Cómo proteger la empresa en entornos híbridos

Por Daniel Pérez Lima, CIO & CISO de Genomcore.

 

El modo de trabajo híbrido actual, donde muchos de los recursos están en la nube y los trabajadores cuentan con mucha movilidad, convierte la identidad en el “nuevo perímetro”, frase que cada vez se oye con más fuerza en los foros y eventos de ciberseguridad.

Por un lado, obviamente, tenemos la protección MFA, la cual es totalmente imprescindible hoy en día. Aún tenemos empresas que siguen haciendo excepciones a esta regla por motivos clásicos como resistencia el cambio o problemas de configuración, pero es algo que poco a poco se está consiguiendo revertir para asegurar que el 100% de las cuentas de la empresa estén protegidas por MFA.

Pero, aun con MFA, sigue habiendo peligros que están muy activos y presentes, que pueden sortear MFA sin ningún problema:

• Fuga de credenciales. Usuarios que facilitan sus credenciales al caer en phishing o ingeniería social.
• Phishing avanzado (Adversary-in-the-Middle). Los atacan tes pueden robar credenciales y tokens válidos.
• Robo de tokens de sesión. Un token robado permite acceso sin contraseña ni MFA.
• MFA Fatigue – Abuso de MFA. Se provoca una aceptación de login por MFA por insistencia o desconocimiento por parte del usuario.
• Acceso desde dispositivos personales o comprometidos. Aunque el usuario sea legítimo, el dispositivo puede no serlo.

Eso lleva a pensar en una nueva estrategia de protección: ya no puedo confiar únicamente en lo que tengo “dentro”, y “debo” confiar también en lo que “está fuera”.

¿Cómo lo hago? La seguridad moderna exige verificar quién accede y desde qué dispositivo, y en esta tribuna exploraremos una de las mejores soluciones para mitigar este riesgo: el registro de dispositivos.

 

¿Qué es el registro de dispositivos?

El registro de dispositivos implica establecer políticas de configuración que permitan reconocer un dispositivo como corporate/corporativo, y, de este modo, poder aplicar un acceso condicional basado en si se reconoce el dispositivo como propio o no.

Si es posible reconocer un dispositivo como propio, puedes prohibir el acceso de los recursos corporativos a cualquier otro dispositivo, y, por tanto, establecer una línea de defensa ante los riesgos anteriormente descritos. Gracias al registro de dispositivo podemos:

• Identificarlo de forma única.
• Aplicar políticas condicionales basadas en el dispositivo.
• Verificar su estado de seguridad.
• Aplicar políticas de protección.
• Aplicar políticas de compliance.
• Revocar acceso si se pierde o compromete.

Un dispositivo registrado es un dispositivo bajo control.

 

Acceso condicional

El acceso condicional son las políticas que permiten establecer reglas para:

• Solo permitir el acceso si el dispositivo está registrado.
• Bloquear el acceso desde navegadores no gestionados.
• Exigir el cumplimiento de políticas de seguridad.
• Denegar el acceso desde dispositivos no corporativos.

Esto significa que, aunque un atacante robe credenciales o un token, no podrá acceder sin un dispositivo autorizado. Dicho de otro modo, aunque tengas una fuga de credenciales porque alguien caiga en un phishing, el atacante no podrá hacer login porque proviene de un dispositivo no corporativo/registrado.

No basta con saber quién accede; también importa desde qué dispositivo lo hace.

 

Conclusión

Registrar los dispositivos y aplicar políticas de acceso condicional permite garantizar que solo equipos corporativos, seguros y gestionados puedan acceder a información crítica, incluso si las credenciales han sido comprometidas.

En un escenario donde los ataques a la identidad son inevitables, la verificación del dispositivo es la barrera que marca la diferencia entre un incidente contenido y una brecha grave. Este enfoque reduce drásticamente el riesgo de accesos no autorizados y elimina la posibilidad de que un atacante utilice credenciales robadas desde un dispositivo no confiable.

Registrar dispositivos y aplicar acceso condicional no es solo una buena práctica: es una necesidad estratégica para cualquier organización moderna.