El modelo de seguridad basado en "el perímetro de la red como fortaleza" murió con el teletrabajo y el cloud. Hoy los empleados acceden desde casa, desde el móvil, desde redes desconocidas. El firewall del edificio ya no sirve. Zero Trust es la respuesta, y no necesitas ser una gran empresa para aplicarlo.
El problema con la seguridad tradicional
Durante décadas, la ciberseguridad corporativa funcionaba como un castillo con foso: una red interna protegida por un firewall perimetral. Todo lo que estaba dentro de la red era de confianza; lo de fuera, potencialmente peligroso.
Este modelo tiene un problema fundamental: si alguien entra, puede moverse libremente por toda la red interna. Y en el mundo actual, "alguien entra" ocurre constantemente: un empleado hace clic en un enlace de phishing, un proveedor con acceso VPN tiene sus credenciales comprometidas, un portátil de empresa se conecta desde una red wifi pública.
El movimiento lateral es el mayor riesgo: cuando un atacante entra a través de un empleado con permisos bajos, lo primero que hace es explorar la red en busca de sistemas más sensibles. Con el modelo perimetral tradicional, nada le detiene una vez dentro.
Qué es exactamente Zero Trust
Zero Trust ("confianza cero") es un modelo de seguridad basado en un principio radical: no confíes en nadie por defecto, ni dentro ni fuera de la red. Cada acceso debe verificarse continuamente, con el mínimo privilegio posible.
El concepto fue acuñado por John Kindervag de Forrester Research en 2010, pero no fue hasta que el teletrabajo masivo y el cloud hicieron obsoleto el perímetro cuando Zero Trust se convirtió en el estándar de facto de la ciberseguridad empresarial.
Los tres principios fundamentales
- Verificar siempre: autenticar y autorizar cada acceso, independientemente de dónde venga. No se asume confianza por estar en la red interna.
- Mínimo privilegio: cada usuario, dispositivo y aplicación solo tiene acceso a lo estrictamente necesario para su función. Nada más.
- Asumir la brecha: diseñar los sistemas asumiendo que el atacante ya está dentro. Segmentar, monitorizar y limitar el daño potencial.
Los 5 pilares de Zero Trust
Zero Trust no es un producto que se compra — es una arquitectura que se construye sobre cinco pilares:
El nuevo perímetro es la identidad. Autenticación multifactor (MFA) obligatoria, inicio de sesión único (SSO) y verificación continua del comportamiento del usuario.
Solo los dispositivos registrados y conformes con la política de seguridad de la empresa pueden acceder a los sistemas. Los dispositivos no gestionados son bloqueados.
Microsegmentación: dividir la red en zonas pequeñas con controles entre ellas. Si un segmento es comprometido, el atacante no puede moverse al resto.
Las aplicaciones verifican la identidad antes de conceder acceso, incluso si el usuario ya está en la red. Los datos se clasifican y se cifran según su sensibilidad.
Monitorización continua de todos los accesos y comportamientos. Los sistemas SIEM y UEBA detectan anomalías que ningún humano podría ver manualmente.
Cómo implementar Zero Trust en una pyme
La buena noticia: no necesitas un equipo de 50 personas ni un presupuesto millonario. Las herramientas para Zero Trust están ya integradas en los servicios que probablemente ya usáis. El truco está en activarlas y configurarlas correctamente.
- Paso 1 — MFA en todas las cuentas: la autenticación multifactor es el cambio con mayor impacto inmediato. El 99,9% de los ataques basados en credenciales comprometidas se neutralizan con MFA. Si usáis Microsoft 365, está incluido sin coste adicional.
- Paso 2 — Acceso condicional: en Microsoft Entra ID (antes Azure AD) o Google Workspace, configura políticas que bloqueen accesos desde dispositivos no gestionados o desde países fuera de vuestro ámbito de operación.
- Paso 3 — Inventario y gestión de dispositivos (MDM): saber qué dispositivos acceden a los sistemas corporativos y en qué estado están. Microsoft Intune o soluciones similares permiten aplicar políticas de seguridad y borrar remotamente equipos perdidos.
- Paso 4 — Mínimo privilegio en cuentas: auditar qué accesos tiene cada usuario y eliminar los que no sean necesarios. Los administradores IT no deberían usar su cuenta de admin para el trabajo diario.
- Paso 5 — Segmentación de red: separar la red de empleados de la de visitas/proveedores. Los sistemas críticos (servidor de ficheros, ERP) en una VLAN separada con acceso controlado.
- Paso 6 — Monitorización de alertas: activar las alertas de seguridad de Microsoft 365 o Google Workspace y designar a alguien responsable de revisarlas. Las brechas no detectadas son las más dañinas.
Prioridad máxima si solo haces una cosa: activa el MFA en todas las cuentas corporativas esta semana. No la próxima semana, esta. Es el control de seguridad con mejor ratio impacto/coste de toda la ciberseguridad.
Herramientas Zero Trust más usadas en pymes
Si ya usáis Microsoft 365, tenéis el 80% de las herramientas Zero Trust incluidas en vuestra suscripción:
- Microsoft Entra ID (ex Azure AD): gestión de identidades, MFA, acceso condicional, SSO
- Microsoft Intune: gestión de dispositivos (MDM/MAM), política de dispositivos conformes
- Microsoft Defender for Business: EDR (detección y respuesta en endpoints) para pymes
- Microsoft Purview: clasificación y protección de datos sensibles
- Microsoft Sentinel: SIEM cloud-native con detección de anomalías y respuesta automatizada
Para organizaciones que no usan M365, las alternativas más comunes son Okta (identidad), CrowdStrike (EDR), Zscaler (ZTNA) y Palo Alto Prisma Access.
El punto de partida más eficiente: si ya tenéis M365 Business Premium, tenéis acceso a Microsoft Defender for Business e Intune incluidos. Muchas pymes no los tienen activados. En Macro Media hacemos una revisión de seguridad para ver qué tienes disponible y qué está sin usar — a menudo la protección que necesitáis ya está pagada.
¿Cuánto de segura es tu empresa en este momento?
Hacemos una auditoría de seguridad express (2-3 horas) que analiza tu postura actual frente al modelo Zero Trust: identidad, dispositivos, red, datos y monitorización. Sin tecnicismos, con un plan de acción priorizado.