Zero Trust: El 96% lo Adopta y Sigue Sufriendo Brechas

Zero trust ya no es una idea marginal. Según el informe State of Zero Trust Security de Okta, el 61% de las organizaciones dice tener ya en marcha una iniciativa de zero trust, y otro 35% planea empezar una pronto: 96% combinado. Y sin embargo, en ese mismo periodo, el informe Verizon Data Breach Investigations Report 2026 confirmó que la explotación de vulnerabilidades de software superó por primera vez en los 19 años de historia del informe a las credenciales robadas como la forma más habitual de entrar, y el ransomware ya está presente en el 48% de todas las brechas.

Esos dos datos juntos señalan el mismo hueco: la mayoría de empresas que dicen «hacemos zero trust» en realidad quieren decir «compramos autenticación multifactor». Eso no es poco, pero tampoco es zero trust. Esto es lo que el modelo exige de verdad, de dónde viene y qué hacer con él sin desmontar toda la infraestructura.

Qué Significa Zero Trust de Verdad (la Definición del NIST, no la Comercial)

Zero trust no es una categoría de producto. Es un marco, definido formalmente por el Instituto Nacional de Estándares y Tecnología de EE. UU. en la publicación especial NIST SP 800-207 (agosto de 2020). El NIST lo describe como «un conjunto evolutivo de paradigmas de ciberseguridad que trasladan las defensas de perímetros estáticos basados en red hacia el foco en usuarios, activos y recursos». Cuatro ideas sostienen todo el modelo:

• Sin confianza implícita. Estar en la red corporativa o ser propietario del dispositivo no le da a una cuenta ningún privilegio. La ubicación dejó de ser una señal de seguridad el día en que el teletrabajo y la infraestructura cloud se volvieron normales.
• Autenticación y autorización como pasos separados. Verificar quién es alguien y verificar qué puede tocar son dos comprobaciones distintas, que se repiten cada vez, no solo al iniciar sesión.
• Protección centrada en el recurso. La seguridad envuelve el activo real —una base de datos, una API, un recurso compartido— en vez de un segmento de red. El segmento puede quedar comprometido; el recurso tiene que defenderse igual.
• Asunción de compromiso. La arquitectura se diseña como si el atacante ya estuviera dentro. Esta es la parte que la mayoría de despliegues de «zero trust» se salta por completo.

A los Atacantes No les Importa Cómo lo Llames

El DBIR 2026 de Verizon es útil aquí porque muestra lo que de verdad está cambiando del lado del atacante, no lo que venden los proveedores. Las vulnerabilidades de software ya representan el 31% de las brechas, superando a las contraseñas robadas como vector de entrada principal, un vuelco respecto a casi dos décadas en las que el robo de credenciales lideraba la lista. La IA generativa ya refuerza el 15% de las técnicas de ataque distintas que rastrea el informe. Y el ransomware, una vez dentro, se propaga exactamente a través del tipo de arquitectura plana y de confianza-por-defecto que zero trust está diseñado para eliminar.

La lección no es «las credenciales ya no importan». Es que los atacantes ahora tienen dos puertas en vez de una, y un perímetro construido para frenar el phishing no hace nada contra una API parcheada tarde. Zero trust no intenta mantener al atacante fuera de todas las puertas. Intenta asegurar que entrar por una no abra el resto del edificio.

Zero Trust no es un Producto que se Compra

Esta es la parte que nadie que venda una «solución» de zero trust quiere decir en voz alta: zero trust no es un producto que se instala. Es la suposición de que ya te han vulnerado.

Una empresa que despliega SSO y MFA y ahí lo deja ha hecho más difícil iniciar sesión. No ha cambiado lo que pasa después de iniciar sesión. Si una cuenta comprometida sigue pudiendo llegar a todos los recursos compartidos, todas las bases de datos y todas las herramientas internas con una sola sesión válida, la arquitectura sigue siendo tan plana como antes, solo que con una cerradura mejor en la puerta de entrada. La propia investigación de Okta sobre las barreras de adopción lo confirma: las organizaciones citan el coste, las carencias tecnológicas y la normativa de privacidad/protección de datos como los principales obstáculos para un zero trust real, no porque el principio sea complicado, sino porque aplicarlo a cada recurso, no solo a la pantalla de login, es trabajo operativo de verdad.

Cuatro Movimientos que Hacen Real el Zero Trust

No una pantalla de login. Una arquitectura. En la práctica, se reduce a cuatro cambios concretos, más o menos en el orden en que la mayoría de equipos puede ejecutarlos:

1. Verificar cada petición, no solo la primera. La validez de la sesión, el estado del dispositivo y el contexto (¿es la ubicación habitual, la hora habitual, la acción habitual para esta cuenta?) se comprueban de forma continua, no solo en la pantalla de login. 2. Segmentar el acceso por recurso, no por zona de red. Que una cuenta pueda acceder a la base de datos de finanzas no debería ser un efecto secundario de estar en la VLAN de finanzas. Cada recurso define quién puede alcanzarlo y en qué condiciones, al margen de la topología de red. 3. Asumir el compromiso y limitar el radio de impacto. El registro de actividad, el acceso de mínimo privilegio y la microsegmentación existen para que una cuenta o dispositivo comprometido no se convierta en un incidente para toda la empresa. Diseñar para la contención, no solo para la prevención. 4. Empezar por la identidad, no por la infraestructura. La parte más barata y rápida de un despliegue de zero trust es ajustar quién puede autenticarse como qué, y por qué. La reorganización de red puede venir después, una vez la identidad esté sólida; hacerlo en el orden contrario quema presupuesto en infraestructura mientras el hueco real de control de acceso sigue abierto.

Dónde Encaja Esto con lo que Probablemente ya Tienes

Zero trust no es un proyecto de derribar y reconstruir. Si tus cargas de trabajo en la nube ya están cubiertas por un enfoque con CNAPP y Microsoft Defender, eso ya aplica protección centrada en el recurso a los activos cloud; los principios de zero trust extienden la misma lógica a la identidad y al acceso on-premise. Si ya usas XDR y SIEM para detección de amenazas, las piezas de verificación continua y contención del radio de impacto se conectan directamente con la telemetría que ya recoges. Y como el ransomware explota precisamente las redes planas y de confianza por defecto, el aumento del 25% en casos de ransomware que cubrimos recientemente es un argumento directo a favor de la segmentación, no un problema aparte.

Preguntas Frecuentes

¿Zero trust es lo mismo que la autenticación multifactor (MFA)? No. La MFA es un control dentro de una arquitectura zero trust: refuerza el paso de autenticación. Zero trust también exige comprobaciones de autorización por recurso, verificación continua en vez de confianza de sesión única, y diseñar asumiendo que una cuenta terminará comprometida. Una empresa puede tener MFA en todas partes y arquitectura zero trust en ninguna.

¿Hay que sustituir el firewall o la VPN para adoptar zero trust? No necesariamente, y no en primer lugar. Los controles de identidad y acceso (quién puede llegar a qué, verificado de forma continua) aportan la mayor parte de la reducción de riesgo y se pueden añadir sobre la infraestructura existente. Los cambios a nivel de red —segmentación, sustituir el acceso VPN plano por acceso por aplicación— suelen llegar después, una vez la capa de identidad está sólida.

¿Cuánto tarda un despliegue de zero trust real? No hay una cifra única que valga para toda empresa, y quien te dé una sin ver tu entorno está adivinando. Lo medible es el avance: qué recursos exigen ya verificación por petición frente a confianza por ubicación de red, recurso por recurso.

¿Zero trust es solo para grandes empresas? No, escala hacia abajo. Una empresa de 20 personas con almacenamiento en la nube y un puñado de herramientas SaaS puede aplicar los mismos cuatro movimientos (verificar cada petición, segmentar por recurso, asumir el compromiso, empezar por la identidad) con una fracción de la carga operativa que necesita una empresa de 5.000 personas, porque hay menos sistemas que cubrir.

¿Cuál es el error más grande que cometen las empresas? Tratar zero trust como una compra en vez de como un rediseño. Los proveedores están encantados de vender una «plataforma zero trust». El trabajo real —decidir, recurso por recurso, quién debería poder llegar a él y en qué condiciones— no viene en una caja.

---

¿No tienes claro en qué punto está de verdad la arquitectura de acceso de tu empresa frente a lo que parece desde fuera? Para eso está una auditoría de ciberseguridad gratuita, y es lo primero que revisa nuestro equipo de ciberseguridad para pymes antes de recomendar nada.