Principios de Zero Trust y modelo BeyondCorp

Zero Trust es un marco de seguridad basado en el principio «nunca confíe, verifique siempre». A diferencia de la seguridad basada en el perímetro, que confía en todo lo que está dentro de la red, Zero Trust exige la verificación continua de cada usuario, dispositivo y aplicación, independientemente de su ubicación.

La seguridad perimetral tradicional suponía que el interior era confiable. Este modelo dejó de funcionar porque:

• Los servicios en la nube están fuera del perímetro
• El trabajo remoto sitúa a los empleados en cualquier lugar
• El movimiento lateral dentro de las redes de confianza es trivialmente fácil
• Más del 70 % de las brechas implican amenazas internas o credenciales robadas

Google publicó BeyondCorp en 2014 y describió cómo eliminó la VPN y basó el acceso en la verificación del dispositivo y del usuario, en lugar de en la ubicación de la red. Cualquier empleado de Google puede trabajar desde cualquier red: el acceso se determina mediante la identidad y el estado del dispositivo, no mediante la dirección IP.

Los cinco pilares:

1. Verifique explícitamente — autentique a cada usuario y dispositivo
2. Use el mínimo privilegio — conceda únicamente el acceso necesario
3. Suponga que se ha producido una brecha — diseñe como si la red ya estuviera comprometida
4. Inspeccione todo el tráfico — no confíe implícitamente en el tráfico este-oeste
5. Valide continuamente — vuelva a verificar durante las sesiones

En Zero Trust, la identidad sustituye a la ubicación de la red como principal factor de control de acceso. Los controles de identidad sólidos se vuelven fundamentales:

• MFA resistente al phishing (FIDO2)
• Proveedor de identidad centralizado (IdP)
• Políticas de acceso condicional basadas en señales de riesgo
• Gestión de identidades privilegiadas (PIM)

Zero Trust requiere validar el estado del dispositivo antes de conceder el acceso:

• ¿Está el dispositivo inscrito en MDM?
• ¿Está el sistema operativo actualizado con los parches de seguridad?
• ¿Está habilitado el cifrado del disco?
• ¿Se está ejecutando un agente de EDR?
• ¿El dispositivo tiene jailbreak o root?

El cumplimiento del dispositivo se comprueba en cada solicitud de acceso.

NIST SP 800-207 es el estándar de arquitectura Zero Trust del Gobierno de Estados Unidos. Define siete principios de ZTA y describe escenarios de implementación. Todas las agencias federales deben implementar ZTA conforme a la Orden Ejecutiva 14028 (2021).

Una VPN tradicional concede un amplio acceso a la red. Zero Trust Network Access (ZTNA) concede acceso por aplicación basándose en la identidad y el estado del dispositivo:

• VPN: confiar en la red → acceder a todo lo interno
• ZTNA: verificar la identidad y el dispositivo → acceder únicamente a aplicaciones específicas

Implementación progresiva de ZTA:

1. Inventariar usuarios, dispositivos, aplicaciones y datos
2. Establecer una identidad sólida (MFA, IdP)
3. Implementar comprobaciones de cumplimiento de dispositivos (MDM)
4. Segmentar las aplicaciones (proxy ZTNA)
5. Supervisar y verificar continuamente

Los entornos de nube se alinean naturalmente con Zero Trust:

• No hay un perímetro local que proteger: todo está «fuera»
• Las políticas de IAM funcionan como el firewall
• La malla de servicios (Istio, Consul) aplica mTLS basado en identidad entre los servicios
• CSPM supervisa continuamente el incumplimiento de las políticas

Principales plataformas de Zero Trust:

• Google BeyondCorp Enterprise
• Zscaler Private Access
• Cloudflare Access
• Okta + Okta Device Trust
• Microsoft Azure AD Conditional Access

¿Qué principio fundamental de Zero Trust exige que las decisiones de acceso se basen en la identidad y el estado del dispositivo, en lugar de en la ubicación de la red?

Zero Trust: «nunca confíe, verifique siempre». Sustituye la seguridad perimetral por la verificación de la identidad y del dispositivo en cada solicitud de acceso. BeyondCorp de Google demostró que es viable a gran escala. NIST SP 800-207 proporciona el estándar. Implementación: un IdP sólido, MFA, cumplimiento de dispositivos mediante MDM y acceso por aplicación con ZTNA. Los entornos de nube se alinean naturalmente con los principios de Zero Trust.