Zero Trust
Modelo de seguridad que no confía en nadie por estar dentro de la red: verifica cada acceso por identidad, dispositivo y contexto, con el mínimo permiso.
Pronunciación
Qué es
Zero Trust (confianza cero) es un modelo de seguridad que parte de una idea: estar dentro de la red no te hace confiable. Cada solicitud de acceso, venga de la oficina, de la casa o de otro sistema, se verifica antes de concederse, y se concede solo para lo necesario.
Su lema es “nunca confíes, verifica siempre”. El término lo popularizó John Kindervag, entonces analista de Forrester, en 2010. El NIST lo formalizó en la publicación SP 800-207 (2020).
El problema que resuelve
El modelo tradicional es un castillo con foso: un firewall fuerte afuera y confianza total adentro. Funcionaba cuando todos trabajaban en la oficina y los sistemas estaban en un solo centro de datos. Hoy hay trabajo remoto, nube, SaaS y proveedores conectados, y el perímetro ya no existe. Además, si un atacante entra con una cuenta robada, en el modelo de castillo puede moverse libremente.
Principios
| Principio | En la práctica |
|---|---|
| Verificar explícitamente | Identidad (con MFA), estado del dispositivo, ubicación y riesgo en cada acceso |
| Mínimo privilegio | Cada persona o servicio accede solo a lo que necesita, y si se puede, solo por el tiempo necesario |
| Asumir la brecha | Diseñar como si el atacante ya estuviera dentro: segmentar, cifrar y registrar todo |
El modelo de madurez de CISA (versión 2.0, 2023) lo organiza en cinco pilares: identidad, dispositivos, redes, aplicaciones y cargas de trabajo, y datos.
Cómo se ve en una empresa
- Acceso a aplicaciones por identidad, no por estar conectado a la VPN.
- Segmentación: el equipo de contabilidad no “ve” los servidores de desarrollo.
- Cuentas de servicio con permisos mínimos y secretos que rotan.
- Registro y monitoreo de cada acceso, para detectar comportamientos raros.
Ejemplo Demo: un proveedor necesita revisar un servidor de pruebas. En vez de darle VPN a toda la red, recibe acceso solo a ese servidor, con MFA, por dos semanas y con cada sesión registrada.
Malentendidos comunes
❌ “Zero Trust es un producto que se compra” → Es una estrategia. Los productos ayudan, pero se implementa por etapas, empezando por identidad y accesos críticos.
❌ “Significa desconfiar de los empleados” → Significa no darle a nadie acceso implícito. Protege también al empleado cuando le roban la cuenta.
Términos relacionados
- MFA - Verificación fuerte de identidad, base del modelo
- Phishing - Con Zero Trust, una cuenta robada llega a mucho menos
- Ransomware - La segmentación limita cuánto puede cifrar un ataque
- Microservicios - Cada servicio se autentica ante los demás, no se asume confianza interna
Recursos oficiales: