La red como llave maestra
El modelo clásico de acceso remoto es sencillo: quien se conecta a la red privada virtual (VPN) entra en la red, y desde ahí puede alcanzar casi todo lo que hay dentro. Funcionaba cuando todos los sistemas estaban en una oficina. Con sistemas repartidos entre infraestructura propia y varias nubes, se convierte en un problema: para dar acceso a un servidor hay que abrir una red entera, y una credencial robada abre todo.
Acceso por aplicación
La alternativa, conocida como acceso de confianza cero, cambia la pregunta. En lugar de "¿está dentro de la red?", cada conexión responde:
- ¿Quién es? Identidad corporativa con segundo factor, la misma de siempre (una identidad para todas las nubes).
- ¿Desde qué dispositivo? Un equipo gestionado, actualizado y cifrado.
- ¿A qué sistema concreto quiere llegar, y le corresponde? Según su rol y la política.
Si todo cuadra, se abre una conexión solo hacia ese sistema, cifrada, y queda registrada. El usuario nunca "entra en la red"; la red no queda expuesta a internet.
Lo que se gana
- Una credencial robada no abre todo: abre, como mucho, lo que esa persona tenía permitido, y desde un dispositivo que también se comprueba.
- No hay puertos de administración abiertos a internet: la conexión sale desde dentro hacia el intermediario, no al revés.
- Cada acceso queda registrado, con quién, desde dónde, a qué y cuándo.
- Funciona igual para la infraestructura propia y para cada nube, que es justo el caso híbrido.
Una transición, no un cambio de golpe
Se empieza por los accesos más delicados (administración de producción, sistemas con datos confidenciales) y por los terceros (proveedores que necesitan entrar a algo concreto). La red privada tradicional se reduce poco a poco hasta quedar, si acaso, para casos muy acotados.
Proteger bien no evita que algo pase. La última parte de la serie trata de lo que ocurre entonces, empezando por lo que hay que dejar registrado.
Cómo lo aplicamos: Ciberseguridad.