Zero Trust y ENS: compatibilidad y hoja de ruta práctica

Qué es Zero Trust: nunca confíes, siempre verifica

El modelo Zero Trust (confianza cero) parte de un principio opuesto al de la seguridad perimetral tradicional. En el modelo clásico, todo lo que está dentro de la red corporativa se considera confiable por defecto; la seguridad consiste en proteger el perímetro. Zero Trust rechaza esta premisa: ningún usuario, dispositivo o sistema es de confianza por el simple hecho de estar dentro de la red, y toda solicitud de acceso debe verificarse explícitamente, con independencia de la ubicación del solicitante.

Este cambio de paradigma responde a una realidad que el perímetro tradicional ya no puede gestionar: el trabajo híbrido, el uso de servicios en la nube, los dispositivos personales en entornos corporativos (BYOD) y las amenazas internas han hecho que el concepto de "dentro de la red" sea prácticamente irrelevante como indicador de confianza.

Los tres principios del modelo Zero Trust

• Verificación explícita: cada solicitud de acceso se autentica y autoriza evaluando todos los datos disponibles: identidad del usuario, estado del dispositivo, ubicación, hora, sensibilidad del recurso solicitado y comportamiento previo.
• Acceso de mínimo privilegio: los usuarios y sistemas reciben únicamente los permisos imprescindibles para realizar su función, limitados en tiempo y alcance cuando es posible.
• Asunción de brecha: el sistema se diseña como si el atacante ya estuviera dentro. Esto lleva a segmentar la red, cifrar el tráfico interno y monitorizar todo el movimiento lateral.

Por qué Zero Trust es complementario al ENS

El ENS es un marco normativo que define qué proteger, con qué nivel de exigencia y cómo demostrar el cumplimiento. Zero Trust es un modelo arquitectónico que define cómo implementar esa protección de forma técnicamente sólida en entornos modernos. La combinación de ambos produce sistemas que no solo cumplen la normativa, sino que son genuinamente más seguros.

Un sistema ENS categoría MEDIA que implementa controles de acceso según el principio de mínimo privilegio, MFA en todos los accesos, segmentación de red y monitorización continua está, en esencia, aplicando los principios Zero Trust dentro del marco del ENS. La diferencia es que Zero Trust ofrece un modelo mental coherente que facilita las decisiones de arquitectura más allá de los controles individuales del Esquema.

Mapeo de principios ZT con controles ENS

• Verificación de identidad (MFA, gestión de identidades): controles op.acc.1 (identificación), op.acc.5 (autenticación de usuarios). El ENS exige MFA desde categoría MEDIA para accesos a sistemas con información sensible.
• Gestión de dispositivos: control mp.eq.1 (puestos de trabajo) y mp.eq.3 (dispositivos portátiles). Zero Trust exige que el dispositivo sea gestionado y cumpla una postura de seguridad mínima antes de autorizar el acceso.
• Segmentación de redes: control mp.com.4 (separación de flujos de información). La microsegmentación de ZT implementa de forma técnicamente robusta lo que el ENS exige como principio.
• Monitorización continua: controles op.mon.1 (detección de intrusión) y op.mon.2 (sistema de métricas). Zero Trust exige telemetría continua de todos los componentes para detectar anomalías.
• Mínimo privilegio: control op.acc.5 (privilegios de acceso). ZT lo extiende a la gestión dinámica de privilegios just-in-time.

Los cinco pilares de Zero Trust según NIST SP 800-207

La publicación especial NIST SP 800-207, que es la referencia técnica de referencia para Zero Trust, articula el modelo en torno a cinco pilares:

• Identidad: gestión de identidades y accesos (IAM), autenticación multifactor, SSO federado, gestión del ciclo de vida de las cuentas.
• Dispositivos: inventario de dispositivos, gestión de la postura de seguridad (MDM/UEM), EDR en todos los endpoints.
• Redes: microsegmentación, cifrado del tráfico este-oeste (entre sistemas internos), acceso a la red basado en identidad (en lugar de basado en IP).
• Aplicaciones y cargas de trabajo: acceso con mínimos privilegios a aplicaciones, autenticación en cada capa, protección de APIs.
• Datos: clasificación de datos, cifrado en reposo y en tránsito, prevención de pérdida de datos (DLP), control de acceso granular a datos.

Por dónde empezar: la identidad como nuevo perímetro

La identidad es el pilar más prioritario porque es el que ofrece mayor impacto de seguridad con menor complejidad de implementación. Fortalecer la identidad implica: desplegar MFA para todos los usuarios (comenzando por los privilegiados), implementar una solución de gestión centralizada de identidades, revisar y depurar cuentas inactivas o con exceso de privilegios, y considerar soluciones de acceso privilegiado (PAM) para cuentas de administrador.

En entornos de administración pública, el uso de la identidad digital basada en el DNIe o en sistemas de Cl@ve puede integrarse con soluciones IAM para proporcionar una autenticación fuerte sin necesidad de duplicar el sistema de identidad.

Hoja de ruta práctica en tres fases

Fase 1: Identidad sólida (meses 1-6)

Despliegue de MFA para todos los accesos remotos y para cuentas privilegiadas. Inventario completo de cuentas de usuario y de servicio. Revisión y reducción de privilegios excesivos. Implementación o mejora de la solución PAM para cuentas de administrador. Sincronización o migración a un proveedor de identidad centralizado.

Fase 2: Dispositivos gestionados y red segmentada (meses 7-18)

Inventario completo de dispositivos. Despliegue de MDM o UEM para gestión centralizada de endpoints. EDR en todos los dispositivos gestionados. Segmentación de la red en zonas con tráfico controlado entre ellas. Cifrado del tráfico interno entre sistemas críticos.

Fase 3: Monitorización y respuesta continua (meses 19-30)

Centralización de logs y telemetría de todos los pilares. Implementación de análisis de comportamiento de usuarios y entidades (UEBA). Automatización de respuesta a incidentes (SOAR). Revisión continua de la postura de seguridad mediante indicadores de riesgo en tiempo real. Auditoría periódica del modelo de acceso para detectar deriva en privilegios.

Zero Trust para organizaciones con presupuesto limitado

Zero Trust no requiere sustituir toda la infraestructura de golpe. Para organizaciones con recursos limitados, los tres pasos con mayor impacto por euro invertido son: MFA para todos los accesos (especialmente remotos), segmentación básica de la red separando sistemas críticos del resto, y centralización de logs con alertas sobre eventos clave. Estos tres elementos representan la esencia del modelo ZT a un coste asequible incluso para ayuntamientos pequeños o organismos con infraestructura modesta.

Caso de uso: Zero Trust en un sistema ENS categoría MEDIA

Un organismo con sistemas ENS categoría MEDIA puede implementar Zero Trust de forma gradual sin grandes inversiones iniciales. La configuración práctica incluye: Active Directory o Azure AD con MFA activado mediante Microsoft Authenticator o equivalente; política de acceso condicional que deniega el acceso desde dispositivos no gestionados; VLAN separadas para servidores, puestos de trabajo y dispositivos de red con reglas de firewall explícitas entre ellas; y centralización de logs en un servidor syslog con alertas automatizadas para los eventos más críticos. Esta arquitectura satisface simultáneamente los controles ENS de acceso, segmentación, monitorización y registro de actividad, mientras implementa los principios fundamentales del modelo Zero Trust.