Hace unos tres años, la Administración de Servicios Generales de EE. UU. (GSA), con una subvención del Fondo de Modernización Tecnológica (TMF) de 29,8 millones de dólares, inició un viaje formal hacia Zero Trust Architecture (ZTA).
Bo Berlas, director de seguridad de la información (CISO) de GSA que lidera los esfuerzos de ZTA de la agencia con el departamento CIO, dijo en una entrevista exclusiva con MeriTalk que las agencias de adquisiciones federales tienen tres áreas de enfoque iniciales: Dijo que ha logrado grandes avances con ZTA en usuarios, dispositivos y redes.
Bo Berlas, director de seguridad de la información, GSA
“Nuestra estrategia se ha estado gestando durante mucho tiempo. No pensamos que éramos de confianza cero solo porque se creó y firmó una orden ejecutiva. Básicamente, comenzó años antes de eso”, dijo Burruss. “Siempre nos hemos centrado en comprender nuestro destino”.
Cuando el CISO asumió su función actual en GSA, dijo que su trabajo era “comprender cuál es nuestro destino y cómo será nuestro brillante hogar en la colina”.
“Hemos evaluado exhaustivamente todas las capacidades, amenazas y desafíos asociados con la implementación de un enfoque de ciberdefensa integrado y eficaz, incluido el desarrollo de una visión de seguridad definida por software”, dijo Berrus. “Esa visión de seguridad definida por software refleja muchos requisitos que se alinean muy de cerca, si no exactamente, con la estrategia Zero Trust del gobierno federal”.
El CISO dijo que GSA hizo la transición rápidamente de su estrategia de seguridad definida por software a un plan de implementación de confianza cero.
Cuando GSA solicitó financiación al TMF, Berlus dijo que la agencia se centró en los tres pilares fundamentales de Zero Trust: usuarios, dispositivos y redes. Los dos pilares restantes de Zero Trust incluyen datos y aplicaciones.
“Si estás construyendo una casa, la estás construyendo desde cero”, dice. “Si genera confianza cero, la construye alrededor de la infraestructura básica: usuarios, dispositivos y redes antes de comenzar a centrarse en las aplicaciones y los datos”.
Uno de los proyectos de ZTA en los que se centró GSA con financiación de TMF fue aprovechar las soluciones Secure Access Service Edge (SASE) para mejorar la seguridad de las redes de sistemas de edificios (BSN).
“Tenemos un papel especial en el gobierno. A través del Servicio de Edificios Públicos, gestionamos todos los edificios federales, 9.000 activos inmobiliarios, 1.500 de los cuales somos de propiedad directa, y más de 600 están integrados en nuestro ecosistema de TI más amplio, y para ellos, nosotros centrado en implementar tecnología de microsegmentación para asegurar OT/IoT en BSN”.
“Y para los usuarios y dispositivos, implementamos acceso seguro y soluciones perimetrales seguras para garantizar que dos máquinas una al lado de la otra en la red no sólo no puedan verse, sino que tampoco puedan comunicarse”, añadió.
La financiación de TMF respalda el compromiso de GSA de modernizar la forma en que los usuarios y los dispositivos se conectan a las aplicaciones y los datos para respaldar mejor las arquitecturas híbridas multinube mediante el desarrollo de soluciones modernas de autenticación de identidad empresarial y gestión de acceso. También ayudó con los esfuerzos de Zero Trust.
“Analizamos nuestra infraestructura de directorios existente, que en el peor de los casos se enfrentaba a desafíos, y creamos un directorio en la nube moderno para conectar a los usuarios y dispositivos con sus aplicaciones y datos”, dijo Berlas. “Uno de los principios clave de M-22-09, que se alinea con los cinco pilares ZTA de CISA, es implementar una autenticación multifactor resistente a la suplantación de identidad para proteger contra ataques avanzados en línea”.
“Para lograr esto, nos dimos cuenta de que nuestra solución existente carecía de la funcionalidad que necesitábamos y necesitábamos revisarla y modernizarla”, dijo el CISO. “Por eso nos hemos centrado en migrar a una nueva solución de inicio de sesión único (SSO) empresarial basada en la nube”.
“Nuestro SSO modernizado, junto con nuestro enfoque de directorio en la nube y la implementación de acceso seguro en el borde seguro, cambia fundamentalmente la forma en que nos conectamos con nuestros usuarios y mejora la seguridad”, dijo Berlas a MeriTalk.
Si bien reconocen que Zero Trust es un esfuerzo continuo, los CISO de GSA han marcado algunas tareas del proyecto TMF como completadas.
“Cuando se trata de implementar Secure Access Secure Edge, está completamente implementado y desacoplado de lo que llamamos la arquitectura de enrutamiento tradicional de Conexión Confiable a Internet”, afirma. “Esto ha resultado en varios beneficios fundamentales, incluyendo costos reducidos para las agencias que pueden reasignarse a otras necesidades de seguridad avanzadas, velocidades de Internet más rápidas, controles de seguridad mejorados y una menor complejidad. Se ha mejorado la experiencia del usuario”.
Continuó: “En lo que respecta a la experiencia del usuario, nuestros usuarios pueden conectarse a GSA en cualquier momento y en cualquier lugar donde sus máquinas estén en línea. No importa si están protegidos cuando están en la oficina. Ya sea que esté en casa, En Starbucks o en la oficina, la experiencia es exactamente la misma, por lo que el elemento de experiencia del usuario es realmente importante”.
Berlus dijo que su equipo pudo utilizar el éxito de la implementación de SASE como “punto de lanzamiento” para otros proyectos en los esfuerzos de Zero Trust de GSA.
“En términos de microsegmentación de nuestros edificios, casi hemos alcanzado el objetivo de TMF de 500 edificios y esperamos alcanzar este hito este verano”, dijo Berlus.
Los esfuerzos de confianza cero de GSA fueron más allá de los usuarios, los dispositivos y las redes, dijo el CISO. También presenta modelos impulsados por ML e IA que conectan fuentes de datos dispares con amenazas superficiales, brindan supervisión de seguridad para la gestión de riesgos de la cadena de suministro cibernético y seguridad central, incluidos los servicios digitales de cara al público en todo el gobierno. También estamos trabajando para mejorar las operaciones de seguridad mediante el fortalecimiento. nuestro centro de operaciones.
“Se está invirtiendo mucho en una variedad de proyectos en curso, que incluyen microsegmentación de usuarios, dispositivos y redes, un nuevo directorio en la nube, inicio de sesión único empresarial y un enfoque en la cadena de suministro, en automatización con AI/ML y paneles personalizados. “Los proyectos, combinados con nuestra respuesta a incidentes y capacidades de caza, nos permiten ampliar nuestro capital humano. Todas estas cosas deben hacerse a través de nuestro centro de operaciones de seguridad”, dijo Berlas.
“Básicamente, están todos integrados”, dijo. “Todo encaja. Es como un rompecabezas”.
El Sr. Verrus ha pasado toda su carrera federal en GSA, incorporándose a la empresa en 2002 como especialista senior en TI. Hace cinco años asumí el rol de CISO.
“Veinte años pasan volando”, continuó. “Si te apasiona lo que haces y lo haces por las razones correctas, el tiempo vuela”.
“Siempre hay más por hacer, pero creo que todas las reformas que hemos introducido en los últimos años son realmente las correctas”, concluyó. “Están en línea con la Orden Ejecutiva para Mejorar la Ciberseguridad Nacional y promover un enfoque más unificado para la ciberdefensa en toda GSA. Estoy realmente orgulloso y feliz de poder desempeñar un pequeño papel en la seguridad del gobierno”.
Fuente: https://www.meritalk.com/articles/meritalk-qa-gsa-ciso-berlas-talks-zero-trust-progress/
