Durante décadas, la seguridad corporativa funcionó así: dentro de la red = confiable. El firewall era la muralla. Si alguien estaba adentro, se asumía que tenía razón para estar ahí.
Ese modelo funcionaba cuando todos los empleados trabajaban desde la oficina, las aplicaciones vivían en servidores internos y los atacantes tenían que perforar el perímetro físicamente. Hoy, con trabajo remoto, SaaS, cloud y dispositivos personales, el perímetro no existe. Y si el perímetro no existe, confiar en él es un error de seguridad fatal.
Zero Trust es la respuesta a eso.
El principio fundamental de Zero Trust
"Nunca confíes. Siempre verifica." (Never trust. Always verify.)
En un modelo Zero Trust, el hecho de que alguien esté dentro de la red corporativa no le da acceso a nada automáticamente. Cada acceso a cada recurso se verifica en el momento — identidad, dispositivo, contexto, comportamiento — y se otorgan solo los permisos mínimos necesarios.
Los 5 pilares de Zero Trust (NIST 800-207)
El NIST define Zero Trust alrededor de cinco áreas de control. No es necesario implementar todo a la vez — la madurez es progresiva:
La identidad es el nuevo perímetro. Antes de dar acceso a cualquier recurso, verifica quién es el usuario con MFA, analiza el contexto (ubicación, hora, dispositivo) y aplica acceso condicional. Privilegios mínimos siempre.
No todos los dispositivos son confiables aunque tengan credenciales válidas. Un dispositivo sin EDR, sin parches recientes o con malware activo no debería acceder a recursos críticos aunque el usuario sea legítimo.
Segmentar la red para que cada servicio solo pueda hablar con lo que necesita. Microsegmentación: en vez de una red plana, cada workload tiene su propio segmento con reglas explícitas.
Las aplicaciones no deben confiar entre sí por defecto. Autenticación de servicio a servicio, APIs protegidas, monitoreo de llamadas entre microservicios. El modelo de confianza implícita entre apps es un vector enorme de ataque.
Clasificar los datos por sensibilidad y aplicar controles acordes. Cifrado en reposo y en tránsito, DLP (Data Loss Prevention), monitoreo de acceso a datos sensibles. El objetivo final de un atacante siempre son los datos.
Zero Trust no es un producto
Este es el error más común: comprar una solución que se llama "Zero Trust" y pensar que ya lo implementaste. No funciona así.
Zero Trust es una arquitectura y una filosofía. Herramientas como Microsoft Entra ID, Zscaler, Palo Alto Prisma, CrowdStrike Falcon Identity — todas son habilitadores. Pero sin cambiar los procesos, las políticas de acceso y la cultura organizacional, la tecnología sola no logra nada.
Cómo empezar: la hoja de ruta práctica
No empieces por la tecnología. Empieza por el mapa:
- Inventario de activos: ¿Qué datos tienes? ¿Dónde viven? ¿Quién los accede y desde dónde?
- Identidad primero: Implementa MFA universal y revisión de privilegios. Es el 80/20 de Zero Trust — máximo impacto con menor complejidad.
- Visibilidad antes que bloqueo: Antes de restringir, entiende los flujos de acceso actuales con logs. Bloquear sin entender rompe producción.
- Microsegmentación gradual: Empieza por los activos más críticos (AD, backups, datos financieros) y segméntalos del resto.
- Monitoreo continuo: Zero Trust requiere observabilidad permanente. Sin logs y alertas, no puedes verificar nada.
Zero Trust en AWS
AWS tiene componentes nativos que facilitan Zero Trust:
- IAM + SCP: privilegios mínimos, roles temporales, sin usuarios permanentes con credenciales estáticas.
- VPC Security Groups + NACLs: segmentación de red a nivel de infraestructura.
- AWS Verified Access: acceso seguro a aplicaciones internas sin VPN, validando identidad y postura del dispositivo en cada solicitud.
- GuardDuty + Security Hub: monitoreo continuo de comportamientos anómalos.
- AWS Config: verifica continuamente que la configuración de los recursos cumple las políticas de seguridad.
¿Estás planeando una migración a Zero Trust? Cuéntame el contexto en hola@byronlainez.click y conversamos.