Desde que se dio en todo el mundo una explosión en el uso de las aplicaciones y servicios digitales y móviles, así como de los dispositivos del Internet de las Cosas (IoT, por sus siglas en inglés), es imprescindible para las empresas reconsiderar su estrategia en torno a la seguridad, una estrategia que no gire alrededor de lo que antes conocíamos como “seguridad perimetral”. Si pensábamos que el control de acceso a las redes (NAC) era cosa del pasado, no podríamos estar más equivocados: el control de acceso en el BORDE -ahí donde conectamos personas, dispositivos y cosas- es fundamental.

Por un lado, según predicciones de nuestro director de Tecnología y Producto, David Hughes, en la actualidad los dispositivos conectados superan en número a las personas en una relación de 5 a 1, y la proyección para 2025 es que se duplique (es decir, habrá 10 veces más dispositivos conectados que personas). Por otro lado, idWatchdog indica que la cantidad de incidentes de seguridad internos aumentó 47% de 2018 a la fecha, y hoy en día 6 de cada 10 violaciones de datos son causadas por amenazas internas. Con ambas circunstancias convergiendo, no queda duda de que el control de acceso debe volver a ocupar el primer plano de las prioridades de seguridad; de hecho, me atrevo a decir que es un punto incluso más crítico que la seguridad desde fuera de la organización.

Ahora bien ¿qué características deben formar parte del NAC de nueva generación para que sea realmente eficiente en la actualidad y de cara al futuro? Podemos hablar de 4 pilares que, a nuestro juicio, es fundamental que brinden estas soluciones:

1. Capacidad para ver más allá de lo evidente

Debemos ser capaces de ver a todos los usuarios y la inmensa cantidad de dispositivos que se conectan a la red. No podemos negar que es sumamente complicado para las empresas tener una visibilidad completa de todos y cada uno de estos usuarios y dispositivos. Por esto, partiendo de la premisa de que no es posible controlar lo que no se ve, ese es el reto más importante de las organizaciones, porque la falta de visibilidad total incrementa el riesgo de ataques. Y necesitamos ver más allá de lo tradicional (como sistemas operativos o direcciones IP); tenemos que ver comportamientos, aplicaciones, protocolos, etc., de modo que podamos aplicar políticas de control más asertivas.

2. Simplificación, mediante una clasificación y políticas adecuadas

Con el tema de la visibilidad resuelto, otro gran desafío es el de la clasificación. Es importante poder clasificar y agrupar correctamente los diferentes dispositivos (tablets, laptops, teléfonos celulares, cámaras, sensores, aires acondicionados y un largo etcétera, así como los diferentes equipos especializados para verticales como el sector médico o la industria manufacturera).

Esta clasificación, o división según los distintos roles, nos permitirá aplicar políticas, lo cual simplifica enormemente la forma en que aseguramos nuestra red. Pero aún hay algo que considerar en este punto, y es la necesidad de centralizar estas políticas. Una organización que se encuentra dispersa –algo muy común en estos días– debe reforzar políticas de seguridad en múltiples locaciones, pues sería muy complicado e ineficiente hacerlo en cada sitio o dispositivo de manera independiente.

3. Integración con otras plataformas, para incrementar el alcance de la protección

Es vital que la solución NAC se integre con productos de terceros, como firewalls, antivirus, MDMs o entidades certificadoras, en el entendido de que los certificados digitales representan una de las opciones más seguras para los dispositivos móviles. De esta forma, la organización será capaz de completar el círculo virtuoso de una seguridad más eficiente. No existe una única solución de seguridad que nos resuelva todos los problemas, sino más bien un conjunto de soluciones que deben operar de manera coordinada con el mismo objetivo.

4. Seguridad basada en el enfoque Zero Trust
En Aruba, consideramos adicionalmente que el ingrediente Zero Trust es también crucial. Nuestra solución de control de acceso opera bajo esta mentalidad: no dejará pasar a nadie a la red hasta no tener suficiente información para conocer el detalle de cada caso, además de considerar los roles y políticas, para brindar los permisos de acceso. Una arquitectura Zero Trust nos permitirá ir construyendo una plataforma robusta para prever y prevenir ataques de seguridad.

ClearPass, la propuesta de Aruba para control de acceso

Si bien es un tema fundamental en cualquier red, lo cierto es que el control de acceso se ha venido subestimando en un mundo dominado por conversaciones en torno a SD-WAN, SASE, el borde, los nuevos lugares de trabajo híbridos y más. Aruba ClearPass ha estado apoyando a las empresas por más de 10 años. Y no sólo eso, sino que ha ido evolucionando conforme los tiempos lo dictan.

Sabemos, por ejemplo, que en el caso de los dispositivos IoT, sin opción de un sistema operativo, un certificado digital o autenticaciones, es más difícil para las empresas controlarlos. Por ello, contamos con ClearPass Device Insight, que utiliza métodos no tradicionales para identificar más datos del dispositivo (¿qué es?, ¿qué hace?, ¿qué aplicaciones y qué protocolo usa?, etcétera) y poder, así, hacer una clasificación más asertiva. Entre sus características está el uso de inteligencia artificial (IA), Machine Learning y crowdsourcing, justamente para que nuestros clientes puedan ver más allá de lo evidente.

Para el caso de laptops y dispositivos móviles, ofrecemos ClearPass OnBoard que hace la configuración y aprovisionamiento, y nos permite ser el emisor de certificados digitales para estos casos. Y, si el cliente ya cuenta con su entidad certificadora, la solución ClearPass se integra con diversas marcas terceras, de forma que puedan proteger su inversión.

ClearPass OnBoard facilita la incorporación de nuevos dispositivos mediante un portal de autoservicio, y con ClearPass Policy Manager es posible autenticarlos y autorizarlos en función del contexto del propio dispositivo y del usuario.

(*) Lorena Velarde: Category Manager para Movilidad, Seguridad y SD-WAN de Aruba, una compañía de Hewlett Packard Enterprise, para Latinoamérica