Arquitectura de seguridad que verifica rigurosamente cada solicitud independientemente de su origen, eliminando la confianza implícita en redes internas.
Zero Trust es un modelo de seguridad que elimina la confianza implícita en redes corporativas. El principio central es «nunca confiar, siempre verificar»: cada solicitud se autentica, autoriza y cifra independientemente de su origen — ya sea desde internet o desde la red interna.
El término fue acuñado por Forrester en 2009 y formalizado por NIST en la publicación SP 800-207 (2020), que define siete principios fundamentales: verificación explícita, acceso con mínimo privilegio, asunción de brecha, microsegmentación, cifrado de extremo a extremo, monitoreo continuo y automatización de políticas.
El modelo tradicional de seguridad perimetral asume que todo dentro de la red corporativa es confiable. Esto falla por tres razones:
El Policy Engine evalúa cada solicitud considerando: identidad del usuario, estado del dispositivo, ubicación, hora, recurso solicitado y nivel de riesgo. No basta con estar autenticado — el contexto determina el acceso.
Google publicó su implementación de Zero Trust en 2014. Los principios clave:
Servicios como Cloudflare Access, AWS Verified Access y Google IAP implementan Zero Trust sin VPN:
En una arquitectura de microservicios, la microsegmentación aplica políticas de acceso a nivel de servicio individual. Con un service mesh como Istio:
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
name: product-service-policy
namespace: production
spec:
selector:
matchLabels:
app: product-service
action: ALLOW
rules:
- from:
- source:
principals: ["cluster.local/ns/production/sa/api-gateway"]
to:
- operation:
methods: ["GET"]
paths: ["/api/products/*"]
when:
- key: request.auth.claims[iss]
values: ["https://auth.example.com"]Esta política permite solo al api-gateway acceder al product-service, solo con método GET, solo en rutas específicas, y solo con un token JWT válido del issuer correcto. Cualquier otra combinación se bloquea por defecto.
| Característica | Perímetro tradicional | Zero Trust |
|---|---|---|
| Modelo de confianza | Implícita dentro de la red | Verificación por solicitud |
| Segmentación | VLANs y subnets | Microsegmentación por servicio |
| Autenticación | Sesión única (VPN) | Continua (JWT + mTLS) |
| Movimiento lateral | Posible tras ingreso | Bloqueado por defecto |
| Visibilidad | Límites de red | Granular por recurso y solicitud |
| Trabajo remoto | Requiere VPN | Nativo (IAP) |
| Superficie de ataque | Amplia tras penetración | Mínima por diseño |
CISA define cinco pilares para la madurez de Zero Trust:
Zero Trust no es un producto que se compra — es un cambio arquitectónico que afecta identidad, red, aplicaciones y datos. La implementación es incremental: empezar con autenticación multifactor y acceso basado en identidad, luego avanzar hacia microsegmentación y monitoreo continuo. Para equipos con microservicios y service mesh, la microsegmentación con mTLS es el punto de entrada más natural.
Estilo arquitectónico que estructura una aplicación como colección de servicios pequeños, independientes y desplegables, cada uno con su propia lógica de negocio y datos.
Capa de infraestructura dedicada a gestionar la comunicación entre microservicios, proporcionando observabilidad, seguridad y control de tráfico de forma transparente.
Estándares de la industria para autorización delegada (OAuth 2.0) y autenticación federada (OpenID Connect), habilitando login con terceros y acceso seguro a APIs.
Servicio de gestión de identidad y acceso de AWS que controla quién puede hacer qué en tu cuenta, con políticas granulares basadas en el principio de mínimo privilegio.