En un mundo donde los incidentes y brechas de seguridad involucran el factor humano y donde el perímetro tradicional de la empresa ha desaparecido, Zero Trust emerge no como una opción, sino como una necesidad estratégica. Esta publicación facilitará la concepción de esta tendencia para su adopción y desmitificaremos algunos puntos clave.

Puntos Clave:

• Zero Trust no es un producto, es una filosofía de seguridad
• Requiere cambio cultural, no solo tecnológico
• La implementación debe ser gradual, no es “todo o nada”

¿Qué es Realmente Zero Trust ? De manera fácil y simple de entender

La Definición que Importa para tu Empresa

Zero Trust Security es un modelo de ciberseguridad que elimina la confianza implícita en cualquier usuario, dispositivo o aplicación, sin importar si están dentro o fuera de la red corporativa. Su principio fundamental es: “Nunca confiar, siempre verificar”. por lo menos eso dicen siempre en presentaciones del tema, pero revisemos eso a detalle en los siguientes puntos.

Por Qué el Modelo Tradicional de Seguridad Está Obsoleto

El modelo tradicional de “castillo y foso” asume que todo dentro de la red corporativa es confiable. Esta premisa se vuelve peligrosa cuando:

• La mayoría de los empleados trabajan remotamente al menos una parte considerable de tiempo
• Las aplicaciones críticas viven en la nube, no en servidores locales
• Los atacantes sofisticados ya asumen que pueden comprometer el perímetro
• El insider threat representa un gran porcentaje de todos los incidentes y alertas de seguridad

Una comparación ejemplificada sería la siguiente:

Modelo Tradicional	Modelo Zero Trust
“Castillo y foso” – confía en quien está dentro	Verifica cada transacción, sin excepciones
VPN para acceso remoto	Acceso segmentado basado en identidad
Perímetro definido	Sin perímetro – seguridad ubicua
Confianza basada en ubicación	Confianza basada en verificación continua

Los Tres Pilares Fundamentales de Zero Trust

1. Verificación Continua
   • La autenticación no es un evento único sino un proceso continuo
   • Cada acceso se evalúa en tiempo real basado en contexto
   • Implementación de “trust scores” dinámicos
2. Privilegio Mínimo (Least Privilege)
   • Los usuarios solo acceden a lo estrictamente necesario
   • Los permisos son dinámicos y contextuales
   • Revisión automática y periódica de privilegios
3. Asumir la existencia de una Brecha de seguridad (Assume Breach)
   • Diseñar asumiendo que el atacante ya está dentro
   • Reducir la exposición al riesgo
   • Segmentación granular de recursos críticos

Mitos Comunes sobre Zero Trust (Desmitificados)

❌ Mito: “Zero Trust significa no confiar en nadie” ✅ Realidad: Significa verificar antes de confiar, facilitando accesos legítimos

❌ Mito: “Es demasiado costoso para empresas pequeñas” ✅ Realidad: Existen implementaciones escalables

❌ Mito: “Requiere reemplazar toda la infraestructura” ✅ Realidad: Se puede implementar gradualmente sobre sistemas existentes

❌ Mito: “Complica la experiencia del usuario” ✅ Realidad: Con SSO y autenticación adaptativa, mejora la experiencia

Veamos un ejemplo

Aquí una imagen que en su momento me alegró el día, pero muestra el punto de esta publicación.

¿Por qué es tan acertado?

1. La contradicción fundamental: Muchas organizaciones dicen implementar Zero Trust pero mantienen Active Directory como único punto de fallo – exactamente lo opuesto a la filosofía Zero Trust.
2. El problema real que expone:
   • Single Point of Failure: Si la infraestructura de AD cae o es comprometida, todo el “Zero Trust” se derrumba
   • Confianza implícita: El AD otorga confianza heredada basada en pertenecer al dominio
   • Kerberos Golden Ticket: Un atacante que comprometió al AD podría generar tickets que pueden hacer bypass de todo
3. La reacción defensiva (“SHUT UP!”) representa perfectamente a:
   • Vendors que venden “soluciones Zero Trust” que son solo capas sobre AD
   • Equipos de IT que no quieren/pueden modernizar su infraestructura legacy
   • Consultores que implementan “Zero Trust Lite” o una filosofía mas ligera y menos robusta para evitar complejidad

A partir de esto, podemos hacer una simple conclusión:

❌ Zero Trust Falso:

AD → Confía en todo el dominio → “Zero Trust” aparente

✅ Zero Trust Real:

Identidad descentralizada/federada

– Verificación criptográfica independiente

– Sin confianza heredada por pertenecer a un dominio

– Múltiples fuentes de autorización

Veamos otro ejemplo

Hace tiempo (algunos años) trabajé en un proyecto con una empresa que decía emplear Zero Trust, pero la realidad era la siguiente

Seguridad percibida	Realidad implementada
Somos una empresa que funcionamos con zero trust, porque tenemos usuarios empleando una solución de tipo Zero Trust Network Access (ZTNA)	ZTNA solo para acceso remoto de executives, el 90% usa VPN tradicional
Usamos IAM (Identity and Access Management) y manejamos RBAC (Role-Based Access Control)	Solo tenían 2 roles genéricos sin granularidad real
La solución de tipo Zero Trust Network Access (ZTNA) que implementaron proporciona una seguridad moderna sin perímetro	Mantienen firewall perimetral como única barrera para el 90% de usuarios
Empleamos “Single Sign-On” o inicio de sesión único. Para permitir a los usuarios acceder a varias aplicaciones y servicios con un solo conjunto de credenciales.	Ningún usuario tenía implementado algún mecanismo de MFA.
Empleamos tecnologías para microsegmentación de red	Tenían implementada la PoC del proveedor, pero realmente solo tenían segmentación básica por VLANs

---

El Impacto de Zero Trust en Tu Organización

Cambios Operacionales Esperados en la Implementación

Para el Usuario Final:

• Login más frecuente pero más fluido (SSO + MFA adaptativo)
• Acceso basado en contexto (ubicación, dispositivo, comportamiento)
• Mayor transparencia en el uso de datos
• Experiencia “passwordless” en la mayoría de los casos

Para el Departamento de IT:

• Cambio de gestión de infraestructura a gestión de identidades
• Mayor visibilidad de toda la actividad de la red
• Automatización de respuestas a incidentes
• Reducción en alertas que terminan siendo falsos positivos

Para el Negocio:

• Habilitación segura de trabajo remoto y BYOD (Bring your own device)
• Aceleración de iniciativas de transformación digital
• Reducción en tiempo de detección de brechas
• Compliance con regulaciones (GDPR, CCPA, etc.)

Referencias

Verizon. (2024). 2024 Data Breach Investigations Report. Verizon Enterprise.

Deloitte. (2024). Zero Trust ROI Study: Three-Year Analysis. Deloitte Cyber Risk Services.

Kindervag, J. (2010). No More Chewy Centers: Introducing The Zero Trust Model. Forrester Research.

McKinsey. (2024). Future of Work Report: Remote Work Statistics. McKinsey Global Institute.

IBM Security. (2024). Insider Threat Report 2024. IBM X-Force.

Microsoft. (2023). State of Passwordless Authentication. Microsoft Security.

Gartner. (2024). Security Operations Center Efficiency Report. Gartner Inc.

Ponemon Institute. (2024). Cost of a Data Breach Report 2024. IBM Security.