El problema con la idea tradicional de un emplazamiento
Durante mucho tiempo, el concepto de «sitio» en redes y seguridad era sinónimo de oficina física. Esto incluía:
- un edificio sede
- una sucursal
- un campus conectado a la red corporativa
Este modelo tradicional se basaba en varios supuestos:
- los empleados trabajaban principalmente desde oficinas
- se aplicaron medidas de seguridad en los límites de la red
- las políticas podrían depender de forma fiable del origen del tráfico de red
Sin embargo, estos supuestos ya no reflejan la realidad de los entornos de trabajo modernos.
Hoy, los empleados:
- trabajar desde casa, cafeterías, hoteles y otros lugares temporales
- desplazarse entre lugares varias veces a lo largo del día
- utilizar las herramientas GenAI de forma continua, independientemente de su ubicación física
Cuando las políticas de seguridad están estrechamente vinculadas a las ubicaciones físicas, surgen varios problemas:
- un mismo usuario puede recibir diferentes políticas de seguridad durante el mismo día
- las excepciones de acceso remoto se acumulan
- Los controles GenAI se vuelven incoherentes y difíciles de auditar
- la postura de seguridad puede derivar de forma impredecible
AI>Secure aborda estos retos redefiniendo el significado de «sitio» en su plataforma.
Qué significa un sitio en AI>Secure
En AI>Secure, un sitio sirve como ancla de la política en lugar de limitarse a representar un edificio físico. Un sitio puede representar:
- una oficina física
- una ubicación lógica del hogar
- un límite funcional u organizativo
- un límite de seguridad que no esté ligado a la geografía
Esta flexibilidad permite a las organizaciones elegir si las políticas deben:
- seguir al usuario
- siga la localización
- o aplicar un híbrido de ambos enfoques
Dos formas de utilizar los sitios (ambas compatibles)
AI>Secure admite ambos modelos simultáneamente. Los clientes pueden optar por utilizar uno, otro o una combinación de ambos.
Sitios lógicos: Las políticas siguen al usuario
En este modelo:
- un sitio representa una ubicación lógica para el hogar
- las políticas permanecen coherentes cuando el usuario se desplaza entre ubicaciones
- la ubicación física no afecta a la aplicación de la política
Ejemplo:
- un usuario pertenece al sitio «San Jose Engineering
- el usuario trabaja desde casa por la mañana
- más tarde trabaja desde una cafetería
- luego visita la oficina de otra empresa
A lo largo del día:
- se aplican las mismas políticas de GenAI
- se aplican las mismas normas de protección de datos
- se aplican las mismas conductas de inspección y ejecución
Este modelo es muy adecuado para:
- plantillas híbridas y a distancia
- una seguridad GenAI coherente
- auditoría previsible y cumplimiento
Emplazamientos físicos: Las políticas siguen a la ubicación
En este modelo:
- un sitio representa dónde se origina el tráfico de red
- las políticas cambian en función de la ubicación física o de la red
Ejemplo:
- trabajar desde la sede central aplica las políticas de la sede central
- trabajar desde una sucursal aplica políticas de sucursal
- trabajar a distancia aplica políticas remotas
Este enfoque es especialmente útil cuando:
- las normativas regionales difieren
- los niveles de confianza varían según el lugar
- deben mantenerse los modelos operativos existentes
Los sitios lógicos también funcionan con el proxy transparente basado en IPsec
Un error común es creer que los sitios lógicos sólo son compatibles con las configuraciones de proxy de reenvío. En AI>Secure, los sitios lógicos funcionan con ambos:
- despliegue de proxy de reenvío
- Despliegues de proxy transparentes basados en IPsec
La determinación del emplazamiento es explícita e impulsada por la configuración, en lugar de ser inferida.
Cómo funciona la determinación del emplazamiento con el proxy de reenvío
Cuando los usuarios acceden a AI>Secure a través de un proxy de reenvío:
- cada sitio lógico se asigna a un puerto proxy específico
- los dispositivos de los empleados se aprovisionan con el dominio y el puerto proxy pertinentes
- el tráfico siempre llega al mismo puerto, independientemente de la ubicación del usuario
Como resultado:
- el puerto se asigna a un sitio
- el sitio está asociado a un perfil de seguridad
- en todas partes se aplican las mismas políticas
Aunque los usuarios se conecten al punto de presencia (POP) AI>Secure más cercano por motivos de rendimiento, AI>Secure garantiza que las asignaciones de sitios, los perfiles de seguridad y las configuraciones de políticas estén disponibles en todos los POP configurados para ese sitio.
Cómo funciona la determinación del emplazamiento con el proxy transparente basado en IPsec
Con despliegues basados en IPsec:
- se pueden establecer múltiples túneles VPN dedicados
- cada túnel se asocia explícitamente a un emplazamiento
- El tráfico que llega a un túnel determina el emplazamiento
Detalles importantes:
- una oficina física puede tener varios túneles VPN
- un túnel puede representar un sitio de origen lógico
- otros túneles pueden representar el acceso desde otras oficinas o usuarios móviles
- los sitios lógicos se conservan incluso en modo proxy transparente
Esto significa:
- un solar no tiene por qué equivaler a un edificio
- un sitio representa la identidad política
- los modelos físicos y lógicos pueden coexistir
Escenarios adicionales habilitados por los sitios lógicos
Cuando un sitio se trata como una identidad política, los nuevos casos de uso se vuelven sencillos.
Sitios basados en roles:
- ingeniería
- finanzas
- legal
- ejecutivos
Cada rol puede tener reglas distintas de acceso a GenAI, de profundidad de inspección y de protección de datos.
Aislamiento de contratistas y socios:
- contratistas asignados a sitios lógicos dedicados
- controles más estrictos sin necesidad de redes separadas
Emplazamientos temporales o basados en proyectos:
- Actividad de fusiones y adquisiciones
- investigaciones
- proyectos especiales de I+D
- los sitios pueden crearse y eliminarse limpiamente
Segmentación normativa:
- Usuarios cubiertos por el GDPR
- Flujos de trabajo relacionados con la HIPAA
- equipos de exportación controlada
- aplicación de la segmentación sin rediseñar la topología de la red
Por qué es importante para la seguridad GenAI
El uso de GenAI lo es:
- impulsado por el usuario
- independiente de la ubicación
- continua a lo largo del día
Los controles de seguridad vinculados exclusivamente a ubicaciones físicas ya no se ajustan a la realidad del trabajo moderno. Al tratar el emplazamiento como una abstracción de política flexible, AI>Secure admite:
- barandillas de seguridad GenAI coherentes
- aplicación previsible
- reducción de la deriva política
- auditabilidad mejorada
Resumen
En AI>Secure:
- un emplazamiento es un ancla política, no sólo una oficina física
- los sitios pueden ser lógicos o físicos
- los sitios lógicos funcionan tanto con el modelo de proxy de reenvío como con el de proxy transparente IPsec
- las políticas pueden seguir a usuarios, lugares o ambos
- la aplicación de la normativa sigue siendo coherente en todos los puntos de presencia mundiales
Este enfoque alinea la seguridad con las realidades del trabajo moderno y el uso de la GenAI.