Durante veinte años construimos redes como castillos: un muro alto (el firewall) y un puente levadizo (la VPN) que se bajaba con la contraseña correcta. Adentro, confianza total. Ese modelo funcionó mientras todo vivía dentro del edificio. Hoy la mitad de tus aplicaciones está en la nube, tu equipo trabaja desde cualquier lugar y tus proveedores se conectan a diario a tus sistemas. El castillo ya no tiene paredes.
El problema técnico es simple de describir y caro de sufrir: cuando un atacante consigue una credencial válida, el modelo de perímetro lo trata como alguien de casa. Puede moverse de servidor en servidor, escalar privilegios y estudiar tu operación durante semanas sin disparar una sola alarma. Los ataques modernos casi nunca rompen el muro. Entran por la puerta.
Zero Trust invierte esa lógica. Y conviene decirlo desde el principio: no es un producto que se compra e instala en una tarde, por más que el marketing de algunos fabricantes lo pinte así. Es una decisión de arquitectura. En este artículo explico cómo la abordamos en la práctica, por fases y sin rehacer la red.
¿Qué cambia realmente con Zero Trust?
La idea cabe en una línea: ningún acceso es confiable por venir de adentro. Cada solicitud se verifica: quién eres, desde qué dispositivo llegas, en qué estado está ese dispositivo, a qué recurso quieres entrar y si ese acceso tiene sentido a esa hora y desde ese lugar. La verificación no ocurre una vez al entrar. Ocurre siempre.
Si buscas la base conceptual completa, en el blog tenemos una guía de qué es Zero Trust. El estándar de referencia es el NIST SP 800-207, que define la arquitectura sin casarse con ningún fabricante. Aquí me interesa lo que viene después de la teoría: aterrizarla.
Perímetro tradicional y Zero Trust, lado a lado
| Aspecto | Perímetro tradicional | Zero Trust |
|---|---|---|
| Supuesto de partida | Lo que está adentro es confiable | Nada es confiable sin verificarse |
| Verificación | Una vez, al entrar | Continua, en cada acceso |
| Acceso remoto | VPN con acceso amplio a la red | Acceso puntual a la aplicación necesaria |
| Credencial robada | Movimiento lateral libre | Daño acotado al recurso autorizado |
| Visibilidad interna | Escasa: el tráfico interno rara vez se inspecciona | Cada acceso queda registrado y auditable |
¿Por dónde empezar sin rehacer la red?
Aquí está el error de percepción más común: creer que Zero Trust exige tirar lo construido. En la práctica se implementa por fases, y las primeras se apoyan en lo que ya tienes.
Fase 1. Identidad. Es el nuevo perímetro y donde está el mayor retorno inmediato: MFA en todos los accesos (no únicamente en el correo), limpieza de cuentas huérfanas y revisión de privilegios. Casi ninguna empresa necesita comprar algo para esta fase. Necesita ordenarla.
Fase 2. Dispositivos. No puedes decidir si un acceso es sano sin conocer el estado del equipo que lo origina. Inventario real y protección del endpoint con EDR, para evaluar la postura del dispositivo antes de conceder acceso.
Fase 3. Segmentación. Separar la red por zonas de negocio: servidores críticos, usuarios, invitados, y la parte industrial si existe. El firewall que cuida el perímetro sigue siendo necesario; la segmentación evita que sea tu única defensa cuando algo lo cruza. No hace falta microsegmentar cada aplicación el primer día; con evitar que un equipo comprometido vea toda la red, ya cambiaste el juego.
Fase 4. Monitoreo continuo. Zero Trust produce una ventaja enorme: cada acceso deja rastro. Ese rastro solo vale si alguien lo mira. Conectar esos registros a un SOC 24/7 convierte la arquitectura en detección temprana.
CISA publica un modelo de madurez Zero Trust útil para ubicar en qué punto estás y qué sigue. La hoja de ruta completa suele tomar de 18 a 36 meses en una empresa mediana, pero el riesgo empieza a bajar desde la fase 1.
Los errores que veo repetirse
El primero: comprar “Zero Trust en caja”. Ningún producto individual te lo da. Desconfía de cualquier propuesta que no empiece por preguntar cómo está tu identidad.
El segundo: arrancar por lo más complejo. La microsegmentación fina de aplicaciones es la fase avanzada, no la puerta de entrada. He visto proyectos estancados meses ahí, mientras las cuentas sin MFA seguían abiertas.
El tercero: declararse Zero Trust después de activar MFA. Sin verificación continua, postura de dispositivo y registro de accesos, eso no es un cambio de modelo. Es un login más estricto.
La pregunta correcta
No es ¿debería mi empresa adoptar Zero Trust?, sino ¿en qué fase estoy hoy y cuál me toca? Si no tienes la respuesta, una evaluación de seguridad gratuita es una forma concreta de conseguirla: sales con un mapa de tu identidad, tus dispositivos y tu segmentación, y con la fase 1 definida.
La confianza, en arquitectura de seguridad, dejó de ser una ubicación. Ahora se gana en cada acceso.
