«Nunca confíes, siempre verifica»: algo mucho más fácil de decir que de hacer. Todos hemos escuchado este popular dicho de los especialistas en ciberseguridad, que nos insta a ser siempre escépticos antes de actuar sin pensar. Sin embargo, el principio en sí puede ser un poco más complejo de lo que sugiere el eslogan. La filosofía de confianza cero ha pasado de ser una filosofía de seguridad emergente a un elemento central de la mayoría de las estrategias de ciberseguridad empresariales, las políticas gubernamentales y las arquitecturas de seguridad.
Sin embargo, sigue existiendo una distinción importante entre adoptar la Confianza Cero como estrategia e implementar realmente una Arquitectura de Red de Confianza Cero. Para muchas organizaciones, la Confianza Cero consiste en un conjunto de tecnologías de seguridad, que incluyen autenticación multifactor, segmentación de red y, quizás, una plataforma ZTNA para empleados remotos. Si bien todos estos controles son valiosos, su simple implementación no crea una arquitectura de Confianza Cero resiliente.
Lo primero que hay que entender es que la mayoría de los problemas de Zero Trust se derivan de la complejidad arquitectónica. Las grandes empresas pueden gestionar miles de usuarios, dispositivos, aplicaciones y cargas de trabajo en centros de datos, nubes públicas, sucursales y entornos de tecnología operativa. Esto implica que hay mucho terreno que cubrir en el panorama actual, lo que dificulta enormemente la adopción de Zero Trust.
Lamentablemente, las aplicaciones antiguas pueden depender de relaciones de red no documentadas, y los sistemas críticos para el negocio no pueden simplemente desconectarse para rediseñar sus modelos de acceso. El resultado es una brecha en la implementación. Por lo tanto, si bien el principio es simple, la transformación no lo es.
Hoy analizaremos qué significa realmente la arquitectura de red de confianza cero (Zero Trust Network Architecture), sus principios fundamentales y cómo abordar su implementación práctica. También exploraremos los errores comunes y cómo se ve este marco en un entorno empresarial maduro en 2026. Por ahora, veamos los conceptos básicos.
¿Qué es la arquitectura de red de confianza cero?
El Instituto Nacional de Estándares y Tecnología (NIST) define la Confianza Cero (Zero Trust) como un enfoque que elimina la confianza implícita basada en la ubicación de la red o la propiedad de los activos, y se centra en la protección de usuarios, activos y recursos. También describe una Arquitectura de Confianza Cero (ZTA) como una arquitectura de ciberseguridad empresarial basada en los principios de confianza cero, diseñada para prevenir filtraciones de datos y limitar el movimiento lateral interno. Un modelo de seguridad de Confianza Cero parte de la premisa de que existe un atacante en el entorno y que un entorno propiedad de la empresa no es diferente, ni más confiable, que cualquier entorno ajeno a la empresa.
En términos más sencillos, una arquitectura de red de confianza cero (ZTNA) es un enfoque de seguridad que requiere acceso autorizado en cada ocasión, sin confiar automáticamente en un usuario, dispositivo o carga de trabajo simplemente por estar dentro de la red corporativa. Cada solicitud de acceso debe autenticarse, autorizarse y validarse continuamente. Esto representa un cambio fundamental con respecto a la seguridad perimetral tradicional.
Las redes empresariales tradicionales solían diseñarse bajo un modelo de perímetro cerrado, donde se asumía que todo lo que se encontraba dentro de la red era seguro y confiable. Si bien un cortafuegos protegía el perímetro, una vez que un usuario o dispositivo ingresaba a la red interna de confianza, podía acceder fácilmente a los recursos internos. Este modelo tenía más sentido cuando los empleados trabajaban principalmente en oficinas corporativas y las aplicaciones se concentraban en centros de datos propiedad de la empresa. Sin embargo, las empresas modernas son radicalmente diferentes.
Hoy en día, los empleados trabajan de forma remota, las aplicaciones se distribuyen en plataformas SaaS y nubes públicas, los contratistas pueden requerir acceso temporal y los dispositivos móviles y no administrados pueden interactuar con los recursos corporativos. Esto da paso a un panorama completamente nuevo de amenazas sofisticadas.
También es importante señalar que, si bien los términos se usan a menudo indistintamente, Zero Trust y ZTNA generalmente describen ámbitos diferentes. Zero Trust es el modelo de seguridad más amplio que abarca identidad, dispositivos, aplicaciones, cargas de trabajo, redes y datos, mientras que ZTNA es simplemente un componente específico dentro de ese modelo. Controla el acceso a las aplicaciones y los recursos en función de la identidad y el contexto, en lugar de proporcionar un acceso general a nivel de red. Una forma útil de entenderlo es: Zero Trust es la estrategia de seguridad, y ZTNA es uno de los mecanismos utilizados para implementarla. Ahora, veamos los principios fundamentales de ZTNA.
Los cinco principios fundamentales de la arquitectura de red de confianza cero
Si bien las empresas pueden implementar Zero Trust de diferentes maneras según sus plataformas y necesidades, la mayoría de los programas Zero Trust maduros tienden a girar en torno a estos principios consistentes:
1. Verificación explícita: Cada solicitud de acceso debe evaluarse utilizando señales relevantes en lugar de confiar automáticamente en ella. La autenticación puede considerar la identidad, el estado de la autenticación multifactor (MFA), el estado del dispositivo, la ubicación, la aplicación, la carga de trabajo, el tiempo y la sensibilidad de los recursos.
Por ejemplo, un empleado que accede a una aplicación empresarial de bajo riesgo desde un portátil corporativo gestionado puede obtener acceso normal. Sin embargo, si ese mismo empleado intenta acceder a un sistema financiero sensible desde un dispositivo no gestionado, podría requerir autenticación adicional o se le podría denegar el acceso. El objetivo no es dificultar innecesariamente el acceso, sino que la confianza sea condicional y se base en pruebas.
2. Aplicar el principio de mínimo privilegio: Los usuarios, dispositivos y cargas de trabajo solo deben tener el acceso necesario para una tarea específica. Esto implica reemplazar los permisos amplios y permanentes por políticas más restrictivas siempre que sea posible. El principio de mínimo privilegio cobra especial importancia tras una filtración de credenciales.
En el Informe de Investigaciones de Violaciones de Datos (DBIR) de Verizon , el uso de credenciales comprometidas fue un vector de acceso inicial en el 22 % de las violaciones analizadas. Si las credenciales robadas otorgan automáticamente un amplio acceso interno, el atacante hereda los privilegios de la víctima. Si el acceso está estrictamente restringido, el mismo ataque tiene un alcance potencial menor.
3. Partir de la premisa de una brecha de seguridad: El modelo de confianza cero parte de una premisa incómoda pero realista: un atacante podría estar ya dentro del sistema. Esto cambia el objetivo de seguridad, pasando de «mantener a los atacantes fuera» a «impedir que se muevan libremente». Para ello se requiere visibilidad, segmentación, controles de identidad rigurosos y detección rápida.
4. Utilice la microsegmentación: La microsegmentación divide un entorno en límites de seguridad granulares y controla la comunicación entre cargas de trabajo, aplicaciones y sistemas. Mientras que la segmentación tradicional separa una red de producción de una red de desarrollo, la microsegmentación va un paso más allá al controlar la comunicación entre cargas de trabajo o componentes de aplicaciones individuales. Esto resulta especialmente útil para limitar el tráfico o la comunicación bidireccional entre sistemas dentro del entorno.
5. Validación continua: La autenticación no debe considerarse un evento puntual. El perfil de riesgo de un usuario puede cambiar inmediatamente después de que comience una sesión. Su dispositivo podría verse comprometido, su comportamiento podría volverse anómalo o el recurso al que intenta acceder podría clasificarse repentinamente como de alto riesgo. Un modelo Zero Trust maduro puede responder a estas condiciones cambiantes con autenticación adicional, permisos restringidos o la finalización de la sesión.
Estos son los pasos fundamentales que debe seguir para garantizar un cumplimiento efectivo de la política de Confianza Cero en su empresa. Pero, ¿por qué deberíamos preocuparnos tanto por esto hoy en día?
Por qué la confianza cero es más importante que nunca en 2026
El entorno laboral actual no es el mismo que hace unos años. Con tecnologías cada vez más avanzadas, la revolución de la IA y el aumento del trabajo remoto, la superficie de ataque se ha expandido más allá del alcance de las medidas de seguridad tradicionales. El modelo de Confianza Cero cobra mayor relevancia simplemente porque los supuestos que sustentan la seguridad perimetral son cada vez menos realistas. Estas son algunas de las principales razones por las que la Confianza Cero debería tener prioridad en 2026:
El perímetro de la empresa ha desaparecido.
Hoy en día, su negocio puede gestionarse prácticamente desde cualquier lugar del mundo. La infraestructura en la nube, el SaaS, el teletrabajo, los dispositivos móviles, el acceso de terceros y las aplicaciones distribuidas han hecho que definir los límites tradicionales de la red corporativa sea cada vez más difícil. El NIST también ha identificado explícitamente a los usuarios remotos, el uso de dispositivos personales en el trabajo (BYOD) y los activos basados en la nube fuera de los límites de la empresa como factores clave que impulsan el modelo de Confianza Cero. En definitiva, el punto de conexión de su dispositivo se está convirtiendo en un punto débil de seguridad para los ciberdelincuentes.
Los atacantes no se detienen en el acceso inicial.
Tras obtener acceso a una cuenta o dispositivo, los ciberdelincuentes rara vez abandonan el ataque. En la mayoría de los casos, el acceso inicial es solo el comienzo de una intrusión. Si los sistemas internos confían implícitamente entre sí, los atacantes pueden ampliar su acceso a otros sistemas y acceder a datos más valiosos. La microsegmentación y el principio de mínimo privilegio abordan este problema dificultando el movimiento lateral.
Los ataques a la cadena de suministro ponen en tela de juicio la idea del software "confiable".
El ataque a SolarWinds sigue siendo un claro ejemplo de la vulnerabilidad de cualquier sector. Cuando los atacantes comprometieron la cadena de suministro de software asociada a SolarWinds Orion, se distribuyó código malicioso a través de un mecanismo de software que, en principio, era de confianza. Sin embargo, la lección es más amplia. El hecho de que una organización confíe en un usuario, una aplicación, un proveedor o un componente de software no garantiza su fiabilidad. Con la arquitectura de Confianza Cero, su empresa se ve obligada a reevaluar constantemente el acceso de sus proveedores.
La regulación impulsa el crecimiento.
El enfoque de Confianza Cero también está pasando de ser una recomendación a una política. En Estados Unidos,la Orden Ejecutiva 14028 impulsó las iniciativas federales de Confianza Cero, mientras que la M-22-09 de la OMB estableció objetivos específicos de Confianza Cero en torno a la identidad, los dispositivos, las redes, las aplicaciones y las cargas de trabajo, y los datos. El Modelo de Madurez de Confianza Cero de CISA organiza de manera similar el proceso en torno a cinco pilares: identidad, dispositivos, redes, aplicaciones y cargas de trabajo, y datos, con el apoyo de la visibilidad y el análisis, la automatización y la orquestación, y la gobernanza. Para las empresas multinacionales, esto significa que la Confianza Cero debe considerarse cada vez más junto con los requisitos regulatorios, de gestión de riesgos y de continuidad del negocio, en lugar de tratarse únicamente como una iniciativa de seguridad de la red.
Los ataques asistidos por IA aumentan el coste de la confianza implícita.
Los ciberataques evolucionan a la par de la IA. Hoy en día, la IA se puede utilizar para automatizar el reconocimiento, generar contenido convincente de phishing e ingeniería social, adaptar tácticas y operar a una escala y velocidad difíciles de lograr manualmente. El enfoque de validación continua de Zero Trust se adapta mejor a este entorno de amenazas que los modelos basados en perímetros. En un entorno donde los atacantes pueden moverse y adaptarse con mayor rapidez, la validación continua de la confianza puede ayudar a las organizaciones a reducir las oportunidades que brindan las credenciales comprometidas y las conexiones de confianza vulneradas.
Ahora que sabemos por qué los principios de Confianza Cero están ganando terreno, echemos un vistazo a algunos de los componentes prácticos clave que encontrarías en un plan ZTNA eficaz.
Arquitectura de red de confianza cero en la práctica: componentes clave
La implementación práctica de Zero Trust se centra en la creación de un ecosistema en lugar de un solo producto. Estos son algunos de los elementos clave de ese ecosistema que hacen de ZTNA un enfoque práctico para su empresa.
1. Gestión de identidades y accesos: La identidad es fundamental. Las organizaciones deben establecer una autenticación sólida mediante tecnologías MFA y SSO, mientras que la gestión de accesos privilegiados (PAM) se mantiene para proteger las cuentas administrativas. Las cuentas de servicio también merecen la misma atención. Si bien las identidades de máquina pueden tener amplios privilegios, suelen ser menos visibles que los usuarios humanos. Esto plantea la siguiente pregunta: ¿Puede su organización identificar todas las identidades que pueden acceder a un recurso crítico y explicar el motivo de dicho acceso? Si la respuesta es no, los controles de red por sí solos no resolverán el problema.
2. Confianza en los dispositivos y estado de los endpoints: Consideremos a un empleado legítimo que utiliza un dispositivo comprometido o sin actualizar. Naturalmente, no debería tener automáticamente el mismo acceso que un empleado que utiliza un endpoint seguro y gestionado. La seguridad de los dispositivos de su empresa incluye el estado de las actualizaciones y la gestión, los controles de seguridad de los endpoints, el cifrado y otros indicadores. Aquí es donde la seguridad de los endpoints se convierte en una parte importante de la arquitectura de confianza cero.
3. Microsegmentación: La microsegmentación debe aplicarse a nivel de carga de trabajo siempre que sea posible. Consideremos una aplicación de servicios financieros con una capa web, una capa de aplicación y una capa de base de datos. En lugar de permitir una conectividad interna amplia, las políticas pueden definir con precisión qué componentes pueden comunicarse. Si un componente se ve comprometido, la segmentación puede ayudar a impedir que el atacante acceda libremente a sistemas no relacionados. Sin embargo, la segmentación debe basarse en las dependencias reales de la aplicación para evitar que los equipos de seguridad bloqueen el tráfico empresarial legítimo.
4. Puertas de enlace ZTNA y perímetro definido por software: Las VPN tradicionales suelen conectar a los usuarios a una red. Sin embargo, ZTNA adopta un enfoque diferente al conectar al usuario con la aplicación específica que tiene autorización para usar. Esto reduce la visibilidad innecesaria de la red y puede limitar la superficie de ataque expuesta a los usuarios remotos. Las plataformas ZTNA modernas también pueden combinar la identidad, el estado del dispositivo y las políticas para determinar si una aplicación debe ser accesible.
5. Monitoreo y análisis continuos: La filosofía Zero Trust requiere visibilidad. Los equipos de seguridad deben comprender la actividad de autenticación, el tráfico de red, el comportamiento de los endpoints y el acceso a las aplicaciones. Esta información puede alimentar plataformas SIEM, NDR, XDR y otras plataformas de análisis de seguridad para identificar comportamientos inusuales y facilitar la respuesta automatizada.
6. Cifrado en todas partes: Si la ubicación de la red ya no se considera intrínsecamente confiable, el cifrado cobra cada vez más importancia. Las organizaciones deben considerar el cifrado tanto para el tráfico norte-sur que entra o sale de sus entornos como para el tráfico este-oeste que se mueve entre cargas de trabajo internas. El objetivo siempre debe ser preservar la confidencialidad e integridad, independientemente de dónde se produzca la comunicación.
Errores comunes en la implementación de Zero Trust
A pesar de contar con varios componentes para diferentes tareas, su plan de Confianza Cero puede presentar puntos débiles. Sin embargo, es importante comprender que los problemas más complejos de Confianza Cero suelen ser de índole organizativa, más que tecnológica. Estos son algunos de los desafíos que podría encontrar en su implementación de la Estrategia de Confianza Cero (ZTNA):
Tratar la confianza cero como un producto
No existe una solución única de Zero Trust que simplemente se pueda instalar para solucionar todos los problemas. Una plataforma ZTNA no puede compensar una gestión de identidades deficiente. La microsegmentación no puede compensar los puntos finales no gestionados. La protección de puntos finales no puede compensar los privilegios excesivos. Su solución Zero Trust es solo la arquitectura fundamental que conecta estas capacidades.
Comenzando con la red
Los controles de red son importantes, pero la identidad debe abordarse desde el principio. Si una organización tiene miles de permisos excesivos y controles de autenticación débiles, simplemente añadir más segmentación puede generar complejidad sin solucionar el problema subyacente.
Ignorar el tráfico de este a oeste
Las defensas perimetrales siguen siendo importantes, pero no ofrecen protección suficiente una vez que el atacante las ha traspasado. Por lo tanto, el tráfico interno merece la misma atención estratégica que el tráfico externo a internet.
Segmentación excesiva y demasiado rápida
La microsegmentación puede resultar operativamente problemática si se implementa sin comprender las dependencias entre las aplicaciones. Antes de crear cientos o miles de políticas, las organizaciones deben mapear cómo se comunican realmente las aplicaciones. Un enfoque más eficaz consiste en comenzar con los activos de mayor valor y ampliar progresivamente la segmentación.
Sacrificando la experiencia del usuario
Los controles de seguridad que interrumpen constantemente a los usuarios legítimos pueden fomentar la búsqueda de soluciones alternativas. Por lo tanto, el modelo de Confianza Cero debe diseñarse en torno a una fricción adecuada al nivel de riesgo. Las actividades de bajo riesgo deben seguir siendo sencillas, mientras que las de alto riesgo deben contar con controles más estrictos.
Si bien todas estas son preocupaciones apremiantes, los equipos de seguridad son responsables de garantizar que su plan de Confianza Cero cubra todos los aspectos de la manera adecuada. Entonces, ¿cómo se construye el marco correcto desde el principio?
Construyendo una hoja de ruta de confianza cero: un enfoque práctico
Una implementación exitosa de Zero Trust suele ser progresiva, no revolucionaria. Seguir estos pasos estructurados le proporcionará un enfoque práctico para implementar su plan Zero Trust con eficiencia y precisión.
Fase 1: Establecer la Fundación de Identidad
Comience siempre con la autenticación multifactor (MFA), los controles de acceso privilegiado y la gestión centralizada de identidades. Al mismo tiempo, establezca un inventario fiable de usuarios, cuentas de servicio y dispositivos.
Aquí, usted pregunta: "¿Puede mi organización identificar de manera confiable quién y qué está solicitando acceso?"
Fase 2: Ganar visibilidad
Antes de segmentar agresivamente la red, intente comprenderla. Mapee las aplicaciones, las cargas de trabajo, las dependencias y los flujos de tráfico. Identifique los datos confidenciales y los servicios empresariales críticos. El análisis de red también puede ayudar a establecer una base de referencia de la actividad normal.
Esto plantea la pregunta: "¿Entiende el equipo de seguridad qué sistemas se comunican y por qué?".
Fase 3: Segmentación estratégica
Comience con la macrosegmentación, donde los beneficios de seguridad son más evidentes: por ejemplo, separando los entornos de desarrollo, producción y tecnología operativa. Posteriormente, puede introducir la microsegmentación en torno a las aplicaciones y cargas de trabajo de alto valor.
Esto responde a la pregunta de "¿Qué sistemas generarían el mayor impacto empresarial si se vieran comprometidos?".
Fase 4: Transición de VPN a ZTNA
Priorice los casos de uso de acceso remoto donde el acceso general a nivel de red sea difícil de justificar. Avance hacia el acceso específico de la aplicación, comenzando con los usuarios externos y aplicando progresivamente los mismos principios al acceso interno. Zero Trust Guard de Sangfor, por ejemplo, proporciona capacidades ZTNA para aplicaciones alojadas en centros de datos empresariales y nubes públicas, mediante autenticación adaptativa, controles de acceso y evaluación del estado del dispositivo.
En esta etapa se plantea la cuestión de si todos los usuarios remotos necesitan acceso a la red, o si solo necesitan acceso a aplicaciones específicas.
Fase 5: Introducción de la validación continua
La etapa final va más allá de las políticas estáticas. Se utilizan análisis de comportamiento, señales de los puntos finales y telemetría de red para que las decisiones de acceso sean más dinámicas. Una vez implementado, Zero Trust se convierte en un modelo operativo, en lugar de un proyecto con fecha de finalización.
En última instancia, la planificación de Zero Trust se basa en la aplicación de las normas, la capacitación y la coherencia; sin embargo, también depende en gran medida de la arquitectura elegida. Sangfor aborda Zero Trust como una arquitectura de seguridad integrada que abarca la red, los puntos finales, el acceso y la visibilidad de las amenazas.
Cómo Sangfor respalda la arquitectura de red de confianza cero
En el perímetro de la red, Sangfor Athena NGFW proporciona capacidades de firewall de última generación, incluyendo inspección de tráfico, detección de amenazas y aplicación de políticas. Esto proporciona la base de seguridad perimetral que necesitan las arquitecturas de confianza cero, ofreciendo inspección de tráfico con reconocimiento de aplicaciones, integración de inteligencia de amenazas y aplicación de políticas en el límite de la red.
Sangfor aNET proporciona virtualización de red que permite un control y segmentación de red granular. Esto resulta especialmente relevante cuando las organizaciones aplican principios de confianza cero al tráfico este-oeste en cargas de trabajo virtualizadas y entornos de infraestructura hiperconvergente (HCI).
A través de la plataforma Athena Endpoint Protection, la confianza en los dispositivos es el foco principal. El estado y el comportamiento de los endpoints son elementos esenciales para determinar si se debe otorgar acceso a un recurso sensible a una identidad legítima. Por ello, la monitorización continua del estado de los dispositivos, la detección de amenazas conductuales y las capacidades EPP/EDR de Sangfor respaldan la evaluación de la confianza en los endpoints de Zero Trust como parte de un marco de decisión de acceso más amplio.
Además, Athena NDR de Sangfor ofrece capacidades de detección y respuesta de red que respaldan el principio de "asumir la intrusión" mediante el análisis del comportamiento de la red y la identificación de actividades sospechosas. Esto ayuda a detectar movimientos laterales, patrones de acceso anómalos y amenazas que eluden los controles perimetrales.
La cartera de soluciones Zero Trust de Sangfor también permite un acceso seguro a aplicaciones específicas mediante Sangfor Zero Trust Guard , lo que garantiza un acceso adaptable a aplicaciones privadas alojadas en entornos de nube pública y centros de datos empresariales. Por su parte, Sangfor Athena SASE incorpora ZTNA junto con otras capacidades de seguridad y redes. Este enfoque por capas es importante porque las decisiones de Zero Trust rara vez dependen de una sola señal.
La integración de estos dominios de seguridad puede ayudar a las organizaciones a reducir la fragmentación de políticas y mejorar la visibilidad en entornos distribuidos. Esto convierte a Zero Trust en una disciplina de arquitectura y gobernanza continua, en lugar de una implementación tecnológica puntual. En definitiva, los programas Zero Trust más sólidos parten de las prioridades empresariales, pero siempre vuelven a la reevaluación constante. Al fin y al cabo, evolucionar en un entorno de TI dinámico exige una mentalidad innovadora.
Preguntas frecuentes
Un enfoque de seguridad de red que elimina la confianza implícita basada en la ubicación de la red. Esto garantiza que cada solicitud de acceso se evalúe en función de la identidad, el estado del dispositivo, la sensibilidad de los recursos y el contexto de seguridad.
Zero Trust es un modelo de ciberseguridad integral que abarca identidades, dispositivos, redes, aplicaciones, cargas de trabajo y datos. El acceso a la red Zero Trust es una funcionalidad específica que proporciona acceso controlado, basado en la identidad y el contexto, a aplicaciones y recursos.
Verificar explícitamente, aplicar el principio de mínimo privilegio, asumir la violación de seguridad, utilizar la segmentación para limitar el movimiento lateral y validar continuamente el acceso.
Comience con la seguridad de la identidad y los dispositivos, luego establezca visibilidad de las aplicaciones, las cargas de trabajo y el tráfico antes de introducir progresivamente la segmentación y el ZTNA. Un enfoque por fases reduce las interrupciones operativas y permite a los equipos de seguridad priorizar los sistemas con mayor riesgo para el negocio.
La microsegmentación crea límites de seguridad granulares entre cargas de trabajo, aplicaciones o sistemas, y controla la comunicación entre ellos. Esto ayuda a limitar el movimiento lateral cuando un atacante compromete una cuenta, un dispositivo o una carga de trabajo.
Una VPN tradicional otorga a un usuario autenticado acceso a una red o segmento de red. En cambio, ZTNA proporciona acceso a aplicaciones específicas en función de la identidad, el estado del dispositivo y las políticas, lo que reduce la exposición innecesaria a la red.
