Durante muchos años, luego de la masificación del acceso a Internet, las redes corporativas basaron su seguridad en un modelo que consideraba el perímetro como principal barrera.
El perímetro está plasmado en el siguiente esquema de red, que será reconocido por muchos de los administradores de tecnología que leen este espacio y han diagramado la topología de su organización:
El perímetro (en el gráfico, la linea roja punteada) es la división tanto física como lógica entre lo que está dentro de la red y aquello que está fuera. Además de las barreras físicas, con el acceso a Internet las redes corporativas enfrentaron la obligación de controlar la entrada y salida de información de la empresa hacia y desde el ciberespacio. Y para ello, se utilizan una serie de dispositivos perimetrales (servidores proxy, routers, firewalls) que permiten establecer controles de seguridad para la información que entra y sale de la red.
En resumen, el perímetro permite definir claramente qué está adentro de la red corporativa, qué está fuera de la misma, y cuáles son los criterios o políticas de acceso desde y hacia otro sector. En este modelo estuvo basada la seguridad informática en las empresas durante muchos años y todavía lo está en muchas organizaciones típicas.
Sin embargo este concepto en la actualidad es tan sencillo como obsoleto.
Se puede tomar como ejemplo el caso del gerente de una organización, que viaja a Europa con una computadora portátil, la cual posee información confidencial de la empresa. Con la misma laptop se conecta a las redes inalámbricas del hotel y de varios de los clientes que visita en su estadía. Además, conecta a la computadora dispositivos USB de terceros, e incluso otros utilizan esa misma computadora. Posteriormente el mismo gerente vuelve al espacio físico de su empresa.
¿Dónde está el perímetro que controla si la información puede o no ser utilizada? ¿En la empresa? ¿En Europa? Virtualmente, podría afirmarse que el perímetro se extendió hasta un lejano país, a pesar de que las políticas que el propio perímetro posee no se transportan ni con el gerente, ni con la computadora, que posteriormente volverá a ser conectada a la red de la compañía.
Ese viejo concepto, entonces, queda obsoleto. El perímetro en las redes corporativas es ahora al menos difuso, y eso implica una serie de amenazas y riesgos, que deben ser abarcados con un nuevo paradigma en la forma de comprender la seguridad de la información en las redes corporativas.
Si quieren conocer más sobre los cambios en este modelo, puede consultar nuestro artículo Movilidad del usuario: seguridad en la era de la conectividad en el Centro de Amenazas de ESET Latinoamérica.
Sebastián Bortnik
Analista de Seguridad
Continúa en ¿Dónde está el perímetro? (segunda parte)
