¿Qué es ZTNA?
ZTNA (acceso de red zero trust) es un enfoque del acceso en el que no se confía en ningún usuario ni dispositivo solo por estar en la red. Cada solicitud para alcanzar un recurso se evalúa frente a la identidad verificada y las políticas, y el acceso se concede de forma restringida, a aplicaciones o sistemas específicos, y no a la red en su conjunto. Aplica el principio zero trust de «nunca confiar, verificar siempre» a la cuestión de quién puede alcanzar qué.
ZTNA (acceso de red zero-trust) concede acceso a aplicaciones específicas en función de la identidad verificada y las políticas, sin confiar nunca en un usuario o dispositivo por el mero hecho de estar en la red.
Qué define ZTNA
- 01
Impulsado por identidad y políticas: las decisiones de acceso se basan en quién o qué lo solicita y en si las políticas lo permiten, no en la ubicación en la red.
- 02
Mínimo privilegio: a un usuario o servicio se le concede acceso únicamente a los recursos específicos que necesita, no un alcance amplio en la red.
- 03
Sin confianza implícita: conectarse a la red no concede nada por sí mismo; cada sesión se verifica.
- 04
Los recursos permanecen ocultos: las aplicaciones internas no se exponen a la internet abierta y solo se alcanzan a través de la capa de acceso, mediante solicitudes autorizadas.
ZTNA frente a una VPN tradicional
Una VPN tradicional autentica a un usuario una vez y luego coloca su dispositivo en la red, a menudo con un alcance amplio: cualquiera que se conecte puede sondear lo que el enrutamiento de la red permita. ZTNA invierte esto: concede acceso a recursos individuales, por sesión, en función de una verificación continua, de modo que un dispositivo conectado solo puede alcanzar lo que las políticas permitan explícitamente. Esto reduce drásticamente el radio de impacto de una credencial robada o un dispositivo comprometido, porque no hay una red plana por la que moverse una vez que se está «dentro».
Cómo se ofrece ZTNA
ZTNA aparece de distintas formas. Los grandes proveedores de seguridad lo ofrecen como parte de amplias plataformas SASE entregadas desde la nube, donde un servicio global intermedia el acceso a las aplicaciones. Otras implementaciones integran el acceso zero trust en un fabric u overlay de red, autenticando cada nodo y sesión e imponiendo un acceso de mínimo privilegio por rol y segmento. Lo que comparten es el principio: verificar la identidad, conceder un acceso mínimo a recursos específicos, mantener esos recursos fuera de la internet abierta y registrar cada conexión.
Cómo se relaciona esto con Vexaro Mesh (en desarrollo)
Vexaro Mesh, actualmente en desarrollo, está diseñado para aplicar los principios zero trust al acceso dentro de su malla y no como una plataforma SASE independiente: cada nodo y cada sesión autenticados y verificados por política, el acceso concedido por rol y los sistemas internos aislados de internet y accesibles solo a través del fabric, con cada conexión registrada y exportable a su SIEM.
Ver las funciones previstas