Qué es Zero Trust y cómo funciona

Zero Trust es un modelo de seguridad informática basado en el principio de que ningún usuario, dispositivo ni aplicación debe considerarse de confianza por defecto, incluso si está dentro de la red corporativa: cada solicitud de acceso a un recurso debe verificarse y autorizarse de forma explícita antes de concederse. El concepto fue formalizado en 2010 por el analista John Kindervag de Forrester Research y se ha convertido en el marco de referencia dominante en ciberseguridad empresarial.

Contenidos ocultar

1 Por qué el modelo de seguridad perimetral ya no es suficiente

2 Qué principios definen la arquitectura Zero Trust

3 Cómo funciona Zero Trust en la práctica

4 Qué papel tiene la autenticación en Zero Trust

5 Ventajas del modelo Zero Trust para las empresas

6 Limitaciones y dificultades de implementar Zero Trust

Por qué el modelo de seguridad perimetral ya no es suficiente

Durante décadas, la seguridad corporativa se organizó en torno a un perímetro: lo que estaba dentro de la red de la empresa era de confianza, y lo que estaba fuera era potencialmente peligroso. Este enfoque funcionó bien cuando los empleados trabajaban en la oficina, los datos vivían en servidores locales y las aplicaciones no salían del edificio.

Ese escenario ha desaparecido. Hoy las empresas operan con infraestructura en la nube, empleados distribuidos en múltiples ubicaciones y aplicaciones accesibles desde cualquier dispositivo. El perímetro ya no existe como frontera definida, y defenderlo como si existiera deja enormes brechas. Según datos de Verizon, una de cada cuatro infracciones de ciberseguridad corporativa implica robo de credenciales, y los delitos informáticos más habituales se producen precisamente a través de cuentas de usuario legítimas comprometidas.

El problema estructural del modelo perimetral es que, una vez dentro, un atacante tiene acceso casi ilimitado a los recursos internos. Si logra entrar con las credenciales de un empleado —mediante ataques de phishing o ingeniería social— puede moverse lateralmente por toda la red sin que el sistema lo detecte como amenaza.

Qué principios definen la arquitectura Zero Trust

Zero Trust se construye sobre tres principios fundamentales:

Nunca confiar, siempre verificar. Cada solicitud de acceso —sea de un empleado, un proveedor, una aplicación o un dispositivo— se trata como potencialmente hostil hasta que se demuestre lo contrario. La verificación se repite en cada sesión, no solo en el inicio de sesión inicial.
Mínimo privilegio. Cada usuario y cada aplicación recibe únicamente los permisos estrictamente necesarios para realizar su función. El acceso amplio por defecto queda eliminado.
Microsegmentación. La red se divide en zonas pequeñas con sus propias políticas de acceso. Si un segmento se ve comprometido, el atacante no puede moverse al resto de la infraestructura.

Este enfoque no elimina la confianza como concepto: la reemplaza por una confianza ganada de forma continua y basada en datos, no en la ubicación dentro de la red.

Cómo funciona Zero Trust en la práctica

En un entorno Zero Trust, cada vez que un usuario o dispositivo intenta acceder a un recurso, el sistema evalúa varios factores antes de conceder el acceso: identidad del usuario, postura de seguridad del dispositivo, ubicación geográfica, hora de la solicitud y el nivel de sensibilidad del recurso solicitado.

Si todos los factores coinciden con el perfil esperado, el acceso se concede. Si alguno resulta anómalo —por ejemplo, un usuario accede desde un país en el que nunca ha trabajado, o desde un dispositivo sin las actualizaciones de seguridad aplicadas— el sistema puede denegar el acceso, pedir una verificación adicional o registrar la actividad como sospechosa.

Esta verificación continua es lo que diferencia Zero Trust de modelos anteriores: no hay un estado de «confianza permanente» una vez que el usuario ha iniciado sesión. La confianza se reevalúa en cada interacción.

Qué papel tiene la autenticación en Zero Trust

La autenticación es el pilar central de Zero Trust. Sin un mecanismo robusto para verificar quién es el usuario y qué dispositivo usa, el modelo no puede funcionar. Por eso, Zero Trust va siempre acompañado de autenticación multifactor: una sola contraseña no es suficiente para acceder a los recursos, ya que puede ser robada mediante técnicas como los ataques browser-in-browser.

La autenticación en Zero Trust opera además de forma centralizada: una plataforma única gestiona las reglas de acceso para todas las aplicaciones y servicios, independientemente de dónde estén alojados. Esto simplifica la administración y garantiza que las políticas de seguridad sean coherentes en toda la infraestructura.

Ventajas del modelo Zero Trust para las empresas

Reducción del impacto de una brecha. Si un atacante compromete una cuenta, solo accede al segmento mínimo permitido por esa cuenta, no a toda la infraestructura.
Compatibilidad con trabajo híbrido y remoto. Al no depender de la ubicación física del usuario, Zero Trust protege igual a un empleado en la oficina que a uno trabajando desde casa o desde un aeropuerto.
Flexibilidad de infraestructura. Las empresas pueden combinar centros de datos propios, nubes públicas y nubes privadas sin sacrificar el control de seguridad.
Acceso seguro para terceros. Proveedores, clientes y contratistas pueden conectarse con los permisos estrictamente necesarios, sin abrir el acceso a toda la red.

Limitaciones y dificultades de implementar Zero Trust

Zero Trust no es una solución que se instala y funciona: es un cambio de arquitectura que requiere planificación, tiempo e inversión. En grandes organizaciones con infraestructuras heredadas complejas, la transición puede llevar años. Hay que inventariar todos los dispositivos, aplicaciones y usuarios, definir políticas de acceso granulares y actualizar o sustituir sistemas que no son compatibles con el modelo.

Para las pequeñas empresas que trabajan en una red local simple, sin acceso remoto ni infraestructura en la nube, el coste y la complejidad de implementar Zero Trust pueden no estar justificados. En esos casos, reforzar la seguridad de la información empresarial con medidas más sencillas puede ser suficiente.

Tampoco existe un producto único que implemente Zero Trust de principio a fin: las organizaciones deben combinar diferentes herramientas —gestión de identidades, detección de amenazas, microsegmentación, cifrado— en una arquitectura coherente. Eso requiere un equipo de seguridad con experiencia y una estrategia clara antes de empezar.