¿Qué es la ZTNA?

El acceso a la red de confianza cero (ZTNA) es un marco de seguridad que concede acceso a aplicaciones concretas únicamente tras verificar de forma continua la identidad del usuario, el estado del dispositivo y el contexto, en lugar de conceder un acceso general a la red en función del origen de la conexión, como hace una VPN tradicional. El ZTNA es el pilar del acceso a aplicaciones privadas de la arquitectura de seguridad de confianza cero ( SASE ) y de la estrategia de seguridad de la empresa (SSE).

Puntos clave

• ZTNA concede acceso por aplicación, en lugar de un acceso general a la red como el de una VPN.
• Las decisiones de acceso se basan en la identidad, el estado del dispositivo y el contexto, que se comprueban de forma continua.
• ZTNA sustituye la confianza implícita basada en la ubicación en la red por una verificación explícita.
• Es el pilar de acceso privado de las arquitecturas « SASE » y «Security Service Edge».
• Versa ofrece ZTNA a través de Secure Private Access (VSPA), gestionado en Concerto.

En esta página: Por qué es importante · Cómo funciona · Tipos · ZTNA y Versa · Preguntas frecuentes

¿Por qué es importante el ZTNA?

Las VPN tradicionales conectan al usuario directamente a la propia red corporativa, permitiendo que cualquier persona con credenciales válidas acceda a amplios sectores de la infraestructura interna. Ese modelo se adapta a un mundo en el que los empleados y las aplicaciones se encontraban detrás de un único perímetro. Sin embargo, deja de funcionar cuando las aplicaciones se trasladan a la nube y los usuarios se conectan desde cualquier lugar, ya que una sola credencial o dispositivo comprometido puede desplazarse lateralmente a través de una red plana —un patrón que subyace a muchas brechas de seguridad—.

ZTNA es importante porque elimina ese radio de impacto. En lugar de conectar a un usuario a la red, lo conecta directamente a una sola aplicación autorizada cada vez, tras verificar su identidad, su dispositivo y el contexto. Las aplicaciones permanecen invisibles para cualquiera que no esté explícitamente autorizado a acceder a ellas, lo que reduce la superficie de ataque y bloquea el reconocimiento y el movimiento lateral que permite el acceso VPN convencional. La confianza también se evalúa de forma continua, en lugar de concederse una sola vez al iniciar sesión y darse por sentada durante el resto de la sesión.

¿Qué es la ZTNA?

ZTNA gestiona todas las solicitudes de aplicaciones a través de un punto de decisión de políticas, en lugar de enrutar el tráfico a una red compartida. Cuando un usuario solicita una aplicación privada, el gestor evalúa la identidad (a través de LDAP, SAML u otro proveedor de identidad), el estado del dispositivo (nivel de parches, estado del terminal gestionado, software de seguridad) y el contexto (ubicación, hora, tipo de red) antes de crear una conexión directa, cifrada y específica para cada aplicación. La dirección de red de la aplicación nunca queda expuesta al dispositivo, y no se puede acceder a ninguna otra aplicación a través de esa sesión.

Esta evaluación es continua, no se trata de un control puntual: si el estado de un dispositivo cambia en mitad de una sesión —por ejemplo, si un agente de seguridad deja de enviar informes—, el acceso puede revocarse de inmediato. Las implementaciones de ZTNA suelen clasificarse en dos modelos de conexión: las basadas en agentes, en las que el software cliente del terminal inicia la conexión, y las sin cliente, en las que la aplicación se gestiona a través de un proxy inverso desde un navegador.

Tipos de ZTNA

Las implementaciones de ZTNA se clasifican según cómo se inicia la conexión. El ZTNA iniciado desde el terminal (basado en agente) ejecuta un cliente ligero que se autentica y establece un túnel de salida, específico para cada aplicación, hacia el broker; es compatible con la gama más amplia de tipos de aplicaciones, incluidos los protocolos que no son web, y puede informar directamente sobre el estado de seguridad del dispositivo. El ZTNA iniciado por el servicio (sin cliente) redirige el acceso a través de un navegador, con un conector en el lado de la aplicación que inicia la ruta de salida; resulta útil para contratistas o dispositivos no gestionados, aunque por lo general se limita a aplicaciones web.

Un tercer modelo, el ZTNA local, amplía esa misma aplicación de políticas basada en la identidad y el contexto a los usuarios que se encuentran físicamente en un campus o en la red de una sucursal, aplicando un acceso por aplicación con el mínimo privilegio, incluso cuando el dispositivo está conectado a la LAN corporativa.

ZTNA y Versa

Versa Ofrece ZTNA a través de «Versa » Secure Private Access (VSPA), el componente de acceso remoto de « Versa » SSE dentro de « Versa » Unified SASE. VSPA conecta a los usuarios con aplicaciones privadas alojadas en las instalaciones o en la nube pública aplicando un acceso basado en la identidad, en lugar de las listas de acceso estáticas que utiliza un concentrador VPN, y es compatible tanto con el cliente « Versa »SASE como con la conectividad sin cliente. Las sesiones pasan por tres etapas —registro (autenticación mediante LDAP, SAML, RADIUS o el directorio Versa , con autenticación multifactorial), conexión (selección de puerta de enlace y detección de redes de confianza) y aplicación de políticas (ZTNA más filtrado tipo SWG)—, tal y como se detalla en la configuración de extremo a extremo de Concerto SASE .

Las organizaciones que deseen abandonar las VPN heredadas pueden seguir la guía de migración de VPN a ZTNA de Versa, que abarca la elaboración de un inventario de los casos de uso de las VPN, la migración de un grupo de usuarios cada vez y la ampliación a entorno de producción. Versa también amplía la implementación de ZTNA en las propias instalaciones a través de Versa Zero Trust – Premises, con orientación continua sobre la configuración en nuevos artículos a medida que se amplía el conjunto de funciones de VSPA.

Preguntas frecuentes

¿Cuál es la diferencia entre ZTNA y una VPN?

Una VPN integra el dispositivo que se conecta en la red corporativa general, lo que le otorga acceso implícito a todo lo que se pueda acceder desde allí. Por el contrario, el ZTNA establece una conexión directa y específica para cada aplicación tras verificar la identidad, el estado del dispositivo y el contexto; la aplicación permanece invisible para el resto de usuarios, lo que limita drásticamente el movimiento lateral.

¿Necesito un programa de cliente para utilizar ZTNA?

Depende del modelo de implementación. El ZTNA basado en agente instala un cliente ligero que se encarga de la autenticación y del túnel por aplicación, y es compatible con la mayor variedad de tipos de aplicaciones. Por su parte, el ZTNA sin cliente redirige el acceso a través de un navegador, lo que resulta adecuado para dispositivos no gestionados o BYOD, aunque, por lo general, solo cubre aplicaciones web.

¿Cómo verifica ZTNA la confianza de forma continua?

En lugar de conceder el acceso una sola vez al iniciar sesión, el ZTNA reevalúa indicadores como el estado del dispositivo, el comportamiento de la sesión y el contexto a lo largo de toda la conexión. Si se produce un cambio en alguno de estos indicadores —por ejemplo, si el agente de seguridad de un dispositivo deja de enviar información—, el servidor intermediario puede revocar el acceso de inmediato, en lugar de esperar al siguiente evento de autenticación.

¿Forma parte ZTNA de « SASE »?

Sí. El ZTNA es uno de los servicios fundamentales integrados en las arquitecturas « SASE » y «Security Service Edge», junto con la pasarela web segura, el agente de seguridad para el acceso a la nube y la prevención de pérdida de datos, todos ellos gestionados mediante un único motor de políticas cercano al usuario, en lugar de implementarse como productos puntuales independientes.

¿El ZTNA elimina la necesidad de un cortafuegos?

No. El ZTNA regula el acceso a aplicaciones privadas específicas; no sustituye a medidas de protección más amplias, como los cortafuegos de última generación, la prevención de intrusiones o la inspección de amenazas procedentes de Internet. En la práctica, el ZTNA se implementa junto con esos controles como una de las capas de una pila convergente de seguridad de acceso ( SASE , SSE).

Más información sobre ZTNA

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre ZTNA, te conviene echar un vistazo a lo siguiente.