¿Qué es Zero Trust? La guía clara, con infografías, basada en NIST y CISA
Una explicación sencilla de Zero Trust, con las referencias de NIST y CISA, infografías y una ruta práctica para empezar sin comprar todo de golpe.
Zero Trust es un enfoque de seguridad que no da confianza implícita a ningún usuario, dispositivo o red por su ubicación: verifica cada solicitud de acceso, aplica el mínimo privilegio y asume que el atacante puede estar ya dentro. No es un producto: es un conjunto de principios que se implementa por etapas (NIST SP 800-207).
- Origen: John Kindervag, Forrester, 2010.
- Referencia técnica: NIST SP 800-207, con 7 principios.
- Modelo de madurez: CISA, con 5 pilares y 4 etapas.
- Cómo empezar: inventario, identidad, dispositivos, aplicaciones, red, datos y visibilidad.
La definición oficial: qué dice NIST
La referencia técnica más citada es la publicación NIST SP 800-207, Zero Trust Architecture (agosto de 2020). Según NIST, Zero Trust es un conjunto de conceptos e ideas para minimizar la incertidumbre al tomar decisiones de acceso precisas, de mínimo privilegio y por cada solicitud, en sistemas y servicios, asumiendo que la red ya está comprometida.
Dos ideas de la propia NIST ayudan a no confundirse: Zero Trust "no es una única arquitectura sino un conjunto de principios guía", y la transición "no puede lograrse con un reemplazo total de tecnología". Se implementa de forma incremental.
De dónde viene: una idea con más de 20 años
El concepto no nació en un solo momento. Esta es la línea de tiempo de las referencias principales:
- 12004 · Jericho ForumPropone la "desperimetrización": dejar de confiar en el perímetro de red (según NIST).
- 22010 · ForresterJohn Kindervag publica "No More Chewy Centers" y acuña el modelo Zero Trust.
- 32014 · Google BeyondCorpGoogle describe cómo elimina la intranet privilegiada: el acceso depende del dispositivo y la identidad.
- 42020 · NIST SP 800-207NIST publica la arquitectura de referencia y sus siete principios.
- 52021-2023 · CISA ZTMMCISA publica y actualiza su modelo de madurez con cinco pilares.
Fuentes: NIST SP 800-207, Forrester (2010), Google Research (2014) y CISA. Ver lista al final.
Los 3 principios prácticos de Zero Trust
Para explicarlo en una junta, Microsoft lo resume en tres ideas:
Autenticar y autorizar cada acceso con todas las señales disponibles: identidad, ubicación, estado del dispositivo.
Dar solo el acceso necesario y por el menor tiempo posible.
Diseñar para limitar el impacto de un compromiso y detectar y responder rápido.
Fuente: Microsoft Learn, Zero Trust como fundamento de seguridad (actualizado en 2026). NIST usa siete principios distintos, descritos abajo.
Los 7 principios (tenets) de NIST SP 800-207
Versión más técnica, parafraseada del documento original de NIST:
- 1Todo es un recursoToda fuente de datos y servicio de cómputo se considera un recurso.
- 2Comunicación seguraToda comunicación se protege sin importar la ubicación de red.
- 3Acceso por sesiónEl acceso se concede por sesión, con mínimo privilegio.
- 4Política dinámicaEl acceso depende de identidad, estado del activo y comportamiento.
- 5Monitoreo de activosLa empresa mide la integridad y postura de todos sus activos.
- 6Autenticación estrictaAutenticación y autorización dinámicas, antes de permitir acceso.
- 7Recopilar informaciónSe recopila la mayor información posible para mejorar la postura.
Paráfrasis de la sección 2.1 de NIST SP 800-207.
¿Cómo funciona? Quién decide y quién aplica
NIST describe una arquitectura con un plano de control, que decide, y un plano de datos, que ejecuta:
Decide conceder, negar o revocar el acceso, con un algoritmo de confianza.
Abre o cierra la ruta de comunicación y genera la credencial de sesión.
Habilita, monitorea y termina la conexión entre el usuario y el recurso.
PE más PA forman el Policy Decision Point (PDP). El PE se alimenta de fuentes como la gestión de identidad, la inteligencia de amenazas y los registros. Fuente: NIST SP 800-207, sección 3.
Lo que Zero Trust no es
- No es un producto. Según NIST, es un conjunto de principios y una arquitectura. Ninguna herramienta, por sí sola, te vuelve "Zero Trust".
- No es solo MFA ni solo una VPN. El doble factor es una pieza (principio 6 de NIST). Una VPN sola da acceso a una red, no decide por cada recurso.
- No significa no confiar en las personas. Gartner lo describe como un cambio de mentalidad: verificar siempre y reconciliar los controles heredados con los nuevos.
- No es un proyecto de una sola vez. CISA lo plantea como un proceso incremental que puede tomar años.
Los 5 pilares y 4 etapas del modelo de CISA
Para medir tu avance, CISA propone un modelo de madurez (versión 2.0, 2023):
Quién accede y con qué credenciales.
Qué equipos acceden y en qué estado están.
Cómo se segmenta y se protege el tráfico.
Cómo se accede y se protegen las aplicaciones.
Cómo se clasifican, protegen y controlan los datos.
- 1TradicionalConfianza implícita y controles manuales.
- 2InicialPrimeras automatizaciones y políticas.
- 3AvanzadoIntegración y políticas dinámicas.
- 4ÓptimoAutomatización y visibilidad completas.
Capacidades transversales: visibilidad y análisis, automatización y orquestación, y gobernanza. Fuente: CISA Zero Trust Maturity Model v2.0.
Cómo empezar en una empresa mediana (criterio editorial)
No existe una receta única. Esta secuencia de Cyberkust se apoya en los pilares de CISA y permite avanzar por etapas:
- 1Inventaria y priorizaQué activos, datos y accesos son críticos: tu superficie a proteger.
- 2Identidad primeroDoble factor resistente a phishing, inicio de sesión único y privilegios mínimos.
- 3DispositivosInventario, protección de endpoints y estado del equipo como condición de acceso.
- 4AplicacionesAcceso condicional y acceso a aplicaciones sin exponer la red completa.
- 5Segmenta la redSepara sistemas críticos para contener un compromiso.
- 6Datos y visibilidadClasifica datos, registra todo y vigila con monitoreo y respuesta.
Secuencia editorial de Cyberkust, alineada con los pilares del modelo de CISA.
Por qué importa en 2026
Los datos más recientes apuntan a las áreas que Zero Trust busca cubrir: accesos, terceros y vulnerabilidades.
Fuentes: Verizon, IBM y Gartner. La relación con Zero Trust es un argumento editorial: los informes no la formulan así.
Beneficios y retos reales
CISA menciona como beneficios mejor experiencia de usuario, menor costo de TI a largo plazo, acceso más flexible y mayor seguridad. Y como retos, los sistemas heredados que se basan en confianza implícita, la inversión inicial, la participación de la alta dirección y la ruptura de silos.
En una encuesta de Okta de 2023, con más de 800 decisores, las barreras principales fueron los costos y las brechas tecnológicas. Por eso conviene avanzar por casos de uso y medir resultados, con apoyo de una consultoría de ciberseguridad que ordene prioridades.
Descubre qué tan preparada está tu empresa antes de que pase algo.
En una primera evaluación identificamos riesgos visibles, puntos críticos y los primeros pasos para proteger información, operación y clientes. Sin costo inicial.
Preguntas frecuentes
¿Qué es Zero Trust?
Es un enfoque de seguridad que no da confianza implícita a ningún usuario, dispositivo o red por su ubicación y verifica cada solicitud de acceso, con el menor privilegio posible y asumiendo que el atacante puede estar ya dentro. NIST lo define en su publicación SP 800-207 como un conjunto de principios para minimizar la incertidumbre en las decisiones de acceso.
¿Quién creó Zero Trust?
John Kindervag, entonces analista de Forrester, lo propuso en 2010 en el documento "No More Chewy Centers". Antes hubo antecedentes como la "desperimetrización" del Jericho Forum (2004) y el trabajo del Departamento de Defensa de EE. UU. sobre "black core", según el propio NIST.
¿Zero Trust es un producto?
No. NIST aclara que no es una única arquitectura sino un conjunto de principios guía, y que la transición no se logra reemplazando toda la tecnología de golpe. Ningún producto, por sí solo, "es" Zero Trust.
¿Zero Trust reemplaza al firewall o a la VPN?
No necesariamente. NIST anticipa que muchas empresas operarán en modo híbrido durante un buen tiempo, con controles de perímetro y Zero Trust coexistiendo, mientras reduce la dependencia de la red como señal de confianza.
¿Cuáles son los principios de Zero Trust?
Microsoft los resume en tres: verificar explícitamente, aplicar el mínimo privilegio y asumir que habrá una brecha. NIST SP 800-207 detalla siete principios (tenets) que van desde considerar todo servicio como un recurso hasta recopilar la mayor información posible para mejorar la postura.
¿Por dónde empezar con Zero Trust en una empresa mediana?
Por saber qué tienes y qué proteger, y luego por la identidad (doble factor, SSO, privilegios) y los dispositivos, antes de pasar a aplicaciones, red, datos y visibilidad. La secuencia es un criterio editorial; los pilares provienen del modelo de madurez de CISA.
¿Cuánto tarda implementar Zero Trust?
Es un camino incremental que puede tomar años, según CISA. Conviene avanzar por casos de uso y por etapas, no con un proyecto único.
¿Qué retos tiene Zero Trust?
CISA menciona sistemas heredados con confianza implícita, inversión inicial, necesidad de apoyo de la dirección y ruptura de silos entre áreas. En una encuesta de Okta de 2023, las barreras principales fueron los costos y las brechas tecnológicas.
Fuentes y referencias
Consultadas el 8 y 9 de octubre de 2026. Cuando una cifra proviene de una nota que cita un informe original, lo indicamos. Las cifras pueden variar según la fuente y el método de conteo. Las secciones marcadas como criterio editorial reflejan la experiencia de Cyberkust y no una fuente externa.
- NIST SP 800-207: Zero Trust Architecture (agosto de 2020)
- NIST SP 800-207 (PDF)
- CISA: Zero Trust Maturity Model
- CISA: Zero Trust Maturity Model v2.0 (PDF)
- Microsoft Learn: Zero Trust como fundamento de seguridad
- NCSC (Reino Unido): principios de arquitectura Zero Trust
- Forrester, J. Kindervag: No More Chewy Centers (2010), copia
- Google Research: BeyondCorp, un nuevo enfoque de seguridad empresarial (2014)
- Verizon: comunicado sobre el DBIR 2026
- IBM Newsroom: Cost of a Data Breach 2026
- Gartner: encuesta del 4T de 2023 sobre adopción de Zero Trust (comunicado de abril de 2024)
- Cybersecurity Dive: Gartner sobre Zero Trust como cambio de mentalidad (2023)
- Okta: Zero Trust favorecido por 96 % de las organizaciones (2023)