El enfoque Zero Trust nació para resolver un problema concreto: la confianza excesiva en proveedores, empleados o sistemas conectados puede convertirse en la puerta de entrada de un ataque informático. Si trabajas en tecnología, ciberseguridad o lideras un equipo con acceso a datos sensibles, entender este modelo te ayuda a blindar tu organización sin depender de la buena fe de terceros.

El caso de Target, una de las cadenas de supermercados más grandes de Estados Unidos, lo ilustra perfecto. Los atacantes no entraron directo a sus servidores. Entraron por la puerta de atrás: hackearon a uno de sus proveedores y, aprovechando la conexión que ese proveedor tenía con los sistemas internos de Target, escalaron hasta la información crítica de la compañía.

¿Qué es el enfoque Zero Trust y en qué premisa se basa?

El enfoque Zero Trust en ciberseguridad parte de una idea simple y radical: ninguna entidad, interna o externa a la organización, debe considerarse confiable de forma automática.

Eso significa que ni tu compañero de equipo, ni el proveedor con el que llevas años trabajando, ni siquiera el servidor que está dentro de tu propia red merece confianza por defecto. Cada acceso, cada conexión y cada solicitud debe verificarse.

¿Qué significa Zero Trust? Es un modelo de ciberseguridad donde toda interfaz, usuario o sistema parte con un nivel de confianza igual a cero, sin importar si está dentro o fuera de la organización.

John Kindervag, quien acuñó el término Zero Trust, lo resumió así: todas las interfaces deben tener el mismo nivel de confianza, y este debe ser cero. La frase suena dura, pero es justo el punto. No se trata de desconfiar de las personas, sino de no dar accesos automáticos a nadie.

¿Por qué la confianza se vuelve un riesgo de ciberseguridad?

Cuando una organización confía sin verificar, abre brechas. El ataque a Target es el ejemplo de manual: los hackers comprometieron primero al proveedor, después entraron a un servidor de Target a través de la conexión legítima que ese proveedor tenía, y desde ahí saltaron al resto de servidores donde se almacenaba la información.

Fíjate en la cadena:

• Los atacantes vulneraron primero al proveedor.
• Usaron la conexión confiable proveedor–Target como puente.
• Accedieron a un servidor inicial de Target.
• Se movieron lateralmente hasta llegar a los servidores con datos sensibles.

Cada uno de esos saltos fue posible porque existía confianza implícita entre sistemas. Y aquí viene lo interesante: si Target hubiera aplicado Zero Trust, cada uno de esos pasos habría exigido una nueva verificación.

¿Cómo se aplica Zero Trust en una organización?

Zero Trust no es solo una actitud personal de los empleados. Es una decisión técnica que el área de ciberseguridad debe implementar dentro de la infraestructura tecnológica.

Está muy bien que tú, como empleado, no confíes en correos sospechosos ni en enlaces extraños. Pero eso no basta. La organización tiene que traducir esa misma desconfianza al plano de los sistemas.

Algunas prácticas concretas que materializan este enfoque:

• Autenticar constantemente a los empleados para confirmar que son ellos quienes acceden a la información.
• Limitar el acceso de proveedores externos solo a lo estrictamente necesario.
• Verificar cada conexión entre servidores, aunque ya estén dentro de la red interna.
• Tratar cada interfaz como si fuera potencialmente hostil.

¿Zero Trust significa desconfiar de los empleados? No. Significa mantener un nivel alto de ciberseguridad mediante verificación constante. Protege al empleado y a la organización al mismo tiempo.

¿Qué aprendemos del hackeo a Target?

La lección de Target es que el eslabón más débil de tu seguridad puede no estar dentro de tu empresa. Puede estar en un proveedor, en una integración o en un sistema heredado al que nadie le pone atención.

Cuando aplicas Zero Trust, asumes que cualquier conexión, sin importar su origen, podría estar comprometida. Y al asumirlo, diseñas controles que limitan el daño incluso si un atacante logra entrar.

Si participas activamente en este enfoque, no solo te proteges a ti. Por consecuencia, proteges a toda la organización: a tus compañeros, a los datos de los clientes y a la operación del negocio.

¿Has identificado en tu trabajo alguna conexión con proveedores o sistemas externos que hoy opera bajo confianza implícita? Cuéntalo en los comentarios y comparte cómo lo abordarías desde Zero Trust.