Zero Trust: qué es, cómo funciona y por qué tu empresa lo necesita

Durante décadas, la seguridad corporativa se basó en un modelo de perímetro: todo lo que estaba dentro de la red era de confianza, y todo lo externo era sospechoso. Pero ese modelo se rompió hace tiempo. El teletrabajo, los dispositivos personales, las aplicaciones en la nube y los ataques cada vez más sofisticados han diluido el concepto de "dentro" y "fuera". Zero Trust nace como respuesta a esta realidad.

¿Qué es exactamente Zero Trust?

Zero Trust —o confianza cero— es un modelo de seguridad cuyo principio fundamental es "nunca confiar, siempre verificar". En lugar de asumir que un usuario o dispositivo es seguro por estar conectado a la red corporativa, Zero Trust verifica cada solicitud de acceso de forma explícita, independientemente de su origen.

Según el informe Forrester Wave de 2025, Microsoft fue reconocida como líder en plataformas Zero Trust, ocupando la posición más alta en la categoría de estrategia. No es casual: el enfoque de Microsoft integra identidad, dispositivos, datos, aplicaciones e infraestructura bajo un marco unificado.

Referencia: Forrester, "The Forrester Wave™: Zero Trust Platforms, Q3 2025" (julio 2025).

Los tres principios de Zero Trust

1. Verificar explícitamente

Cada solicitud de acceso se autentica y autoriza usando toda la información disponible: identidad del usuario, ubicación, estado del dispositivo, servicio al que accede, clasificación del dato y anomalías detectadas. No basta con un usuario y contraseña.

2. Acceso con privilegio mínimo

Los usuarios solo reciben acceso a los recursos que necesitan, durante el tiempo que lo necesitan. Esto limita el movimiento lateral de un atacante que consiga comprometer una cuenta. Si un empleado de marketing es víctima de phishing, el atacante no podrá acceder a los sistemas de finanzas.

3. Asumir la brecha

En lugar de diseñar la seguridad asumiendo que el atacante está fuera, Zero Trust asume que ya puede estar dentro. Esto lleva a segmentar accesos, cifrar comunicaciones, monitorizar comportamientos y preparar respuestas automatizadas ante incidentes.

¿Por qué es urgente adoptar Zero Trust?

Según un informe de Zscaler ThreatLabz publicado en 2025, el 96% de las organizaciones encuestadas consideran que el enfoque Zero Trust es necesario, y un 81% tiene previsto implementar estrategias de confianza cero en los próximos doce meses. El mismo informe revela que el 56% de las organizaciones sufrieron brechas relacionadas con vulnerabilidades de VPN, y que las empresas que adoptaron Zero Trust destacaron la mejora en seguridad y cumplimiento como principal beneficio, con un 76% señalándolo.

Referencia: Zscaler, "ThreatLabz 2025 VPN Risk Report" (abril 2025).

Zero Trust en la práctica con Microsoft 365

La ventaja de Microsoft 365 es que Zero Trust no requiere comprar productos adicionales: las herramientas ya están integradas en las licencias Business Premium y Enterprise.

Identidad: Microsoft Entra ID + Acceso Condicional

El Acceso Condicional evalúa el riesgo de cada inicio de sesión en tiempo real. Si un usuario intenta conectarse desde una ubicación inusual, se le puede exigir autenticación multifactor reforzada o directamente bloquear el acceso. Es la traducción práctica del principio "verificar explícitamente".

Dispositivos: Microsoft Intune

Intune verifica que cada dispositivo que accede a los recursos cumple las políticas de seguridad: sistema operativo actualizado, cifrado activo, antivirus en funcionamiento. Si un portátil no cumple, el acceso se bloquea hasta que se corrija. No importa si es un dispositivo corporativo o personal (BYOD).

Detección: Microsoft Defender + Sentinel

Defender protege los endpoints en tiempo real, mientras Sentinel actúa como SIEM (plataforma de gestión de eventos de seguridad), correlacionando señales de toda la organización para detectar amenazas complejas. Si detectan un patrón de ataque —como un intento de movimiento lateral tras un phishing— pueden responder de forma automatizada.

Datos: Microsoft Purview

Purview clasifica y protege la información sensible. Aunque un atacante consiga acceso a una cuenta, los datos clasificados como confidenciales viajan cifrados o simplemente no se pueden compartir fuera de la organización.

Hoja de ruta: cómo empezar

Implementar Zero Trust no es un proyecto de un día, pero se puede hacer de forma gradual sin parar la empresa:

Fase 1 (semanas 1-2): Activar MFA para todos los usuarios y configurar políticas básicas de Acceso Condicional. Este paso solo reduce drásticamente el riesgo de robo de credenciales.

Fase 2 (semanas 3-4): Incorporar los dispositivos a Intune y definir políticas de cumplimiento. Con herramientas como Lift2Intune, este proceso se puede hacer en producción con un solo clic.

Fase 3 (mes 2): Desplegar Defender en todos los endpoints y configurar las alertas básicas de Sentinel.

Fase 4 (mes 3): Activar Purview para clasificar datos sensibles y configurar políticas de prevención de pérdida de datos (DLP).

Microsoft publicó en marzo de 2026 una actualización de su arquitectura de referencia Zero Trust que incluye ahora un pilar específico para IA, con más de 700 controles de seguridad organizados en 33 áreas funcionales.

Referencia: Microsoft Security Blog, "New tools and guidance: Announcing Zero Trust for AI" (19 marzo 2026).

Conclusión

Zero Trust no es una moda ni un producto: es un cambio de mentalidad en la forma de proteger una organización. Con Microsoft 365, las herramientas necesarias ya están disponibles. Lo que marca la diferencia es tener un partner que sepa cómo activarlas correctamente y sin interrupciones. En Cloud Canary Services llevamos más de 20 años haciéndolo.

Referencias

• Forrester, "The Forrester Wave™: Zero Trust Platforms, Q3 2025" (julio 2025)
• Zscaler ThreatLabz, "2025 VPN Risk Report" (abril 2025)
• Microsoft Security Blog, "Forrester names Microsoft a Leader in the 2025 Zero Trust Platforms Wave™ report" (julio 2025)
• Microsoft Security Blog, "New tools and guidance: Announcing Zero Trust for AI" (marzo 2026)
• Microsoft, "Zero Trust Security and Strategy" — microsoft.com/security/business/zero-trust