¿Qué es Zero Trust?

Zero Trust: definición e idea

La seguridad clásica sigue el principio del castillo y el foso: quien está dentro de la red de la empresa se considera de confianza. Esto deja de funcionar cuando los empleados trabajan desde casa, los datos están en la nube y los proveedores necesitan acceso. Zero Trust renuncia a ese adelanto de confianza: la ubicación dentro de la red, por sí sola, no justifica ninguna autorización.

Zero Trust no es un software que se compre, sino un enfoque de arquitectura. Se describe, entre otros documentos, en la publicación NIST SP 800-207, y también la BSI alemana recoge el concepto. Se implanta paso a paso y con varias tecnologías.

Los principios básicos

Tres ideas sostienen el modelo: cada acceso se verifica expresamente, los permisos se limitan a lo imprescindible (mínimo privilegio) y se parte de que un atacante puede estar ya en la red (assume breach). De ahí se derivan medidas que contienen los daños en lugar de limitarse a defender el perímetro exterior.

Zero Trust no significa desconfiar de los empleados. Se trata de basar las decisiones en señales verificables —quién inicia sesión, desde qué dispositivo y con qué riesgo— en lugar de suponer que todo lo que hay en la propia red es inofensivo. Así se dificulta el movimiento de los atacantes, incluso si una cuenta ha sido comprometida.

• Identidades sólidas con autenticación multifactor como base
• Comprobación del dispositivo: acceso solo desde equipos actualizados y gestionados
• Microsegmentación en lugar de una red plana
• Acceso a aplicaciones concretas en lugar de a toda la red (ZTNA)
• Supervisión continua y respuesta automática ante anomalías

Ejemplo práctico: un proveedor con accesos de empresas de servicios

Un proveedor del sector de maquinaria con 150 empleados concede a un servicio de mantenimiento externo acceso a la red de la empresa mediante VPN. El acceso no se adapta durante años y la contraseña se transmite varias veces. En el peor de los casos, una cuenta secuestrada del proveedor de servicios abriría el acceso por igual a los datos de diseño y al ERP.

Con el enfoque Zero Trust, la empresa de servicios recibe una cuenta personal con inicio de sesión de dos factores, solo para el sistema de mantenimiento, solo en la franja horaria acordada y solo desde un dispositivo verificado. La sesión queda registrada y los accesos anómalos generan una alerta. Una contraseña robada ya no basta para acceder, y el daño quedaría limitado al sistema de mantenimiento.

Primeros pasos, límites y puesta en práctica

Zero Trust es un camino, no un interruptor. Las empresas empiezan por los mayores riesgos, normalmente las identidades, el inicio de sesión multifactor y la gestión de dispositivos, por ejemplo con Microsoft Entra ID, Acceso condicional (Conditional Access) e Intune. Los errores típicos son equipararlo a un único producto, aplicar reglas tan rígidas que paralizan el día a día y no contar con un inventario de las cuentas y sistemas existentes.

Nano Concepts ayuda con un inventario de cuentas, dispositivos y vías de acceso, la introducción del inicio de sesión multifactor y la gestión de dispositivos, y la sustitución gradual de accesos VPN amplios. El plan se orienta a su riesgo y a su presupuesto, no a un catálogo de productos. Lo acompañamos como proyecto o como consultoría continua.