Acceso a la red de confianza cero: Acabar con la confianza implícita en la ciberseguridad

ZTNA sustituye el modelo "confiar pero verificar" por estrictos controles de acceso para fuerzas de trabajo híbridas. Descubra cómo este cambio de paradigma minimiza las infracciones, favorece el cumplimiento de normativas y se adapta a entornos centrados en la nube.

Los modelos de seguridad tradicionales se desmoronan a medida que los datos se mueven por las nubes y los empleados trabajan desde cualquier lugar. Zero Trust Network Access (ZTNA) invierte el modelo: nadie es de confianza por defecto. En lugar de abrir las compuertas de la red como hacen las VPN, ZTNA aísla las aplicaciones, restringe el movimiento lateral y aplica los principios del mínimo privilegio. Este marco no sólo está de moda, sino que es una necesidad en la era moderna.

¿Qué es el Acceso a la Red de Confianza Cero (ZTNA)?

Zero Trust se basa en el principio de que ninguna entidad -usuario, dispositivo o conexión- es de confianza intrínseca, ni siquiera después de la autenticación.

ZTNA sigue una regla sencilla: "Denegar por defecto. Verifique antes de conceder el acceso." Considera a todos los usuarios, dispositivos y conexiones como amenazas, independientemente de su ubicación. Esto contrasta con las VPN que autentican a los usuarios una vez y permiten un amplio acceso a la red. Microsegmentación de ZTNA crea perímetros definidos por software en torno a aplicaciones específicas que reducen las superficies de ataque.

Cómo funciona ZTNA

Imagine una cámara acorazada de un banco en la que cada caja de seguridad requiere una llave. Lo mismo ocurre con la ZTNA, que sólo permite el acceso a los recursos especificados. Sin embargo, los atacantes no pueden pivotar lateralmente una vez que rompen una cuenta. Por este nivel de control, sectores como el financiero y el sanitario utilizan ZTNA para proteger datos sensibles.

ZTNA vs. VPN: Las principales diferencias

La ZTNA y las VPN difieren fundamentalmente en su enfoque de la seguridad. Tras la autenticación inicial, las VPN conceden un amplio acceso a la red, situando a los usuarios dentro del perímetro de la red que presupone confianza y aumenta el riesgo de movimiento lateral por parte de los atacantes. 

Sin embargo, ZTNA aplica controles de acceso a nivel de aplicación que validan cada solicitud para garantizar que los usuarios sólo acceden a los recursos autorizados. Esto reduce la superficie de ataque, limita la exposición de datos no autorizados y mejora el rendimiento al proporcionar un acceso directo y seguro a las aplicaciones sin tráfico de retorno. ZTNA también bloquea el movimiento lateral si una cuenta se ve comprometida a través de su microsegmentación.

Por qué fallan las VPN y las herramientas heredadas

Las VPN originales estaban pensadas para servidores locales y empleados de oficina. Autentifican a los usuarios, pero permiten un acceso sin restricciones a la red, lo que deja al descubierto todos los recursos conectados. Las credenciales de VPN poco seguras son un blanco fácil para los atacantes. El ZTNA da un giro a este modelo y solo permite el acceso a las aplicaciones autorizadas —nunca a toda la red—, lo que pone de relieve las ventajas del modelo «zero trust».

El rendimiento las distingue aún más. Las VPN dirigen el tráfico a través de concentradores centralizados, lo que provoca latencia. Los puntos de presencia cercanos conectan a los usuarios directamente con las aplicaciones a través de ZTNA nativa de la nube. Esto reduce el retardo para equipos de todo el mundo. ¿Por qué conformarse con una herramienta que redirige el tráfico e ignora el estado de los dispositivos cuando ZTNA ofrece velocidad y precisión?

Principales ventajas de la ZTNA

La microsegmentación en ZTNA mantiene el ransomware fuera de las zonas aisladas. Por ejemplo, una cuenta de RRHH comprometida no puede acceder a los sistemas financieros. Esta contención simplifica las auditorías y reduce los riesgos de cumplimiento para los sectores sujetos a normativas estrictas como GDPR o HIPAA.

Las amenazas interiores también se reducen. Los empleados deshonestos sólo ven lo que su función les permite, y ZTNA registra cada intento de acceso. El riesgo para terceros también disminuye: los proveedores obtienen un acceso temporal y limitado en lugar de claves VPN. Incluso las aplicaciones internas no son visibles para usuarios no autorizados.

• Controles de seguridad más estrictos - Elimina el acceso amplio, minimizando las superficies de ataque. La microsegmentación impide que los atacantes se desplacen lateralmente dentro de la red.
• Cumplimiento mejorado - Aplica estrictos controles de autenticación y acceso, respaldando el cumplimiento de GDPR, HIPAA y PCI DSS.
• Mejor rendimiento - Proporciona acceso directo y seguro a las aplicaciones sin enrutar el tráfico a través de servidores centrales, lo que reduce la latencia.
• Reducción de riesgos internos y de terceros - Limita el acceso en función de las funciones, evitando que empleados o proveedores no autorizados vean recursos innecesarios.

ZTNA 2.0 y colaboración industrial

La IA impulsa la detección de amenazas y las decisiones de acceso para ZTNA. Los esfuerzos de normalización continuaron en taller 2024 del NIST con 3GPP y O-RAN. ¿Su objetivo? Integrar la Arquitectura de Confianza Cero en las redes móviles 5G/6G para la seguridad de las infraestructuras de telecomunicaciones.

Esta colaboración marca el paso de ZTNA más allá de las redes corporativas. Autenticación del smartphone mediante principios Z-Wave antes de acceder a las aplicaciones de la empresa, sin necesidad de VPN. Estas integraciones reconfigurarán la conectividad segura en IoT y edge computing.

Cómo aplicar eficazmente la ZTNA

1. Evalúe su infraestructura informática actual

• Identificar las aplicaciones críticas, las funciones de los usuarios y las necesidades de cumplimiento.
• Determine si la ZTNA basada en agentes o en servicios es la mejor para lo que necesita

2. Definir políticas de acceso basadas en roles

• Empleados frente a contratistas: ¿Quién tiene acceso a qué?
• Restringir el acceso en función del estado del dispositivo, la hora y la ubicación

3. Elegir el modelo adecuado de implantación de la ZTNA

• ZTNA basada en agentes: Visibilidad profunda del dispositivo y seguridad estricta
• ZTNA basada en servicios: Conectores ligeros en la nube para la flexibilidad BYOD
• Modelo híbrido: Combina seguridad y facilidad de uso

Pruebe a fondo las políticas antes de su implantación. Forme a los formadores: explique por qué ZTNA protege los datos de la empresa y los dispositivos de los empleados. La supervisión permanente y los ajustes de las políticas garantizan la adaptabilidad.

Elegir el mejor modelo de ZTNA para su organización

1. ZTNA basada en agentes (para dispositivos gestionados y cumplimiento estricto)

La ZTNA basada en agentes requiere la instalación de software de seguridad en los dispositivos gestionados por la empresa. Garantiza una seguridad estricta comprobando la salud del dispositivo, como las actualizaciones del sistema operativo, el estado del antivirus y el cumplimiento de las políticas de TI antes de conceder el acceso. Este método es ideal para organizaciones con estrictos requisitos normativos, ya que proporciona una gran visibilidad y control sobre los puntos finales que acceden a la red.

2. ZTNA basada en servicios (para usuarios BYOD y de la nube)

La ZTNA basada en servicios no requiere la instalación de software en los dispositivos de los usuarios. En su lugar, utiliza conectores de red ligeros para proporcionar un acceso seguro, por lo que es una gran opción para dispositivos no gestionados (BYOD) y entornos basados en la nube. Aunque ofrece flexibilidad para contratistas y trabajadores remotos, no aplica el mismo nivel de comprobaciones de seguridad que ZTNA basado en agentes. Esto lo hace más adecuado para las empresas que priorizan la facilidad de acceso sobre el cumplimiento estricto de los dispositivos.

3. ZTNA híbrida (para flexibilidad y escalabilidad)

La ZTNA híbrida combina enfoques basados en agentes y en servicios para ofrecer un equilibrio entre seguridad y accesibilidad. Las organizaciones pueden aplicar controles de seguridad más estrictos a los dispositivos gestionados al tiempo que permiten un acceso flexible a los dispositivos personales y a los usuarios externos. Este modelo es ideal para empresas que necesitan dar soporte a una combinación de empleados, contratistas y fuerzas de trabajo basadas en la nube sin comprometer la seguridad o la experiencia del usuario.

Papel estratégico de la ZTNA en la seguridad por capas

ZTNA no es una solución independiente y requiere seguridad por capas-asociarse con cortafuegos, protección de puntos finales y cifrado para una mayor defensa. Por ejemplo, ZTNA bloquea el acceso no autorizado, pero la seguridad de puntos finales detiene el malware en un dispositivo comprometido.

Las capas de seguridad física también son importantes. Restrinja el acceso a la sala de servidores mientras ZTNA patrulla los puntos de entrada digitales. La formación periódica de los empleados reduce las tasas de éxito del phishing. Por qué utilizar una sola herramienta cuando las capas superpuestas crean redundancia?

Protocolos de autenticación y confianza cero

La autenticación multifactor (MFA) y el inicio de sesión único (SSO) refuerzan ZTNA. MFA garantiza que las contraseñas robadas no puedan entrar en las cuentas por sí solas. Por su parte, el SSO simplifica el acceso al tiempo que mantiene un control estricto: los usuarios inician sesión una vez pero solo utilizan las aplicaciones autorizadas.

Los protocolos de autenticación como OAuth 2.0 automatizan la verificación y eliminan el error humano. Los análisis de comportamiento añaden otra capa: la detección de inicios de sesión a medianoche desde nuevas ubicaciones. Juntos, hacen que las políticas de ZTNA sean dinámicas y resistentes.

Casos de uso de la ZTNA más allá del acceso remoto

En las fusiones y adquisiciones, la ZTNA es flexible. La integración de sistemas informáticos tras una fusión suele presentar vulnerabilidades. ZTNA simplifica el acceso seguro de los nuevos equipos sin necesidad de fusionar la red. Los contratistas externos sólo tienen acceso a las herramientas específicas del proyecto y, por tanto, no están expuestos a datos sensibles.

También bloquea las aplicaciones críticas de la vista del público. Y a diferencia de los recursos expuestos a VPN, las aplicaciones ofuscadas por ZTNA evadieron los análisis de Internet, lo que detuvo el ransomware. La arquitectura nativa en la nube elimina los cuellos de botella de hardware VPN para fuerzas de trabajo híbridas: ZTNA se escala fácilmente.

No es sólo otra palabra de moda en ciberseguridad: ZTNA es una evolución. Desechar la confianza implícita protege las redes fragmentadas, el trabajo remoto y los ataques sofisticados. La implantación requiere una planificación cuidadosa, pero el retorno de la inversión incluye menos infracciones, un cumplimiento más sencillo y una escalabilidad preparada para el futuro. A medida que el NIST y los líderes del sector perfeccionen las normas, la ZTNA apuntalará la seguridad móvil y en la nube de próxima generación. 

• Acerca de
• Últimas publicaciones

Ayan Bhuiya

Jefe de turno, experto en infraestructura y seguridad del correo electrónico en PowerDMARC

Con más de 13 años de experiencia en ciberseguridad, Ayan Bhuiya está especializado en infraestructuras, continuidad empresarial, gestión de riesgos y seguridad del correo electrónico. Actualmente es Jefe de Turno en PowerDMARC. Posee un Diploma de Postgrado en Redes y Seguridad y cuenta con un historial probado de liderazgo en iniciativas estratégicas de seguridad para mitigar las amenazas y garantizar la resiliencia de las empresas.

Últimos comentarios de Ayan Bhuiya (ver todos)

• Seis formas en que una filtración de datos personales puede poner en peligro la seguridad de tu empresa - 1 de abril de 2026
• Directiva NIS2: qué es, requisitos, plazos y cómo cumplirla - 26 de marzo de 2026
• Essential Eight frente a SMB 1001: una comparación completa para la ciberseguridad moderna en Australia - 12 de febrero de 2026