Zero Trust: qué es y cómo empezar en tu empresa
Aperio Security · Actualizada el
Zero Trust, o confianza cero, es un modelo de seguridad que elimina la confianza implícita: estar conectado a la red de la oficina ya no da acceso a nada por sí mismo. Cada conexión entre una persona, un equipo y una aplicación se verifica y se limita a lo estrictamente necesario. Se empieza por saber qué se comunica con qué, proteger primero lo crítico y reducir los caminos internos con segmentación.
La idea central
El modelo tradicional es el del castillo y el foso: un perímetro fuerte y, adentro, confianza. Ese modelo falla por dos razones. Primero, el perímetro ya no existe como antes: hay nube, trabajo remoto, proveedores conectados y equipos móviles. Segundo, cuando un atacante cruza el foso, por phishing o por una credencial robada, adentro nadie lo detiene.
Zero Trust parte de la premisa contraria: asume que el atacante ya está dentro y diseña la red para que eso importe lo menos posible.
Qué dicen los marcos de referencia
La publicación NIST SP 800-207 (2020) es la referencia más citada. Sus principios, resumidos:
- Todos los recursos se tratan igual, estén en la oficina, en la nube o en casa de alguien: la ubicación en la red no otorga confianza.
- Toda comunicación se protege, sin importar por dónde viaje.
- El acceso se concede por sesión y con el mínimo privilegio.
- La decisión de acceso usa contexto: identidad, estado del equipo, comportamiento.
- Se monitorea continuamente la postura de los activos y se registra todo.
El Modelo de Madurez Zero Trust de CISA (versión 2.0, 2023) lo organiza en cinco pilares: identidad, dispositivos, redes, aplicaciones y cargas de trabajo, y datos. Es útil para medir dónde estás y qué sigue.
Cómo empezar, en la práctica
Zero Trust no es un producto que se compra e instala; es una dirección. Para una empresa mediana, este orden da resultados rápidos:
- Identidad primero. Autenticación multifactor en correo, VPN, paneles de administración y nube. Es lo más barato y lo que más ataques evita.
- Inventario y mapa. Saber qué equipos existen y cómo se comunican. Sin ese mapa de dependencias, cualquier regla es una suposición.
- Protege las joyas de la corona. Controladores de dominio, respaldos, ERP y bases de datos con información de clientes van en zonas propias con muy pocas entradas permitidas.
- Reduce el tráfico este-oeste. Aplica microsegmentación para que las estaciones de trabajo no puedan llegar por RDP o SMB a los servidores.
- Reemplaza el acceso remoto abierto. Cambia la VPN que da acceso a toda la red o el RDP expuesto por acceso por aplicación sobre un canal cifrado. Ver VPN contra ZTNA.
- Mide y repite. Revisa qué conexiones nuevas aparecen y qué se bloqueó, y ajusta.
Errores comunes
- Empezar por la herramienta y no por el mapa. Si no sabes qué depende de qué, la primera regla rompe algo y el proyecto se detiene.
- Querer todo a la vez. Es mejor proteger bien tres sistemas críticos este mes que diseñar la red perfecta en un año.
- Dejar fuera los servidores. Muchos proyectos de confianza cero se quedan en la identidad del usuario y olvidan que el atacante se mueve entre servidores.
Cómo lo hace Aperio
Aperio Security cubre el pilar de redes y cargas de trabajo: une los equipos en una malla cifrada con WireGuard, muestra cada conexión con su proceso, agrupa los equipos en círculos con políticas de mínimo privilegio y da acceso remoto de soporte sin abrir puertos. Los permisos del panel son por alcance, y el acceso con Google o Microsoft se integra con tu proveedor de identidad.
Preguntas frecuentes
¿Zero Trust es solo para empresas grandes?
No. Una empresa mediana suele avanzar más rápido porque tiene menos sistemas. Autenticación multifactor, segmentación de lo crítico y acceso remoto sin puertos abiertos son pasos al alcance de cualquier equipo de TI.
¿Qué es ZTNA?
ZTNA (Zero Trust Network Access) es el acceso a aplicaciones con verificación por sesión y sin dar entrada a toda la red, como alternativa a la VPN tradicional.
¿Zero Trust y microsegmentación son lo mismo?
No. Zero Trust es el modelo general; la microsegmentación es una de sus técnicas principales, la que aplica el mínimo privilegio al tráfico entre equipos.