¿Qué es el modelo «Zero Trust»?

«Zero Trust» es un modelo de seguridad que elimina la confianza implícita en los usuarios, los dispositivos y las ubicaciones de la red, y considera que toda solicitud de acceso carece de confianza hasta que se demuestre lo contrario. En lugar de conceder un acceso amplio una vez dentro del perímetro de la red, «Zero Trust» verifica continuamente la identidad y el estado del dispositivo antes de conceder acceso con el mínimo privilegio a un recurso específico cada vez.

Puntos clave

• El modelo «Zero Trust» elimina por completo la confianza implícita basada en la ubicación en la red.
• Cada solicitud de acceso se verifica de forma continua, no solo una vez al iniciar sesión.
• El acceso se limita a una aplicación cada vez, con el principio de «privilegio mínimo» por defecto.
• ZTNA sustituye el acceso VPN genérico por un control específico por aplicación.
• La norma NIST SP 800-207 formalizó los principios de la arquitectura en 2020.

En esta página: Por qué es importante · Cómo funciona · Tipos · «Zero Trust» y Versa · Preguntas frecuentes

¿Por qué es importante el modelo «Zero Trust»?

La seguridad de red tradicional partía de la base de que todo lo que se encontraba dentro del perímetro —la LAN corporativa, el túnel VPN— era de confianza, y que la función del cortafuegos era mantener a los atacantes fuera, en el perímetro. Esa suposición dejó de ser válida cuando las aplicaciones se trasladaron a la nube y los empleados empezaron a trabajar desde cualquier lugar. Una vez que un atacante compromete una credencial en una red plana, nada impide el movimiento lateral hacia cualquier otro recurso al que pueda acceder esa red.

El modelo «Zero Trust» es importante porque, hoy en día, la mayoría de las filtraciones comienzan con una credencial comprometida, no con una intrusión en el perímetro. Al evaluar cada conexión en función de la identidad, la postura de seguridad y el contexto —en lugar de en qué segmento de la red se origina—, el modelo «Zero Trust» reduce el alcance de una filtración a la única aplicación para la que se autorizó la sesión y elimina la necesidad de conceder un acceso amplio a la red solo para acceder a una aplicación interna.

¿Qué es el modelo «Zero Trust»?

El modelo «Zero Trust» se basa en tres principios: verificar de forma explícita, aplicar el principio del mínimo privilegio y dar por hecho que se ha producido una brecha de seguridad. Cada solicitud se autentica utilizando todas las señales disponibles —identidad, estado del dispositivo, ubicación y contexto de comportamiento— en lugar de considerarla fiable por el mero hecho de que provenga del interior de un cortafuegos. El acceso se concede por sesión y se limita al recurso más pequeño que satisfaga la solicitud, no al segmento de red en el que se encuentra dicho recurso.

Desde el punto de vista arquitectónico, suele tratarse de un «punto de decisión de políticas» (PDP), que evalúa el contexto y emite una decisión, y de un «punto de aplicación de políticas» (PEP), que la ejecuta en el límite de la conexión. La norma NIST SP 800-207 formalizó este patrón, considerando la verificación como un proceso continuo en lugar de un control puntual: a un dispositivo que deje de cumplir los requisitos en mitad de una sesión se le puede revocar el acceso de forma inmediata, y no en el siguiente inicio de sesión.

Tipos de «Zero Trust»

El modelo «Zero Trust» se aplica en varias capas, que suelen adoptarse de forma secuencial. El acceso a la red «Zero Trust» (ZTNA) es el punto de entrada más habitual: sustituye a la VPN por un acceso para usuarios remotos verificado por aplicación, identidad y estado de seguridad. El modelo «Zero Trust» en la capa de red (microsegmentación) amplía este mismo principio al interior del centro de datos o del campus, dividiendo la red en pequeñas zonas controladas para que un dispositivo comprometido no pueda acceder a sistemas ajenos. El modelo «Zero Trust» centrado en los datos aplica el modelo a los propios datos, utilizando controles CASB y DLP para restringir lo que una sesión verificada puede realmente transferir.

«Zero Trust» y Versa

Versa Implementa el modelo «Zero Trust» como «Zero Trust Everywhere», con cuatro componentes bajo una única política gestionada: Versa Secure Private Access (VSPA) proporciona acceso ZTNA a los usuarios remotos; Versa Zero Trust – Premises lo amplía a los usuarios del campus y de las sucursales en el punto de conexión; Versa Secure SD-LAN dota a la red del campus de microsegmentación integrada; y Versa SASE Fabric proporciona los servicios de seguridad en la nube que lo integran todo. La pestaña «Seguridad» explica cómo se combinan estos elementos con SWG, CASB y DLP bajo un único motor de políticas.

Dentro de VSPA, el modelo «Zero Trust» se implementa mediante dos capas de políticas en « Versa » Concerto: las «Reglas de acceso seguro» constituyen el «Punto de decisión de políticas» (Policy Decision Point), que evalúa la identidad, el estado de seguridad, la ubicación geográfica y el contexto antes de establecer un túnel; las «Reglas de protección privada» constituyen el «Punto de aplicación de políticas» (Policy Enforcement Point), que regulan a qué aplicaciones puede acceder una sesión. La postura se evalúa de forma continua a través de un perfil de información del terminal, y las directrices de «denegación por defecto» de Versa—sin rutas amplias RFC 1918 ni reglas comodín— mantienen la capa de red con el mismo nivel de privilegios mínimos que la capa de identidad.

Preguntas frecuentes

¿Cuál es la diferencia entre el modelo «Zero Trust» y una VPN?

Una VPN concede un amplio acceso a nivel de red una vez que el usuario se autentica, por lo que una sesión comprometida suele poder acceder a cualquier elemento de dicha red. El modelo «Zero Trust» concede acceso por aplicación, vuelve a verificar continuamente la identidad y el estado de seguridad, y deniega el acceso a todo aquello que no esté autorizado explícitamente.

¿Qué es el Acceso a la Red de Confianza Cero (ZTNA)?

El modelo ZTNA es la variante más extendida de «Zero Trust»: conecta a un usuario verificado directamente con una aplicación autorizada sin conectar el dispositivo a la red general, y reevalúa el acceso de forma continua, en lugar de hacerlo una sola vez al iniciar sesión.

¿Quién creó el modelo «Zero Trust»?

El analista John Kindervag popularizó el término en Forrester en 2010, argumentando que la confianza en sí misma era la vulnerabilidad que la seguridad perimetral no podía solucionar. La norma NIST SP 800-207 formalizó los principios de esta arquitectura en 2020.

¿Significa «Zero Trust» que una organización no confía en sus propios empleados?

No. El modelo «Zero Trust» elimina la confianza implícita que confiere la ubicación en la red, no la confianza en las personas. Los empleados verificados que utilicen dispositivos que cumplan con los requisitos siguen teniendo acceso; la verificación simplemente se lleva a cabo cada vez, para cada recurso, en lugar de una sola vez en el perímetro.

¿Qué relación hay entre el modelo «Zero Trust» y el « SASE »?

SASE pone en práctica el modelo «Zero Trust» a gran escala: su servicio ZTNA aplica decisiones de acceso basadas en la identidad y el estado de seguridad, y sus puntos de aplicación, proporcionados en la nube, las aplican en cualquier lugar al que se conecte un usuario, no solo en un único perímetro.

Más información sobre el modelo «Zero Trust»

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el modelo «Zero Trust», te conviene echar un vistazo a lo siguiente.