio brindado en la nube.

Zscaler y ZTNA

La otra opción es ZTNA como servicio, como Zscaler Private Access™ (ZPA). Este es un servicio alojado en la nube, en el que se aprovecha la infraestructura de nube de un proveedor para hacer cumplir las políticas. Su organización simplemente compra licencias de usuario e implementa conectores ligeros que implementan aplicaciones front-end en todos los entornos, y el proveedor le brinda la conectividad, la capacidad y la infraestructura que necesita.

El acceso se establece a través de conexiones con intermediación de dentro hacia afuera entre el usuario y la aplicación, por lo que se desvincula efectivamente el acceso a la aplicación del acceso a la red sin exponer nunca las IP a Internet.

Zscaler Private Access proporciona innumerables beneficios organizativos, tales como:

• Implementación más sencilla ya que no hay necesidad de implementar puertas de enlace ZTNA
• Administración simplificada ya que los servicios no están alojados en las instalaciones
• Siempre se selecciona la ruta óptima para la cobertura global para el personal remoto

Cómo ZPA afronta los desafíos actuales del acceso remoto seguro

ZPA proporciona acceso remoto seguro a aplicaciones internas en la nube sin colocar a los usuarios en la red corporativa. El servicio en la nube no requiere complejos dispositivos de puerta de enlace VPN de acceso remoto y utiliza políticas alojadas en la nube para autenticar el acceso y enrutar el tráfico de los usuarios a la ubicación de la aplicación más cercana a ellos.

ZPA es una solución definida por software que puede funcionar junto con la tecnología de acceso directo. Conecta directamente los centros de datos de los clientes con los centros de datos del proveedor de servicios en la nube a través deZscaler Zero Trust Exchange.