Cómo crear un entorno de confianza cero en los servicios financieros (Boris Bialek)

No hace mucho tiempo que los profesionales de la seguridad protegían su TI de la misma manera que los guardias medievales protegían una ciudad amurallada: dificultaban al máximo el acceso al interior. Pero una vez que alguien pasaba el perímetro, tenía un acceso generoso
a las riquezas contenidas en su interior. En el sector financiero, esto significa acceso a información de identificación personal (PII) que incluye un "conjunto de datos comercializables" de números de tarjetas de crédito, nombres, información de seguridad social y más. Lamentablemente, hay muchos casos
donde el castillo fue asaltado y los usuarios finales estaban a la defensiva. El más famoso sigue siendo el

incidente de Equifax, donde una pequeña brecha ha provocado años de clientes insatisfechos. 

Desde entonces, la mentalidad ha cambiado a medida que los usuarios acceden cada vez más a redes y aplicaciones desde cualquier ubicación geográfica, en cualquier dispositivo, en plataformas alojadas en la nube: la seguridad clásica punto a punto está obsoleta. El perímetro ha cambiado, así que confíe en él.
ser una barrera que protege todo ha cambiado también.

La confianza cero presenta un nuevo paradigma para la ciberseguridad. En un entorno de confianza cero, se supone que se ha violado el perímetro, no hay usuarios de confianza y ningún usuario o dispositivo gana la confianza simplemente por su ubicación física o de red. cada usuario,
el dispositivo y la conexión deben verificarse y auditarse continuamente. 

Y no hace falta decirlo, pero dada la gran cantidad de datos confidenciales de clientes y clientes que la industria de servicios financieros maneja a diario, y las estrictas regulaciones, esto debe ser una prioridad aún mayor. El valor percibido de
estos datos también convierten a las organizaciones de servicios financieros en un objetivo principal para las filtraciones de datos. 

Esto es lo que debe tener en cuenta para crear un entorno de confianza cero. 

Asegurando los datos 

Si bien garantizar que el acceso a las aplicaciones bancarias y los servicios en línea es vital, en realidad la base de datos que es el backend de estas aplicaciones es una parte clave para crear un entorno de confianza cero. La base de datos contiene gran parte de la información sensible,
y regulada, información, así como datos que pueden no ser confidenciales pero que son críticos para mantener la organización en funcionamiento. Por eso es imperativo que una base de datos esté lista y sea capaz de funcionar en un entorno de confianza cero. 

A medida que más bases de datos se convierten en servicios basados ​​en la nube, una gran parte de esto es garantizar que la base de datos sea segura de forma predeterminada, lo que significa que es segura desde el primer momento. Esto quita parte de la responsabilidad de la seguridad de las manos de los administradores porque
los más altos niveles de seguridad están implementados desde el principio, sin requerir la atención de los usuarios o administradores. Para permitir el acceso, los usuarios y administradores deben realizar cambios de forma proactiva; nada se otorga automáticamente. 

A medida que más instituciones financieras adoptan la nube, esto puede volverse más complicado. Las responsabilidades de seguridad se dividen entre la propia organización de los clientes, los proveedores de la nube y los proveedores de los servicios de la nube que se utilizan. Esto se conoce como el
modelo de responsabilidad compartida. Esto se aleja del modelo clásico en el que TI se encarga de fortalecer los servidores y la seguridad, luego necesita fortalecer el software en la parte superior, por ejemplo, la versión del software de la base de datos, y luego necesita fortalecer el código de la aplicación real.
En este modelo, el hardware (CPU, red, almacenamiento) está únicamente en el ámbito del proveedor de la nube que aprovisiona estos sistemas. El proveedor de servicios para un modelo de datos como servicio luego entrega la base de datos reforzada al cliente con un punto final designado.
Solo entonces el equipo del cliente real y sus desarrolladores de aplicaciones y el equipo DevOps entran en juego para la "solución" real. 

La seguridad y la resiliencia en la nube solo son posibles cuando todos tienen claras sus funciones y responsabilidades. La responsabilidad compartida reconoce que los proveedores de la nube se aseguran de que sus productos sean seguros de forma predeterminada, mientras estén disponibles, pero también que
las organizaciones toman las medidas adecuadas para seguir protegiendo los datos que guardan en la nube.

Autenticación para clientes y usuarios. 

En los bancos y las organizaciones financieras, siempre se presta mucha atención a la autenticación del cliente, asegurándose de que el acceso a los fondos sea lo más seguro posible. Pero también es importante asegurarse de que el acceso a la base de datos en el otro extremo sea seguro. Una organización de TI
puede usar cualquier cantidad de métodos para permitir que los usuarios se autentiquen en una base de datos. En la mayoría de los casos, eso incluye un nombre de usuario y una contraseña, pero dada la creciente necesidad de mantener la privacidad de la información confidencial de los clientes por parte de las organizaciones de servicios financieros.
esto solo debe verse como una capa base. 

En la capa de la base de datos, es importante tener seguridad en la capa de transporte y autenticación SCRAM que permita autenticar y cifrar el tráfico de los clientes a la base de datos en tránsito.

La autenticación sin contraseña también es algo que debe tenerse en cuenta, no solo para los clientes, sino también para los equipos internos. Esto se puede hacer de varias maneras con la base de datos, ya sea certificados generados automáticamente que se necesitan para acceder a la base de datos o
opciones avanzadas para organizaciones que ya usan certificados X.509 y tienen una infraestructura de administración de certificados. 

Registro y auditoría 

Como industria altamente regulada, también es importante monitorear su entorno de confianza cero para garantizar que permanezca vigente y excluya su base de datos. La base de datos debe poder registrar todas las acciones o tener funcionalidad para aplicar filtros para capturar
solo eventos, usuarios o roles específicos. 

La auditoría basada en roles le permite registrar y generar informes de actividades por roles específicos, como userAdmin o dbAdmin, junto con cualquier rol heredado por cada usuario, en lugar de tener que extraer la actividad de cada administrador individual. Este enfoque facilita
para que las organizaciones apliquen un control operativo de extremo a extremo y mantengan la información necesaria para el cumplimiento y la generación de informes. 

Cifrado 

Con grandes cantidades de datos valiosos, las instituciones financieras también deben asegurarse de que están adoptando el cifrado, en tránsito, en reposo e incluso en uso. Proteger los datos con el cifrado a nivel de campo del lado del cliente le permite pasar a los servicios administrados en el
nube con mayor confianza. La base de datos solo funciona con campos cifrados y las organizaciones controlan sus propias claves de cifrado, en lugar de que el proveedor de la base de datos las administre. Esta capa adicional de seguridad impone una separación aún más detallada
de deberes entre quienes utilizan la base de datos y quienes la administran y gestionan. 

Además, a medida que se transmiten y almacenan más datos en la nube, algunos de los cuales son cargas de trabajo muy sensibles, se necesitan opciones técnicas adicionales para controlar y limitar el acceso a datos confidenciales y regulados. Sin embargo, estos datos todavía necesitan ser utilizados.
Por lo tanto, es vital asegurarse de que el cifrado de datos en uso sea parte de su solución de confianza cero. Esto también permite a las organizaciones almacenar con confianza datos confidenciales, cumplir con los requisitos de cumplimiento, al tiempo que permite que diferentes partes del negocio obtengan acceso y
percepciones de ella. 

En un mundo donde la seguridad de los datos es cada vez más importante, las organizaciones de servicios financieros se encuentran entre las que tienen más que perder si caen en las manos equivocadas. Abandonar la mentalidad de perímetro y avanzar hacia la confianza cero, especialmente a medida que
más ofertas de nube y como servicio están integradas en la infraestructura: es la única forma de proteger verdaderamente un activo tan valioso.