El 97% de los directivos de seguridad afirma que los atacantes intentan, cada vez más, robar uno o más tipos de credenciales. Esta es una de las conclusiones del quinto informe de la serie The CISO View, que forma parte de CISO View: Protección del acceso privilegiado en un modelo Zero Trust, publicado por la compañía de ciberseguridad CyberArk basándose en entrevistas a 100 directivos de seguridad de grandes empresas, realizadas en el cuarto trimestre de 2020.
El estudio también pone de relieve que, a medida que las organizaciones mueven activos a la nube, aumentan el acceso de terceros a los recursos corporativos y habilitan modelos de trabajo remoto, los atacantes se dirigen a poblaciones de usuarios que pueden no estar adecuadamente protegidas.
El informe muestra la unanimidad de los CISO encuestados acerca del valor de Zero Trust y la creciente necesidad de asegurar el acceso privilegiado. Asimismo, refleja un marcado cambio en los patrones de ataque de suplantación de identidad y spear-phishing:
- Teniendo en cuenta que el grupo que afronta un mayor número de ataques son los usuarios finales, incluidos los usuarios comerciales con acceso a datos confidenciales, más de la mitad de los encuestados (un 56%) señala que estos usuarios sufren cada vez más ataques.
- Los ataques también están aumentando contra los directivos (48%), proveedores externos (39%), así como a ingenieros Cloud y DevOps (33%).
- El informe destaca un aumento generalizado en los intentos de robo de credenciales de datos personales (70%) y sistemas y datos financieros (66%). Según apunta CyberArk, esto denota el interés de los atacantes en obtener acceso de "alto valor", es decir, acceso a sistemas altamente sensibles que, a menudo, están en manos de usuarios finales en lugar de en administradores.
Los modelos Zero Trust que están adoptando los CISO
En respuesta a estos patrones de ataque cambiantes, los directivos de seguridad están implementando una serie de modelos de Zero Trust:
- El 88% de los encuestados indicó que la transición a Zero Trust es "importante" o "muy importante".
- Para adoptar un modelo de Zero Trust, la máxima prioridad fueron los controles centrados en la Gestión de Identidad y Acceso (IAM), elegidos por el 45% de los encuestados.
- Se favorecieron varios tipos de controles IAM para proteger el acceso a sistemas sensibles. Los controles de acceso just-in-time fueron muy valorados, por lo que el 87% de los encuestados señaló que reducir los privilegios permanentes era un aspecto "importante" o "muy importante" de Zero Trust.
Dado que los atacantes reconocen el valor de las identidades que no son de TI y aprovechan las debilidades para proteger estas identidades debido a desafíos operativos, existe la necesidad de soluciones de seguridad que funcionen a pesar de las restricciones internas:
- Así, la seguridad del endpoint sigue siendo un desafío para el 94% de los encuestados, mientras que el 46% consideró que la instalación y el mantenimiento de agentes hacen que la seguridad del endpoint sea un desafío.
- Para el 86% la optimización de la experiencia del usuario es "importante" o "muy importante", destacando la necesidad de que no se pasen por alto o ignoren herramientas y políticas de seguridad debido a la fatiga de seguridad.
"Una herramienta para implantar modelos Zero Trust"
En palabras de Mike O'Malley, vicepresidente senior de marketing global de CyberArk: "Las repercusiones del ataque SolarWinds continúan subrayando la necesidad de proteger las credenciales privilegiadas y romper la cadena de ataque a los activos más valiosos de las organizaciones".
"A medida que las nuevas identidades se multiplican en la empresa, este informe pone de manifiesto la importancia de un enfoque basado en Zero Trust para la seguridad de las identidades. Para los directivos de seguridad que buscan mitigar los riesgos de spear-phishing, ataques de suplantación de identidad y otras formas de compromiso, creemos que las experiencias de los compañeros reflejadas en los informes CISO View servirán como valiosa herramienta, sin importar dónde se encuentre la curva de madurez de Zero Trust de su organización"