El modelo de confianza cero parte de la premisa de que ningún usuario ni dispositivo es confiable por defecto. Cada solicitud de acceso se verifica. La identidad, el estado del dispositivo, la ubicación y el comportamiento influyen en la decisión. El modelo anterior confiaba en todo lo que se encontraba dentro del perímetro de la red. Una vez dentro, se tenía acceso. El modelo de confianza cero elimina el perímetro. No existe un interior ni un exterior; solo hay lo verificado y lo no verificado.

El modelo surgió porque el perímetro se disolvió. El teletrabajo, los servicios en la nube y los dispositivos personales hicieron que el límite de la red perdiera sentido. Los empleados acceden a los datos de la empresa desde casa, aeropuertos y cafeterías. Los contratistas se conectan desde sus propios portátiles. El cortafuegos que antes lo protegía todo ahora no protege casi nada. La confianza cero sustituye el perímetro por la identidad. Cada solicitud se autentica, autoriza y cifra. La microsegmentación limita el movimiento lateral. El principio de mínimo privilegio limita las acciones de cada cuenta. La monitorización continua detecta anomalías. La brecha de seguridad de SolarWinds en 2020 demostró el problema. Los atacantes utilizaron credenciales legítimas y actualizaciones de software de confianza para moverse a través de redes que asumían la confianza interna. La confianza cero no habría detenido la vulneración inicial, pero sí podría haber limitado su propagación. La implementación es gradual. La mayoría de las organizaciones comienzan con la identidad y avanzan hacia la microsegmentación. La confianza cero total es un proceso continuo, no una compra.

Principios de confianza cero

• Verificar explícitamente: autenticar y autorizar cada solicitud.
• Privilegio mínimo: otorgar acceso mínimo necesario
• Asuma la brecha: diseñe como si los atacantes ya estuvieran dentro.
• Microsegmentación: limita el movimiento lateral.
• Monitorización continua: detecta anomalías en tiempo real.

El modelo de confianza cero no es un producto, sino una arquitectura. Las herramientas importan menos que la mentalidad.