John Kindervag, creador del modelo, propone eliminar la confianza implícita en los sistemas digitales y concentrar la protección en los activos críticos de las empresas. Su metodología establece cinco pasos para implementar esta arquitectura de ciberseguridad.
La confianza implícita es una de las debilidades que Zero Trust busca eliminar de los sistemas digitales. Su principio es sencillo: ningún usuario, dispositivo, aplicación o conexión debe considerarse confiable por defecto, incluso si opera dentro de la red corporativa.
John Kindervag, creador del modelo y Chief Evangelist de Illumio, desarrolló el concepto en 2010, cuando trabajaba en Forrester. Su planteamiento cuestionó una premisa de la seguridad tradicional: asumir que todo lo que se encuentra dentro del perímetro de una organización es seguro.
El modelo ganó relevancia en 2021, cuando el gobierno de Estados Unidos estableció, mediante una orden ejecutiva, medidas para modernizar la ciberseguridad federal, entre ellas la adopción de una arquitectura Zero Trust.
Para Kindervag, esa decisión contribuyó a convertir el concepto en un movimiento global y a extender su adopción en organizaciones que necesitan proteger entornos digitales cada vez más distribuidos.
Proteger lo crítico, no toda la red
Uno de los principales aportes de Zero Trust consiste en cambiar el enfoque de protección. En lugar de intentar defender toda la superficie de ataque, que crece con la incorporación de aplicaciones, servicios en la nube, dispositivos y usuarios remotos, el modelo propone identificar una superficie de protección alrededor de los activos que realmente necesitan resguardo.
Kindervag utiliza como analogía el trabajo del Servicio Secreto de Estados Unidos: para proteger al presidente, no es necesario asegurar una ciudad entera, sino establecer controles específicos alrededor de la persona protegida y regular los accesos.
En las empresas, esto implica identificar los datos, aplicaciones, sistemas y servicios que sostienen la operación del negocio, para después establecer controles adecuados a sus necesidades.
La premisa es denegar el acceso por defecto y permitir únicamente las conexiones autorizadas. Para determinarlo, las organizaciones deben responder preguntas concretas: quién necesita acceder, a qué recurso, cuándo, desde dónde, por qué y bajo qué condiciones.
El propósito no se limita a impedir que un atacante ingrese. También busca evitar que, si consigue vulnerar un sistema, pueda desplazarse libremente por la red y comprometer otros activos.
La segmentación y el aislamiento de los recursos permiten reducir ese movimiento lateral y limitar el alcance de un incidente de seguridad.
Inteligencia artificial y seguridad adaptativa
La evolución de Zero Trust apunta hacia entornos de protección más automatizados y adaptativos. El mapeo de los flujos de comunicación, la segmentación y el análisis de telemetría permiten conocer cómo interactúan los sistemas y ajustar las políticas de acceso y protección.
En este escenario, la inteligencia artificial puede ayudar a analizar grandes volúmenes de información, identificar comportamientos anómalos y mejorar la toma de decisiones de seguridad. Su efectividad depende de la calidad de los datos, las políticas implementadas y la supervisión de los procesos.
Kindervag también plantea el concepto de seguridad antifrágil: un entorno que no solo resiste los ataques, sino que puede fortalecerse a partir de la información obtenida de los incidentes.
Bajo esta perspectiva, la seguridad deja de ser una configuración estática y se convierte en un proceso de mejora continua, en el que las organizaciones ajustan sus controles conforme cambian las amenazas y las necesidades del negocio.
Los cinco pasos para implementar Zero Trust
Kindervag recomienda evitar que la implementación comience con la compra de herramientas. Primero, las empresas deben definir qué necesitan proteger y cómo funcionan las comunicaciones relacionadas con esos activos.
Su metodología contempla cinco pasos:
- Definir la superficie de protección. Identificar los datos, aplicaciones y sistemas críticos para el negocio.
- Mapear los flujos de comunicación. Documentar cómo se conectan los usuarios, las aplicaciones, los servicios y los dispositivos que interactúan con esos recursos.
- Diseñar la arquitectura. Establecer los controles técnicos necesarios para proteger la superficie identificada.
- Definir las políticas. Determinar quién puede acceder, a qué recursos y bajo qué condiciones.
- Monitorear y mantener el entorno. Revisar el comportamiento de las conexiones, detectar desviaciones y ajustar los controles.
La adopción puede avanzar por etapas. Las empresas pueden comenzar con superficies de aprendizaje, continuar con superficies de práctica y, una vez que hayan adquirido experiencia, proteger las llamadas joyas de la corona: los activos de mayor valor para la organización.
Este enfoque permite implementar Zero Trust de forma gradual, sin convertirlo necesariamente en un proyecto de transformación que deba ejecutarse de una sola vez.
¿Qué oportunidades abre Zero Trust para los integradores?
Para los integradores de tecnología, Zero Trust representa una oportunidad de negocio que va más allá de la venta de soluciones de seguridad. Su implementación requiere diagnóstico, diseño de arquitectura, segmentación, definición de políticas y monitoreo continuo.
Entre los servicios que pueden ofrecer se encuentran:
- Evaluación de riesgos y activos críticos: identificar qué información y sistemas requieren mayor protección.
- Diseño de arquitecturas Zero Trust: establecer controles de acceso y segmentación acordes con la infraestructura del cliente.
- Implementación de segmentación: limitar las comunicaciones entre sistemas y reducir el movimiento lateral de posibles atacantes.
- Monitoreo y ajuste de políticas: revisar los flujos de comunicación y adaptar las reglas de seguridad.
- Integración de automatización e inteligencia artificial: incorporar capacidades de análisis para detectar comportamientos anómalos y apoyar la respuesta a incidentes.
Para los canales de distribución, el valor está en combinar tecnología con servicios profesionales que ayuden al cliente a definir prioridades, implementar controles y evaluar resultados.
En esencia, el mensaje de Kindervag es que Zero Trust no consiste en comprar más herramientas de seguridad, sino en eliminar la confianza implícita y establecer de manera explícita qué se protege, quién puede acceder y bajo qué condiciones.
Esta estrategia permite a las organizaciones concentrar sus recursos en los activos críticos, limitar el alcance de los incidentes y adaptar sus defensas a un entorno digital cada vez más complejo.
