Desarrollo mediante los principios de confianza cero

Este artículo le ayuda, como desarrollador, a comprender los principios rectores de Confianza cero para que pueda mejorar la seguridad de la aplicación. Desempeña un papel clave en la seguridad de la organización. Las aplicaciones y sus desarrolladores ya no pueden suponer que el perímetro de red es seguro. Las aplicaciones en peligro pueden afectar a toda la organización.

Las organizaciones implementan nuevos modelos de seguridad que se adaptan a entornos modernos complejos y adoptan a los empleados móviles. Los nuevos modelos protegen a personas, dispositivos, aplicaciones y datos dondequiera que se encuentren. Las organizaciones se esfuerzan por lograr confianza cero, una estrategia de seguridad y un enfoque para diseñar e implementar aplicaciones que siguen estos principios rectores:

• Comprobación explícita
• Utilizar el acceso con menos privilegios
• Asumir que hay una brecha

En lugar de creer que todo lo que se encuentra detrás del firewall corporativo es seguro, el modelo de Confianza cero presupone que hay brechas y, por consiguiente, comprueba todas las solicitudes como si provinieran de una red no controlada. Independientemente de dónde se origine la solicitud o a qué recurso accede, el modelo de confianza cero requiere que nunca confíemos, compruebe siempre.

Comprenda que Confianza cero no es un reemplazo de los aspectos básicos de seguridad. Con el trabajo que se origina desde cualquier lugar de cualquier dispositivo, diseñe las aplicaciones para incorporar principios de Confianza Cero durante todo el ciclo de desarrollo.

¿Por qué desarrollar con una perspectiva de confianza cero?

• Vemos un aumento en el nivel de sofisticación de los ataques de ciberseguridad.
• El trabajo desde cualquier lugar ha redefinido el perímetro de seguridad. Se accede a los datos fuera de la red corporativa y se comparten con colaboradores externos, como asociados y proveedores.
• Las aplicaciones y los datos corporativos se mueven de entornos locales a híbridos y en la nube. Los controles de red tradicionales ya no se pueden confiar en para la seguridad. Los controles deben moverse a dónde residen los datos en los dispositivos y dentro de las aplicaciones.

La guía de desarrollo de esta sección le ayuda a aumentar la seguridad, reducir el radio de explosión de un incidente de seguridad y recuperarse rápidamente con la tecnología de Microsoft.

Introducción a la guía para desarrolladores

• ¿Qué queremos decir con el cumplimiento de confianza cero? proporciona información general sobre la seguridad de las aplicaciones desde la perspectiva de un desarrollador para abordar los principios rectores de Confianza cero.
• Use los procedimientos recomendados de desarrollo para la administración de identidad y acceso de confianza cero en el ciclo de vida de desarrollo de las aplicaciones para crear aplicaciones seguras.
• Las metodologías de desarrollo basadas en estándares proporcionan información general sobre los estándares admitidos y sus ventajas.
• Las responsabilidades de desarrollador y administrador para el registro, autorización y acceso de aplicaciones le ayudan a colaborar mejor con sus profesionales de TI.

Permisos y acceso

• Construir aplicaciones que aseguren la identidad a través de permisos y consentimiento proporciona una descripción general sobre los permisos y las mejores prácticas de acceso.
• Integrar aplicaciones con Microsoft Entra ID y la plataforma de identidad de Microsoft ayuda a los desarrolladores a crear e integrar aplicaciones que los profesionales de TI pueden proteger en la empresa.
• Registrar aplicaciones presenta a los desarrolladores el proceso de registro de aplicaciones y sus requisitos. Les ayuda a garantizar que las aplicaciones cumplan los principios de confianza cero para usar el acceso con privilegios mínimos y asumir la vulneración.
• Los tipos de identidad y de cuenta admitidos para aplicaciones únicas y multiinquilino explican cómo puede elegir si la aplicación solo permite a los usuarios de su inquilino de Microsoft Entra, cualquier inquilino de Microsoft Entra o usuarios con cuentas personales de Microsoft.
• La autenticación de usuarios para Confianza cero ayuda a los desarrolladores a aprender los procedimientos recomendados para autenticar a los usuarios de la aplicación en el desarrollo de aplicaciones de Confianza cero. Describe cómo mejorar la seguridad de las aplicaciones con los principios de Cero Confianza de mínimo privilegio y verificar explícitamente.
• Adquirir autorización para acceder a los recursos le ayuda a comprender cómo garantizar mejor Confianza cero al adquirir permisos de acceso a recursos para la aplicación.
• Desarrollar la estrategia de permisos delegados le ayuda a implementar el mejor enfoque para administrar permisos en la aplicación y desarrollar con principios de confianza cero.
• Desarrollar la estrategia de permisos de aplicación le ayuda a decidir sobre el enfoque de permisos de aplicación para la administración de credenciales.
• Los permisos de solicitud que requieren consentimiento administrativo describen la experiencia de permisos y consentimiento cuando los permisos de aplicación requieren consentimiento administrativo.
• Reducir los permisos y aplicaciones sobreprivilegados le ayuda a limitar los privilegios para administrar el acceso y mejorar la seguridad.
• Proporcione credenciales de identidad de aplicación cuando no haya ningún usuario explica las identidades administradas de los recursos de Azure para las mejores prácticas de servicios (aplicaciones no relacionadas con usuarios).
• Administrar tokens de Confianza cero ayuda a los desarrolladores a crear seguridad en aplicaciones con tokens de identificador, tokens de acceso y tokens de seguridad que pueden recibir de la plataforma de identidad de Microsoft.
• Personalizar tokens describe la información que puede recibir en tokens de Microsoft Entra y cómo puede personalizar los tokens.
• Proteger aplicaciones con evaluación continua de acceso ayuda a los desarrolladores a mejorar la seguridad de las aplicaciones con la evaluación continua de acceso. Obtenga información sobre cómo garantizar la compatibilidad con Confianza cero en las aplicaciones que reciben autorización para acceder a los recursos cuando adquieren tokens de acceso de Microsoft Entra ID.
• Configurar reclamaciones de grupo y roles de la aplicación en tokens muestra cómo configurar tus aplicaciones con definiciones de roles de la aplicación y asignar grupos de seguridad.
• En el artículo Protección de API se describen los procedimientos recomendados para proteger la API mediante su registro, la definición de permisos y del consentimiento, y la aplicación del acceso para lograr los objetivos de confianza cero.
• El artículo Ejemplo de una API protegida por el marco de consentimiento de identidades de Microsoft le ayuda a diseñar estrategias de permisos de aplicación con privilegios mínimos para ofrecer la mejor experiencia del usuario.
• Llamar a una API desde otra API le ayuda a garantizar la confianza cero cuando tenga una API que necesite llamar a otra API. Aprenderá cómo desarrollar de forma segura su aplicación cuando está trabajando en nombre de un usuario.
• Procedimientos recomendados de autorización le ayuda a implementar los mejores modelos de autorización, permisos y consentimiento para las aplicaciones.

DevSecOps de confianza cero

• Los entornos seguros de DevOps para Confianza cero describen los procedimientos recomendados para proteger los entornos de DevOps.
• Proteger el entorno de la plataforma DevOps le ayuda a implementar principios de confianza cero en el entorno de la plataforma de DevOps y resalta los procedimientos recomendados para la administración de secretos y certificados.
• Proteger el entorno de desarrollador le ayuda a implementar principios de confianza cero en los entornos de desarrollo con procedimientos recomendados para privilegios mínimos, seguridad de rama y herramientas, extensiones e integraciones de confianza.
• Insertar la seguridad de Confianza cero en el flujo de trabajo del desarrollador le ayuda a innovar de forma rápida y segura.

Más documentación sobre Zero Trust

Haga referencia al siguiente contenido de Zero Trust, según el conjunto de documentación o los roles en su organización.

Conjunto de documentación

Siga esta tabla para obtener los mejores conjuntos de documentación de Confianza cero para sus necesidades.

Conjunto de documentación	Te ayuda...	Funciones
Marco de adopción para la orientación por fases y pasos para soluciones empresariales y resultados clave.	Aplique protecciones de Confianza Cero desde la alta dirección hasta la implementación de TI.	Arquitectos de seguridad, equipos de TI y administradores de proyectos
Conceptos y objetivos de implementación para instrucciones generales de implementación para áreas tecnológicas	Aplicar protecciones de confianza cero alineadas con áreas tecnológicas.	Equipos de TI y personal de seguridad
Confianza cero para pequeñas empresas	Aplique los principios de Confianza cero a los clientes de pequeñas empresas.	Clientes y asociados que trabajan con Microsoft 365 para empresas
Plan de Modernización Rápida de Confianza Cero (RaMP) para guiar la gestión de proyectos y listas de verificación para logros rápidos.	Implemente rápidamente capas clave de protección de confianza cero.	Arquitectos de seguridad e implementadores de TI
Plan de implementación de Confianza cero con Microsoft 365 para obtener instrucciones de diseño e implementación detalladas y escalonadas	Aplique protecciones de confianza cero al inquilino de Microsoft 365.	Equipos de TI y personal de seguridad
Confianza cero para Microsoft Copilots para obtener instrucciones de diseño e implementación escalonadas y detalladas	Aplicar protecciones de confianza cero a Microsoft Copilots.	Equipos de TI y personal de seguridad
Confianza cero para los servicios de Azure para obtener instrucciones detalladas de diseño e implementación escalonadas	Aplique protecciones de confianza cero a las cargas de trabajo y los servicios de Azure.	Equipos de TI y personal de seguridad
Integración de socios con Zero Trust para la orientación de diseño en áreas tecnológicas y especializaciones	Aplique protecciones de confianza cero a las soluciones en la nube de Microsoft asociadas.	Desarrolladores asociados, equipos de TI y personal de seguridad

Su rol

Siga esta tabla para obtener los mejores conjuntos de documentación para su rol en su organización.

Función	Conjunto de documentación	Te ayuda...
Arquitecto de seguridad Jefe de proyectos de TI Implementador de TI	Marco de adopción para la orientación por fases y pasos para soluciones empresariales y resultados clave.	Aplique protecciones de Confianza Cero desde la alta dirección hasta la implementación de TI.
Miembro de un equipo de TI o de seguridad	Conceptos y objetivos de implementación para instrucciones generales de implementación para áreas tecnológicas	Aplicar protecciones de confianza cero alineadas con áreas tecnológicas.
Cliente o asociado para Microsoft 365 para empresas	Confianza cero para pequeñas empresas	Aplique los principios de Confianza cero a los clientes de pequeñas empresas.
Arquitecto de seguridad Implementador de TI	Plan de Modernización Rápida de Confianza Cero (RaMP) para guiar la gestión de proyectos y listas de verificación para logros rápidos.	Implemente rápidamente capas clave de protección de confianza cero.
Miembro de un equipo de TI o de seguridad de Microsoft 365	Plan de implementación de Confianza cero con Microsoft 365 a fin de obtener instrucciones de diseño e implementación detalladas y escalonadas para Microsoft 365	Aplique protecciones de confianza cero al inquilino de Microsoft 365.
Miembro de un equipo de TI o seguridad para Microsoft Copilots	Confianza cero para Microsoft Copilots para obtener instrucciones de diseño e implementación escalonadas y detalladas	Aplicar protecciones de confianza cero a Microsoft Copilots.
Miembro de un equipo de TI o de seguridad para los servicios de Azure	Confianza cero para los servicios de Azure para obtener instrucciones detalladas de diseño e implementación escalonadas	Aplique protecciones de confianza cero a las cargas de trabajo y los servicios de Azure.
Desarrollador asociado o miembro de un equipo de TI o de seguridad	Integración de socios con Zero Trust para la orientación de diseño en áreas tecnológicas y especializaciones	Aplique protecciones de confianza cero a las soluciones en la nube de Microsoft asociadas.