Zero Trust es uno de los términos más usados y más malentendidos en ciberseguridad empresarial. La mayoría de las PYMEs lo escuchan y piensan que es algo para empresas enterprise con presupuestos de seis cifras. No lo es. Zero Trust es un principio de diseño que puede implementarse de manera incremental, sobre la infraestructura que ya tienes.
Qué significa Zero Trust realmente
El modelo tradicional de seguridad se basa en el perímetro: hay un "dentro" (la red corporativa) y un "fuera" (internet). Zero Trust parte de una premisa diferente: no confíes en nadie por defecto, verifica siempre. Cada intento de acceso se verifica según el contexto: quién eres, desde dónde accedes, con qué dispositivo y qué quieres hacer.
Los tres pilares de Zero Trust
1. Identidad verificada
MFA obligatorio para todos los usuarios sin excepciones. Conditional Access que evalúa el contexto de cada solicitud. Privilegios mínimos: cada usuario accede solo a lo que necesita. En Microsoft 365, esto se implementa con Microsoft Entra ID.
2. Dispositivos gestionados y verificados
Microsoft Intune permite registrar y gestionar todos los dispositivos desde una consola centralizada, aplicar políticas de seguridad (cifrado, antivirus, actualizaciones) y crear políticas de cumplimiento que bloquean el acceso desde dispositivos no seguros.
3. Datos protegidos y clasificados
Microsoft Purview permite etiquetar documentos según su sensibilidad, aplicar protecciones que viajan con el documento y configurar políticas DLP para evitar que información sensible salga por canales no autorizados.
La hoja de ruta para PYMEs: fase por fase
Fase 1 (semanas 1–4): Activar MFA para todos, configurar Security Defaults de Entra ID, revisar y eliminar cuentas de exempleados. Tiempo estimado: 3–5 días. Coste adicional: €0 con licencias M365 Business Standard o superior.
Fase 2 (semanas 4–8): Activar y configurar Microsoft Intune, inscribir dispositivos corporativos, crear políticas de cumplimiento básicas. Tiempo estimado: 2–3 semanas. Incluido en Microsoft 365 Business Premium.
Fase 3 (semanas 8–12): Implementar etiquetas de sensibilidad con Purview, configurar políticas DLP básicas para email y SharePoint, formar a los usuarios.
Si quieres entender qué controles de seguridad tienes y cuáles son las brechas más críticas, ofrezco una auditoría de seguridad Microsoft 365.