Hoy en día vivimos en una era en la que la información digital es uno de los activos más valiosos para individuos, empresas e instituciones. Con el aumento de amenazas cibernéticas y la sofisticación de los atacantes, confiar ciegamente en los sistemas tradicionales de seguridad es, en muchos casos, una invitación al desastre. En este contexto, dos conceptos clave se han convertido en estándares de protección digital: la arquitectura de confianza cero (Zero Trust) y la autenticación multifactor (MFA).

  Estos enfoques que no son nuevos, han cobrado gran relevancia en los últimos años debido al incremento del teletrabajo, la adopción masiva de la nube y el crecimiento exponencial de los ciberataques. En este artículo explicaremos por qué estos modelos son cruciales, cómo funcionan y cómo pueden ser implementados de manera efectiva, incluso para usuarios sin conocimientos técnicos avanzados.

  El modelo de confianza cero (Zero Trust) fue propuesto como una alternativa a las arquitecturas de red tradicionales que asumían que todo lo que estaba dentro del perímetro de la red era confiable. En términos simples, Zero Trust parte del principio de que ninguna entidad, ni siquiera las internas, puede ser totalmente confiable.En una arquitectura tradicional, cuando el atacante logra ingresar al sistema, puede moverse lateralmente y acceder a otros recursos sin muchas restricciones. Esto se conoce como el lateral movement, una técnica muy usada en ataques avanzados como los perpetrados por ransomware y APTs (Amenazas Persistentes Avanzadas). Con Zero Trust, cada solicitud de acceso, ya sea interna o externa, debe ser validada, autenticada y autorizada. Esto incluye usuarios, dispositivos, aplicaciones y cargas de trabajo.

  La autenticación multifactor, o MFA por sus siglas en inglés, es una técnica que requiere más de un método de verificación para acceder a una cuenta o sistema. En lugar de solo una contraseña, el usuario debe presentar al menos dos de los siguientes factores: algo que sabes (contraseña, PIN), algo que tienes (código en un celular, llave USB), algo que eres (huella digital, reconocimiento facial). MFA es una barrera extremadamente efectiva contra accesos no autorizados. Muchos ataques exitosos hoy en día ocurren no porque los atacantes sean muy sofisticados, sino porque los usuarios dependen únicamente de contraseñas débiles o reutilizadas.

  Combinados, Zero Trust y MFA crean un entorno de seguridad robusto, Zero Trust asegura que cada solicitud sea verificada, mientras que MFA garantiza que el usuario es realmente quien dice ser. Un ejemplo de porque son importantes fue en 2021, el grupo de cibercriminales LAPSUS$ logró acceder a sistemas internos de varias empresas tecnológicas simplemente robando credenciales de empleados mediante phishing y luego accediendo sin obstáculos adicionales. Si estas compañías hubieran aplicado MFA obligatoria y políticas de Zero Trust, el impacto habría sido mucho menor o inexistente.

  Un ejemplo de su uso es que con el auge del teletrabajo, muchas personas acceden a sistemas corporativos desde redes no seguras. Supongamos que Juan, un analista financiero, necesita ingresar al sistema ERP de su empresa desde su casa. Con Zero Trust, su dispositivo debe cumplir ciertos criterios (por ejemplo, tener antivirus actualizado). Con MFA, además de la contraseña, Juan debe ingresar un código enviado a su celular. El sistema revisa su ubicación, hora del acceso y tipo de dispositivo antes de concederle acceso completo. También otro podría ser que una empleada descontenta intenta extraer información confidencial desde una terminal interna. Zero Trust detecta una solicitud inusual desde un usuario no autorizado para acceder a un sistema crítico. MFA le solicita un segundo factor que la usuaria no puede proporcionar. La acción se bloquea automáticamente y se envía una alerta al equipo de seguridad.

  En conclusión la transformación digital no se detiene, y con ella crece también el riesgo de exposición a amenazas. Zero Trust y MFA representan una evolución lógica y necesaria en la forma en que concebimos la seguridad digital.Aplicar estos modelos no es solo una cuestión técnica; es una decisión estratégica y cultural. No importa si eres un usuario individual, una pequeña empresa o una gran corporación: el momento para dejar de confiar ciegamente es ahora.