Principios de Zero Trust: nunca confíe, verifique siempre

Zero Trust es un modelo de seguridad basado en el principio de que ningún usuario, dispositivo o red debe considerarse confiable de forma predeterminada, aunque se encuentre dentro del perímetro corporativo. La seguridad tradicional suponía que todo lo que estaba dentro del firewall era seguro, pero los ataques modernos demuestran constantemente que esa suposición es incorrecta. Zero Trust sustituye la confianza implícita por una verificación explícita y continua para cada solicitud de acceso.

Zero Trust se basa en tres principios fundamentales. Verificar explícitamente significa que cada solicitud debe autenticarse y autorizarse utilizando todas las señales disponibles. Usar el principio de mínimo privilegio limita el acceso únicamente a lo necesario para realizar la tarea. Asumir que se ha producido una intrusión significa diseñar los sistemas como si los atacantes ya estuvieran dentro, de modo que las defensas se centren en limitar los daños y detectar rápidamente el movimiento lateral.

El modelo tradicional de castillo y foso protegía el perímetro de la red con firewalls y VPN, pero concedía una confianza amplia una vez dentro. Las amenazas modernas —cargas de trabajo en la nube, trabajadores remotos, aplicaciones SaaS y amenazas internas— erosionan el significado de «dentro del perímetro». Una sola credencial obtenida mediante phishing puede proporcionar a los atacantes acceso interno completo. Zero Trust elimina la suposición de que lo interno equivale a confiable.

En Zero Trust, la identidad se convierte en el plano de control principal. En lugar de confiar en la ubicación de red (dirección IP, VLAN), cada solicitud debe presentar una identidad verificada: usuario, dispositivo, carga de trabajo o servicio. Los proveedores de identidad (IdP), como Azure AD u Okta, evalúan continuamente las señales: quién realiza la solicitud, desde qué dispositivo, desde qué ubicación y con qué nivel de riesgo.

Zero Trust exige que se verifiquen los dispositivos además de los usuarios. Un dispositivo conforme debe cumplir los requisitos de seguridad: parches actualizados, cifrado de disco habilitado, agente EDR en ejecución y ausencia de jailbreak o rooting. Las plataformas de Mobile Device Management (MDM) y Endpoint Detection and Response (EDR) proporcionan estos datos de estado al motor de políticas en el momento del acceso.

Las VPN tradicionales conceden acceso a nivel de red: una vez conectados, los usuarios pueden acceder a muchos recursos. Zero Trust lo sustituye por acceso a nivel de recurso: cada aplicación o servicio concede acceso individualmente según la identidad, el estado del dispositivo y el contexto. Esto se consigue mediante productos de Software-Defined Perimeters (SDP) y Zero Trust Network Access (ZTNA), que hacen que los recursos sean invisibles hasta que se concede explícitamente el acceso.

Asumir que se ha producido una intrusión significa diseñar y operar como si los atacantes ya hubieran penetrado en su entorno. Esta postura impulsa prácticas clave: cifrar todo el tráfico interno para impedir que se observe el movimiento lateral, registrarlo todo para realizar investigaciones retrospectivas, implementar la microsegmentación para limitar el alcance de los daños y llevar a cabo una supervisión continua en lugar de auditorías puntuales.

El principio de mínimo privilegio en Zero Trust va más allá de RBAC. El acceso just-in-time (JIT) concede permisos elevados únicamente cuando son necesarios y los revoca automáticamente después de un límite de tiempo. El just-enough-access (JEA) limita las acciones administrativas a comandos específicos. Estos enfoques reducen drásticamente la ventana de exposición si una cuenta privilegiada se ve comprometida, ya que las credenciales caducan rápidamente y el alcance es limitado.

Zero Trust sustituye autenticarse una vez y confiar para siempre por la verificación continua. Después de la autenticación inicial, el motor de políticas supervisa las señales durante toda la sesión: descargas de datos inusuales, acceso desde una nueva ubicación geográfica, actividad fuera del horario laboral o cambios en el estado del dispositivo. Si el riesgo aumenta durante la sesión, el sistema puede elevar el nivel de autenticación (solicitar MFA de nuevo) o finalizar la sesión por completo.

El motor de políticas de Zero Trust es el punto de decisión que evalúa las solicitudes de acceso. Recibe señales de los proveedores de identidad, la gestión de dispositivos, la inteligencia sobre amenazas y el análisis de comportamiento, y después aplica la política para permitir, denegar o solicitar una comprobación adicional en cada solicitud. Las plataformas modernas en la nube implementan esto mediante Conditional Access (Azure AD), Access Context Manager (Google BeyondCorp) y gateways ZTNA.

Los entornos de nube son el ámbito natural de Zero Trust porque no existe un perímetro físico que defender. Cada llamada a una API, comunicación entre servicios y solicitud de acceso de usuario puede controlarse mediante políticas de IAM de la nube, mallas de servicios (como Istio con TLS mutuo) y soluciones ZTNA nativas de la nube. El modelo de responsabilidad compartida ya parte de la premisa de que no se puede confiar en la infraestructura subyacente; Zero Trust extiende esta idea a los usuarios y las cargas de trabajo.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido lo siguiente: Zero Trust sustituye la confianza perimetral implícita por una verificación explícita continua; sus tres pilares son verificar explícitamente, usar el principio de mínimo privilegio y asumir que se ha producido una intrusión; y la identidad se convierte en el plano de control principal, sustituyendo la ubicación de red como límite de confianza. A continuación, exploraremos la microsegmentación y los perímetros definidos por software que aplican Zero Trust en la capa de red.