Zero Trust es un enfoque de seguridad que deja de dar confianza automática a un acceso por venir de la red de la empresa: cada petición de acceso se verifica con la identidad de la persona, el estado del dispositivo y otras señales, y se autoriza solo para el recurso concreto que necesita. Es una forma de diseñar el acceso, no un producto.
Cómo funciona
El modelo tradicional se parece a un castillo con foso: quien cruza el perímetro (por ejemplo, con una VPN) suele moverse con libertad por dentro. Zero Trust asume que la red puede ser hostil, incluida la propia, y exige comprobar cada acceso según una política: quién es la persona, desde qué dispositivo, en qué estado está y qué intenta abrir. El NIST lo define como un conjunto cambiante de paradigmas que desplazan el foco de las defensas desde perímetros de red estáticos hacia usuarios, activos y recursos.
El NCSC, el organismo de ciberseguridad del Reino Unido, resume sus bases en principios como conocer la arquitectura y las identidades, evaluar el comportamiento de usuarios y el estado de dispositivos, decidir con políticas, autenticar y autorizar en todas partes, vigilar usuarios, dispositivos y servicios, y no confiar en ninguna red.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una empresa con personal remoto da acceso por VPN a toda la red interna. Decide empezar por lo más sensible: la aplicación de contabilidad y las consolas de administración. A partir de ahora solo se abren si la persona inicia sesión con un segundo factor y su equipo está gestionado y actualizado; los demás recursos se migran más adelante.
Antes de activarlo se prueba qué ocurre cuando falla una señal, por ejemplo si un equipo deja de informar de su estado. La regla es denegar o dar un acceso limitado, nunca aprobar en silencio.
Límites
El NCSC insiste en que Zero Trust no es un producto, ni una solución rápida, ni significa no confiar en nadie, ni exige abandonar la VPN, y que no se termina nunca: es un compromiso estratégico que se adopta de forma deliberada y que puede requerir varios años. También implica más controles, no menos, y puede ser costoso y disruptivo: antes conviene valorar si unos controles más acotados darían beneficios parecidos. Que una herramienta lleve la etiqueta Zero Trust no demuestra que los accesos reales sigan estos principios.
Las decisiones dependen de señales cuya calidad hay que vigilar, y los sistemas antiguos obligan a soluciones intermedias. Para una empresa pequeña, los primeros pasos útiles suelen coincidir con los controles básicos: segundo factor, privilegios mínimos, equipos protegidos y actualizados, e inventario de aplicaciones y accesos.
Cuándo llamar a un experto
Conviene pedir ayuda cuando hay trabajo remoto o híbrido, aplicaciones en la nube junto a sistemas antiguos, accesos de proveedores externos, una VPN que da acceso a toda la red o cuando un cliente o una auditoría pide justificar cómo se controla el acceso. Un diagnóstico previo ayuda a priorizar qué recursos son más críticos y qué cambios compensan más.
En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación: revisamos identidades, accesos y dispositivos, y aplicamos los controles técnicos que correspondan. Consulta nuestro servicio de ciberseguridad, la guía para crear un plan de seguridad informática o cuéntanos tu caso.
Para saber más
Términos relacionados del glosario: MFA, VPN, endpoint y NAC.
Fuentes oficiales (en inglés): la publicación del NIST SP 800-207, Zero Trust Architecture y las guías del NCSC Demystifying Zero Trust y Zero trust architecture design principles, pensadas para organizaciones grandes.