En pocas palabras
Arquitectura de confianza cero (ZTA): verificar identidad, contexto y autorización para acceder a recursos, concediendo el mínimo privilegio necesario.
Qué problema resuelve
Confianza implícita dentro de una red y permisos excesivos que amplían el impacto de una cuenta comprometida.
Cuándo utilizarlo
Entornos cloud e híbridos, trabajo remoto, comunicación entre servicios y agentes de IA con acceso a herramientas.
De la idea a la práctica
Funcionamiento, ejemplos y decisiones para pasar al siguiente nivel.
Cómo funciona
Una decisión de acceso considera identidad, recurso, operación y contexto. El sistema concede permisos acotados y los vuelve a evaluar según las políticas. Estar en la red interna no constituye por sí solo una autorización.
Ejemplo: un agente de consulta
Un agente de soporte necesita leer solicitudes, pero no modificar pagos. Así se puede separar la intención de los permisos efectivos:
| Control | Aplicación |
|---|---|
| Identidad | Cuenta de servicio propia del agente |
| Alcance | Lectura de solicitudes del ámbito autorizado |
| Credenciales | Temporales y limitadas al servicio |
| Autorización | Comprobación en cada API y recurso |
| Evidencia | Registro de acceso, decisión y operación |
Componentes lógicos (NIST SP 800-207)
| Componente | Función |
|---|---|
| Policy Decision Point (PDP) | Decide si se permite el acceso según política y señales |
| Policy Enforcement Point (PEP) | Aplica la decisión: proxy, gateway, sidecar, API |
| Fuentes de señales | Identidad, estado del dispositivo, inteligencia de amenazas, comportamiento, clasificación de datos |
Cada petición pasa por un PEP; ninguna red se considera de confianza por sí misma.
Pilares y controles
| Pilar (CISA) | Controles representativos |
|---|---|
| Identidad | SSO, MFA resistente a phishing (passkeys), acceso condicional |
| Dispositivos | Inventario, estado de parches y cifrado como condición de acceso |
| Redes | Microsegmentación, cifrado de todo el tráfico, sin VPN plana |
| Aplicaciones y cargas | Identidad de servicio, mTLS entre servicios, autorización por petición |
| Datos | Clasificación, cifrado, controles de exfiltración, acceso por atributos |
| Transversal | Visibilidad, analítica, automatización y gobierno |
Implementación en Google Cloud
| Necesidad | Servicio |
|---|---|
| Acceso de personas a aplicaciones internas sin VPN | Identity-Aware Proxy (IAP) + niveles de acceso |
| Condiciones de contexto (dispositivo, ubicación) | Access Context Manager |
| Perímetro alrededor de datos sensibles | VPC Service Controls |
| Identidad de cargas sin claves | Workload Identity / Workload Identity Federation |
| Servicio a servicio | Invocación autenticada con IAM en Cloud Run, mTLS con service mesh |
| Privilegios elevados temporales | Privileged Access Manager (JIT PAM) |
En Kubernetes y entornos mixtos, SPIFFE/SPIRE emite identidades de carga verificables, y un service mesh (Istio, Linkerd) aplica mTLS y políticas de autorización entre servicios.
Hoja de ruta por fases
- Inventario: usuarios, dispositivos, aplicaciones, datos críticos y flujos entre ellos.
- Identidad fuerte: SSO para todo, MFA resistente a phishing, eliminar cuentas compartidas.
- Acceso a aplicaciones por proxy con identidad en lugar de VPN.
- Cargas de trabajo: identidades de servicio, eliminar claves estáticas, mTLS.
- Datos: clasificación, perímetros y controles de exfiltración.
- Mejora continua: señales de comportamiento, decisiones dinámicas, automatización de respuesta.
Métricas
Porcentaje de aplicaciones detrás de un proxy con identidad, cuentas con MFA resistente a phishing, claves de servicio estáticas restantes, tráfico entre servicios con mTLS y privilegios permanentes en producción. Usa el threat modeling para priorizar qué flujos proteger primero.
Criterios de implementación
Aplica los controles en infraestructura y servicios, además de documentarlos en el contexto del agente. Separa identidades por función y evita compartir credenciales administrativas. Diseña revocación y trazabilidad desde el inicio.
Continúa en las fuentes
Documentación oficial para verificar detalles y explorar más.