¿Estar dentro de la red empresarial es suficiente para ser confiable? Ya no.
- La nube, el trabajo híbrido y el acceso desde múltiples dispositivos borraron la antigua frontera entre “dentro” y “fuera” de la empresa. Microsoft señala que el 97% de los ataques contra identidades observados correspondió a password spray. El nuevo reto consiste en verificar quién accede, desde qué dispositivo, con qué privilegios y a qué información.
Durante años, la ciberseguridad empresarial funcionó bajo una lógica sencilla: quien estaba dentro de la red corporativa era considerado confiable; quien estaba fuera debía demostrar su identidad. Ese modelo dejó de responder a la realidad actual. Hoy, los colaboradores acceden a aplicaciones y datos desde oficinas, hogares, teléfonos móviles, laptops y servicios en la nube. La ubicación dejó de ser suficiente para determinar si una conexión es segura.
Al mismo tiempo, los atacantes han desplazado parte de sus esfuerzos hacia las identidades. El Microsoft Digital Defense Report 2025 señala que el 97% de los ataques contra identidades observados correspondió a password spray, una técnica que prueba contraseñas comunes sobre múltiples cuentas. Microsoft también destaca que la autenticación multifactor moderna reduce en más de 99% el riesgo de compromiso de identidad.
El problema ya no es proteger una frontera
“Durante mucho tiempo la seguridad dependió del lugar desde donde se conectaba una persona. Hoy importa mucho más quién solicita acceso, desde qué dispositivo lo hace, qué recurso necesita y cuál es el nivel de riesgo de esa sesión”, explica Enrique Solari, Director de Desarrollo de Negocios de DIMA Perú.
Cuando una credencial válida es comprometida, el atacante puede parecer un usuario legítimo. Por ello, conceder acceso únicamente porque alguien ingresó correctamente a la red puede generar una falsa sensación de seguridad. La respuesta está en cambiar la lógica: no confiar automáticamente y validar cada acceso según su contexto. Ese es el principio de Zero Trust, basado en verificar cada solicitud, otorgar solo el acceso necesario y asumir que una brecha puede ocurrir.
- Identidad: confirmar quién solicita el acceso y evaluar continuamente su nivel de riesgo.
- Dispositivo: determinar si el equipo está registrado, actualizado y cumple las políticas de seguridad.
- Privilegios: otorgar solamente los permisos necesarios durante el tiempo requerido.
- Recurso: proteger aplicaciones y datos según su criticidad, independientemente de dónde estén alojados.
Microsoft señala que estas políticas pueden analizar señales como identidad, estado del dispositivo, ubicación, comportamiento y nivel de riesgo antes de conceder acceso. “Zero Trust no significa desconfiar de las personas, sino dejar de confiar automáticamente en una conexión. Cada acceso debe tener un motivo, un nivel de privilegio y una validación acorde con el recurso que se quiere utilizar”, señala Solari.
El cambio modifica la lógica tradicional de la ciberseguridad: la pregunta ya no debería ser únicamente si alguien logró entrar a la red, sino si realmente debería tener acceso a ese recurso en ese momento.
