Pocos conceptos han sido tan repetidos y tan malinterpretados en ciberseguridad como Zero Trust. Aparece en presentaciones comerciales, en informes de analistas y en las conversaciones de pasillo como si todos supieran de qué se trata. Pero cuando se pregunta con calma qué significa en concreto, las respuestas se dispersan: para algunos es un producto, para otros una moda, para otros una promesa de seguridad total. Casi ninguna de esas lecturas es correcta.
Entender bien Zero Trust importa porque, detrás del ruido de mercadeo, hay un principio genuinamente útil para tomar decisiones de seguridad. Y para un CISO, un CIO o un director general que debe decidir dónde invertir, la diferencia entre entenderlo como criterio o comprarlo como si fuera un producto es la diferencia entre una estrategia y un gasto mal orientado.
Qué significa realmente Zero Trust
En su forma más simple, Zero Trust parte de una idea incómoda pero razonable: no dar por confiable nada solo porque ya está dentro. Durante años, la seguridad funcionó como un castillo con murallas: si lograbas cruzar el perímetro, se asumía que eras de confianza y podías moverte con relativa libertad por dentro. Zero Trust invierte esa lógica. Cada acceso, cada conexión y cada solicitud se verifica según su contexto, sin importar si viene de dentro o de fuera.
El principio suele resumirse en una frase: nunca confiar, siempre verificar. Pero hay un segundo supuesto igual de importante: asumir que la organización ya puede estar comprometida. En lugar de concentrar todo el esfuerzo en impedir que alguien entre, Zero Trust también se ocupa de limitar hasta dónde puede llegar quien logre hacerlo. Es un cambio de mentalidad, más que de tecnología: pasar de proteger un borde a proteger cada recurso.
Qué NO significa Zero Trust
Buena parte de la confusión viene de lo que Zero Trust no es, aunque se venda como si lo fuera. Primero, no es un producto que se compra e instala. No existe un interruptor que "active" Zero Trust en una organización; es un enfoque que se implementa por capas y por etapas, y que involucra identidad, accesos, red y datos a la vez.
Segundo, no significa desconfiar de las personas del equipo. El nombre se presta a esa lectura, pero no se trata de tratar a los empleados como sospechosos, sino de no otorgar accesos permanentes y amplios simplemente por costumbre. Verificar el contexto de cada acceso protege también a la propia gente cuando sus credenciales son robadas o suplantadas.
Tercero, no es un proyecto de todo o nada que se termina en un fin de semana. Es un recorrido que se construye por prioridades, empezando por los activos más críticos. Y cuarto, no es una garantía de seguridad total. Ningún enfoque lo es. Zero Trust no promete que nada pasará; reduce el daño posible cuando algo pasa.
Por qué importa justo ahora
La idea de Zero Trust no es nueva, pero su urgencia sí lo es. Durante mucho tiempo, el modelo de murallas funcionó razonablemente bien porque casi todo estaba adentro: los servidores, las aplicaciones, las personas. Ese mundo se disolvió. Hoy el trabajo remoto, los servicios en la nube y la conexión de múltiples dispositivos y proveedores han vuelto borroso el concepto mismo de "adentro" y "afuera". El perímetro que Zero Trust cuestiona ya casi no existe en la práctica.
A esto se suma la forma en que operan los ataques actuales. Un intruso que logra entrar rara vez se queda quieto: se mueve lateralmente, busca escalar privilegios y avanza hacia lo más valioso. Un modelo basado solo en el perímetro no ve ese movimiento interno. En la región, donde muchas organizaciones adoptaron la nube y el trabajo distribuido de forma acelerada y sin rediseñar su seguridad al mismo ritmo, esa brecha entre cómo operan hoy y cómo se protegen es especialmente amplia.
Cómo evaluarlo sin caer en la trampa de "comprarlo"
Para quien debe decidir, la clave es tratar Zero Trust como un criterio de evaluación, no como un artículo de compra. Una buena forma de aterrizarlo es preguntar por etapas: ¿sé quién accede a qué y por qué? ¿los accesos son mínimos y contextuales, o amplios y permanentes? ¿qué tan lejos podría moverse alguien que entrara hoy? La última pregunta suele ser la más reveladora, porque expone qué tan segmentada —o qué tan abierta— está la organización por dentro.
Zero Trust bien entendido no se compra: se adopta como principio y se implementa en pasos concretos y medibles. Evaluar a un posible aliado o tecnología bajo esa óptica significa preguntar cómo ayuda a acercarse a ese principio, no si trae "Zero Trust" impreso en el nombre.
Un criterio, no una compra
Zero Trust no es una moda ni un producto; es una forma de decidir cómo se otorga la confianza dentro de una organización. Su valor no está en el término, sino en las preguntas que obliga a hacerse: qué se confía, a quién, por cuánto tiempo y con qué límites. Vistas así, esas preguntas no requieren un presupuesto enorme para empezar a responderse; requieren claridad de criterio. Y esa claridad es, al final, lo que distingue a una organización que adopta Zero Trust de una que solo repite el término.
En la práctica
Un ejemplo concreto de cómo el principio de Zero Trust deja de ser teoría y se vuelve operación es la forma en que TBSEK integra Illumio para implementar segmentación dentro de la infraestructura de sus clientes. Una de las preguntas más difíciles de responder en Zero Trust —¿hasta dónde podría moverse alguien que ya está dentro?— se aborda de manera directa con segmentación: en lugar de dejar que un intruso circule libremente entre sistemas una vez que cruzó el borde, Illumio permite dividir el entorno en zonas y controlar qué puede comunicarse con qué, de modo que el movimiento lateral se limita en lugar de quedar abierto. Lo relevante no es la tecnología en sí, sino lo que hace posible: convertir el principio abstracto de "asumir que ya estás comprometido" en una restricción real y verificable dentro de la red.
TBSEK opera esta capacidad como parte de su servicio, lo que significa que el cliente no tiene que aprender a diseñar, desplegar y mantener la segmentación por su cuenta —una tarea que suele frenar los proyectos de Zero Trust antes de que arranquen—. En la práctica, TBSEK traduce el marco en pasos concretos: identifica qué activos son críticos, define cómo deberían comunicarse entre sí y aplica los límites correspondientes de forma gradual. Para un CIO o un CISO, esto transforma Zero Trust de un objetivo aspiracional a un avance medible: no se trata de "tener Zero Trust", sino de reducir de forma tangible qué tan lejos puede llegar un incidente dentro de la organización.
