# Zero trust

> Seguridad que revisa cada pedido, en vez de confiar en lo que está adentro de la red.

- Nivel: Avanzado
- Temas: Seguridad
- URL: https://tidbit.legios.com.ar/es/zero-trust/
- En inglés: [Zero trust](https://tidbit.legios.com.ar/zero-trust/)

Durante décadas, la seguridad de las empresas siguió el modelo del **castillo y el foso**: un muro fuerte alrededor de la red de la oficina (el firewall), una puerta para entrar desde afuera (la VPN), y una vez adentro, casi todo era accesible y confiable. Ese modelo se rompe cuando un mail de phishing le da a un atacante un pie adentro, cuando la gente trabaja desde la casa o desde un café, y cuando las apps viven en la nube y no en la oficina.

**Zero trust** (confianza cero) abandona la idea de que estar en la red correcta signifique algo. Cada pedido, a cada app, se revisa por separado: quién lo hace (un inicio de sesión fuerte, casi siempre con autenticación de dos factores), desde qué dispositivo (¿es la notebook de la empresa?, ¿está actualizada?) y si esa persona debería tener acceso a esa cosa puntual en ese momento. La regla de fondo es el **mínimo privilegio**: cada persona y cada servicio recibe solo el acceso que necesita, nada más.

En la práctica implica un proveedor de identidad con SSO delante de cada app, controles del dispositivo, credenciales que duran poco, permisos finos como los que da IAM en AWS, y registros de cada acceso. Google lo popularizó puertas adentro después de un ataque grave en 2009, y el NIST del gobierno de Estados Unidos publicó una arquitectura de referencia. No es un producto que se compra sino una dirección: cada paso que saca confianza implícita hace que una contraseña robada o una notebook infectada causen menos daño.

## Una analogía

Un edificio de oficinas donde la credencial se revisa en cada puerta, no solo en la entrada. Llegar al hall ya no te habilita a entrar a la sala de servidores; cada puerta vuelve a preguntar si vos, hoy, deberías pasar.

## Para quedarse

- Estar en la red no da nada: estar adentro no es motivo para confiar.
- Cada pedido se revisa por identidad, dispositivo y permiso.
- Mínimo privilegio: cada persona y servicio recibe solo el acceso que necesita.
- Limita el daño de contraseñas robadas y dispositivos infectados en vez de suponer que no van a pasar.

## Para seguir leyendo

- [Zero Trust en AWS](https://aws.amazon.com/es/security/zero-trust/)
- [NIST SP 800-207, Zero Trust Architecture (en inglés)](https://csrc.nist.gov/pubs/sp/800/207/final)

## Términos relacionados

- [Firewall](https://tidbit.legios.com.ar/es/firewall/): Un portero que decide qué tráfico de red entra o sale.
- [VPN](https://tidbit.legios.com.ar/es/vpn/): Un túnel cifrado que manda todo tu tráfico a través de otra red primero.
- [Phishing](https://tidbit.legios.com.ar/es/phishing/): Un mensaje falso que te engaña para que entregues una contraseña o un pago.
- [Computación en la nube](https://tidbit.legios.com.ar/es/cloud-computing/): Alquilar computadoras por internet en vez de comprar las tuyas.
- [Autenticación de dos factores](https://tidbit.legios.com.ar/es/two-factor-authentication/): Una segunda prueba de que sos vos, para que una contraseña robada no alcance.
- [OAuth y SSO](https://tidbit.legios.com.ar/es/oauth-and-sso/): Iniciar sesión una vez con una cuenta confiable y que ella responda por vos en otras apps.
- [IAM](https://tidbit.legios.com.ar/es/iam/): El reglamento que dice quién puede hacer qué en tu cuenta de AWS.
- [Google](https://tidbit.legios.com.ar/es/google/): La empresa del buscador, que regala casi todo y gana plata con publicidad.