Zero Trust: no es un producto, es un orden

Qué es Zero Trust y qué no

El modelo antiguo era sencillo: dentro de la red había confianza, fuera no. En medio había un cortafuegos, y quien lo cruzaba llegaba a todo. Eso funcionaba mientras todos estaban en la oficina y todos los sistemas en la misma sala de servidores.

Ninguna de las dos cosas es ya cierta. La gente está en todas partes, los sistemas están en tres proveedores y el cortafuegos rodea una red en la que el trabajo ya no vive. Zero Trust es la respuesta a ese desplazamiento y consiste en una regla: no confíes en ninguna conexión por el sitio del que viene. Cada petición se juzga por quién la hace, desde qué dispositivo y si eso cuadra en ese momento.

Lo que no es: un producto. No se puede comprar Zero Trust, igual que no se puede comprar seguridad. Cada fabricante tiene una caja —uno en identidad, otro en red, un tercero en el puesto— y cada caja cubre una parte. Quien compra una y cree haber acabado ha resuelto una capa y no tres.

Y no es todo o nada. La mayoría de las organizaciones en las que entramos ya tienen dos o tres piezas puestas sin llamarlo así. La pregunta no es si empiezas, sino por qué capa.

Empieza por la identidad, siempre

Si hay un sitio por el que empezar es este, y por dos razones que valen por separado.

La primera es que es la capa donde falla. En los incidentes que vemos, la entrada casi nunca es un agujero técnico en un cortafuegos. Es una cuenta: una contraseña filtrada en otro sitio, un empleado que pinchó en una página de acceso bien imitada, una cuenta de administrador de 2019 que nadie limpió.

La segunda es que es la capa más barata. Activar un segundo factor no cuesta inversión, solo constancia. Montar acceso condicional —quién puede qué, desde qué dispositivo y en qué situación— suele estar ya en la licencia que tienes.

Lo que tiene que estar, en concreto:

• Segundo factor en todo, y primero en las cuentas de administración. Esas merecen el esfuerzo de un atacante; la de un compañero de administración, no.
• Acceso condicional. Un inicio de sesión desde un equipo gestionado debe poder más que uno desde un portátil desconocido en un país donde no tienes a nadie.
• Las salidas como proceso. Una cuenta que sigue viva es una puerta abierta, y esa puerta se alcanza desde fuera. Esto no es tecnología sino un acuerdo con recursos humanos.
• Permisos de administrador que caducan. Alguien es administrador mientras administra algo, no de forma permanente porque una vez, hace tres años, le tocó.

Cómo montamos esa capa está en ciberseguridad.

Después el dispositivo, y solo entonces la red

La segunda capa es el dispositivo. Un inicio de sesión válido desde un equipo del que no sabes nada sigue siendo un riesgo, porque las credenciales pueden haber salido de ese equipo. Lo que quieres aquí es fácil de enunciar y más difícil de sostener: solo llegan al trabajo los dispositivos que conoces y que están al día.

Eso choca con la práctica, y forma parte del asunto. Siempre hay un externo que tiene que mirar mañana y un directivo con un móvil particular. La respuesta no es rebajar la regla sino construir una segunda vía: menos permisos, nada de archivos en local, solo navegador.

La tercera capa es la red, y va la última a propósito. La segmentación —dividir la red para que un equipo infectado no llegue a todo— es valiosa y es también lo que más trabajo cuesta. En organizaciones con producción o equipos médicos se adelanta, porque hay cosas en esa red que no puedes actualizar y por tanto tienes que aislar. En una organización de oficina, el mismo esfuerzo en la capa de identidad rinde más.

El orden identidad, dispositivo, red no es una ley. Es lo que quita más riesgo por euro en la mayoría de los entornos, y nos apartamos de él cuando el tuyo da motivos. Pero entonces decimos por qué.

Qué pasa con la VPN

Esta es la pregunta que sale en todas las conversaciones, así que aquí va la respuesta honesta.

Una VPN no encaja en el principio Zero Trust, porque hace justo lo que ya no quieres: mete a alguien dentro, y dentro hay confianza. Quien ha pasado la VPN está en la red y llega a todo lo que hay en ella.

Aun así rara vez aconsejamos quitarla de inmediato, y no es blandura. En casi todos los entornos hay algo colgado de la VPN que no es accesible de otra forma: una aplicación antigua, una máquina, un proveedor conectado así. Quitar eso es un proyecto en sí mismo, y hasta que ese proyecto acabe la VPN hace algo que necesitas.

Lo que sí puedes hacer ya es hacerla más pequeña. Quién entra, con qué segundo factor y dónde sale: no en toda la red sino en el puñado de sistemas para los que sirve. Es una tarde de trabajo y quita la mayor parte del riesgo sin romper nada.

Lo que cuesta en fricción

Los importes no aparecen en esta web. Lo que sí toca aquí es el otro precio, porque rara vez se nombra y es la razón por la que las implantaciones encallan.

Zero Trust significa que la gente tiene que confirmar cosas más a menudo, que un equipo que no está al día deja de funcionar, y que alguien que antes llegaba a todo ya no llega. Eso genera resistencia, y la resistencia es legítima: a corto plazo el trabajo se vuelve más engorroso.

Contra eso no ayuda explicar que lo exige la norma. Lo que ayuda es ajustar la regla para que no toque a quien trabaja con normalidad. Un segundo factor que pregunta una vez por semana en lugar de en cada acceso, un acceso condicional que en un equipo gestionado no pide nada extra: esa es la diferencia entre una medida que se queda y una que se apaga a las tres semanas porque la dirección tropezó con ella.

Y cuenta con una lista de excepciones. Siempre la hay, y merece estar escrita con un motivo y una fecha en vez de existir en silencio.