Zero Trust es un enfoque de arquitectura que centra la revisión en recursos, identidades y contexto de acceso. No es un producto que se active ni una certificación de que el sistema sea seguro. La publicación NIST SP 800-207 es una referencia para estudiar sus principios.
Empezar por recursos y personas#
Identifica las aplicaciones y datos que requieren protección y las personas o servicios que acceden a ellos. Revisa cuentas compartidas, permisos administrativos y accesos que se mantienen después de cambiar una función o terminar una relación de trabajo.
No limites el inventario al ordenador del empleado. Las integraciones, cuentas de servicio y herramientas externas también pueden acceder a recursos de la empresa.
Diseñar controles aplicables#
Define permisos mínimos, autenticación, condiciones de acceso y tratamiento de excepciones. Comprueba que los controles se aplican realmente en los sistemas relevantes y que existe un procedimiento de recuperación de acceso. Un control que impide trabajar sin una alternativa puede provocar usos no previstos.
La segmentación y el registro deben responder a riesgos identificados. Recopilar más datos no equivale a mejorar la investigación si no hay criterios, conservación y responsables para utilizarlos.
Pruebas que conviene realizar#
- Una persona autorizada puede completar el recorrido previsto.
- Una cuenta sin permiso no accede a los recursos restringidos.
- Una baja o cambio de rol elimina los accesos correspondientes.
- Un fallo de un proveedor de identidad tiene una respuesta definida.
- Las excepciones quedan revisadas y tienen responsable.
Estas pruebas no cubren todas las amenazas ni certifican cumplimiento normativo. Deben adaptarse al entorno y repetirse cuando cambien sus dependencias.
Medir adopción y operación#
Registra cobertura de controles, accesos revisados, incidencias y tiempo de resolución. Distingue objetivos de resultados medidos. No atribuimos un porcentaje universal de reducción de ataques ni un plazo fijo de implantación a este enfoque.
Una primera entrega puede centrarse en una aplicación crítica y sus accesos. Revisar el alcance de seguridad o describir tu entorno.