El zero trust empieza por la identidad
Qué significa de verdad "nunca confíes, verifica siempre" para usuarios, dispositivos y cuentas de servicio.
"Zero trust" (confianza cero) es uno de los términos más gastados de nuestro sector. Los fabricantes lo ponen en cortafuegos, VPN y paneles de control. Pero zero trust no es un producto. Es un principio de arquitectura, bien descrito en NIST SP 800-207 (se abre en una pestaña nueva): ninguna confianza implícita por estar en una red determinada. Cada solicitud de acceso se evalúa por sí misma.
Si la red ya no decide en quién se confía, otra cosa tiene que hacerlo. Esa otra cosa es la identidad.
De "estar dentro" a "quién, desde qué y cómo"
El modelo tradicional era un castillo: murallas duras y un interior blando. Una vez dentro de la red interna o de la VPN, podías llegar a la mayoría de los sistemas. A los grupos de ransomware les encanta este modelo, porque un portátil víctima de phishing les da el castillo entero.
En un modelo zero trust, cada solicitud responde a tres preguntas:
- ¿Quién pide acceso? Un usuario o una identidad de carga de trabajo autenticados de forma robusta.
- ¿Desde qué? Un dispositivo conocido, gestionado y en buen estado.
- ¿Para qué y cuánto? Solo el acceso que necesita esta tarea, durante el tiempo que la necesita.
Cinco piezas de identidad
1. Una identidad de referencia
Cada persona tiene una sola identidad, alimentada por Recursos Humanos u otra fuente de referencia, con procesos automáticos de altas, cambios y bajas. Las cuentas huérfanas de personas que se fueron hace años son el enemigo silencioso del zero trust.
2. Autenticación resistente al phishing
Si la identidad es el nuevo perímetro, no puede ser vulnerable al phishing. Eso significa passkeys o llaves de seguridad FIDO2, al menos para administradores y accesos remotos. Los códigos por SMS no bastan.
3. Acceso condicional
El motor de políticas combina señales: riesgo del usuario, cumplimiento del dispositivo, ubicación, sensibilidad de la aplicación y hora del día. Un portátil gestionado y en buen estado accede sin fricción; un dispositivo desconocido obtiene un acceso limitado o una verificación adicional.
4. Mínimo privilegio y administración "justo a tiempo"
Nadie debería ser administrador del dominio de forma permanente. Los roles privilegiados se solicitan para una tarea, se aprueban, tienen caducidad y quedan registrados. Los privilegios permanentes son el tesoro que buscan los atacantes.
5. Identidades no humanas
Las cuentas de servicio, las claves de API, los certificados y los agentes de IA ya superan en número a las personas en la mayoría de las organizaciones. Necesitan un responsable, credenciales de corta duración, rotación y el mismo principio de mínimo privilegio. Una clave de API olvidada con acceso total es una puerta del castillo abierta.
Por dónde empezar
- Haz inventario de identidades, humanas y no humanas, y elimina las que no tienen responsable.
- Exige MFA resistente al phishing a administradores y accesos remotos.
- Pon primero tu aplicación más crítica detrás del acceso condicional y aprende de ello.
- Sustituye los derechos de administrador permanentes por elevación "justo a tiempo".
- Registra cada decisión de acceso y revisa de verdad los registros.
El zero trust es un camino de muchos pasos pequeños, no un gran proyecto de golpe. Cada paso que hace que el acceso dependa de una identidad verificada y no de la ubicación en la red es un paso en la dirección correcta.