El modelo de seguridad perimetral está muerto. Las organizaciones empresariales que se aferran a VPNs y firewalls como defensa principal operan bajo un supuesto fundamentalmente roto: que todo lo que está dentro de la red es confiable.
El modelo perimetral está muerto
Durante veinte años, la seguridad empresarial asumió una cáscara dura y un centro blando: un firewall y una VPN en el borde, confianza implícita para todo lo que ya estuviera dentro. Ese supuesto se rompe en el momento en que la laptop de un empleado se ve comprometida, las credenciales de un proveedor se filtran, o un contratista se conecta desde un dispositivo no gestionado — es decir, constantemente. Zero-trust reemplaza el supuesto por una regla: cada solicitud se autentica, autoriza y cifra, sin importar de dónde provenga.
Lo que zero-trust realmente requiere
Zero-trust no es un producto que se compra. Son tres compromisos arquitectónicos: control de acceso basado en identidad que trata a cada usuario y cuenta de servicio individualmente; microsegmentación que detiene el movimiento lateral entre sistemas, para que una brecha en una aplicación no se convierta en una brecha de toda la red; y verificación continua, donde una sesión se revalida contra el contexto —postura del dispositivo, ubicación, comportamiento— en vez de confiar en ella durante toda su vigencia tras un único inicio de sesión.
Una secuencia de implementación realista
Las organizaciones que intentan convertirlo todo de una vez se estancan durante un año. La secuencia que funciona: inventariar cada identidad y su acceso actual, ya que la mayoría de las empresas se sorprende con lo que encuentra; exigir autenticación multifactor en todas partes, sin excepciones para sistemas heredados; segmentar la red comenzando por los sistemas de mayor valor —datos financieros, registros de clientes, infraestructura de producción— no por los sistemas más fáciles de migrar; y solo entonces extender el modelo hacia afuera.
Qué medir
Mida el tiempo medio para detectar movimiento lateral, el porcentaje de accesos otorgados por rol frente a los aprobados manualmente, y el número de cuentas privilegiadas permanentes (siempre activas) — este último número debería tender a cero. Un programa zero-trust que no esté reduciendo el privilegio permanente no es realmente zero-trust; es una etiqueta de marketing sobre el mismo modelo perimetral.