Zero-trust - modelo de confianza

Zero-trust es un modelo de seguridad, no un producto. La premisa es simple: nada es confiable por su posición en la red. No importa si el request viene de dentro del data center, del laptop del CTO o de un pod en otra cuenta: cada llamada se autentica, se autoriza y se registra antes de tocar cualquier recurso.

El modelo nace de la constatación de que el perímetro clásico ya no funciona. La VPN pone al usuario en la red interna, y la red interna ya no tiene muro - las VPCs se conectan, los workloads corren en Kubernetes efímero, los socios tienen federación, y el atacante que entra una vez pasea hasta el bucket de pagos. Zero-trust responde cambiando la unidad de confianza de la red a la identidad, y exige verificación explícita en cada frontera.

NIST SP 800-207 define siete principios que aparecen en toda implementación seria de zero-trust. No son excluyentes, en la práctica se combinan, pero sirven de regla para saber si la arquitectura en estudio es zero-trust o solo 'VPN con MFA'.

Zero-trust se concreta en cuatro frentes técnicos, casi siempre combinados. El camino suele empezar en un frente (acceso de usuarios, por ejemplo) y expandirse con el tiempo hasta cubrir toda la malla de servicios.

El límite más común es confundir zero-trust con 'ponerle MFA a la VPN'. MFA es una capa; zero-trust es una arquitectura que presupone MFA en cada llamada, identidad en cada workload y policy por servicio. Un equipo que llama a cualquier cosa 'zero-trust' porque activó MFA termina con un proyecto de marketing, no de seguridad.

El segundo límite es operativo. Cambiar VPN por BeyondCorp en mil empleados es un proyecto de meses con vendor lock-in y rollback difícil. La versión pragmática empieza pequeña (una aplicación sensible, o un clúster) y se expande por oleadas, con política versionada y pruebas antes de promover.