Zero trust según NIST SP 800-207

La publicación 800-207 no define zero trust con un producto sino con siete principios que describe como un ideal al que acercarse, aunque no todos se cumplan en su forma más pura. Entre ellos hay uno que rompe con el diseño clásico: toda comunicación se protege sin importar dónde está la red, y la ubicación por sí sola no implica confianza. Una petición que sale de la red interna de la empresa debe cumplir las mismas exigencias que una que llega desde cualquier otra red.

Eso no significa que la red interna desaparezca. Significa que estar dentro de ella ya no es una credencial. El diseño clásico decía «si está dentro, es de confianza»; el diseño que describe la norma dice «si pide algo, se evalúa».

El primer principio de la norma dice que todas las fuentes de datos y servicios de cómputo se consideran recursos. Es lo que permite empezar por un inventario: qué recursos hay, cuánto valen y por dónde se llega a cada uno. En el inventario de Maderas del Tolima, la última columna indica si en el camino de acceso hay un punto que aplica una política: es decir, algo que mire la petición y la pueda negar.

Abre el inventario de accesos y filtra los recursos a los que se llega sin ningún punto de aplicación. Entre ellos hay uno cuya sensibilidad es alta.

Hay un recurso donde la decisión sí existe, pero se toma una sola vez: el túnel se concede al empezar el turno y vale ocho horas. La norma pide que el acceso a cada recurso se conceda por sesión, que la confianza del solicitante se evalúe antes de concederlo y que se otorgue con el mínimo privilegio necesario para la tarea. Haber entrado a un recurso no concede acceso a otro.

Filtra en el inventario los recursos con punto de aplicación parcial y lee su ruta de acceso.

El modelo lógico de la norma separa tres piezas. El motor de políticas (PE) decide si se concede, se niega o se revoca el acceso. El administrador de políticas (PA) traduce esa decisión en acción: abre o corta el camino de la sesión. El punto de aplicación (PEP) es lo que está en el camino, abre, vigila y cierra la conexión entre el sujeto y el recurso. El motor y el administrador juntos forman el punto de decisión de políticas. Alrededor hay fuentes que alimentan al motor: un sistema de diagnóstico y mitigación continuos que informa del estado de los dispositivos, inteligencia de amenazas, gestión de identidades, registros de actividad e infraestructura de clave pública.

Un motor decide tan bien como la información que recibe. Abre los componentes de Maderas del Tolima y filtra los que están ausentes.

Un arquitecto no propone rehacer la casa cuando basta mover una pared. Ya sabes que el recurso más sensible sin punto de aplicación es el ERP y que la empresa tiene activo un proxy de aplicaciones con agente en los portátiles, que la tabla de componentes lista como punto de aplicación en uso. Entre las opciones, la más barata es la que usa lo que ya está pagado para cerrar la brecha concreta.