El Zero Trust Maturity Model (ZTMM) de CISA, explicado
«¿Cómo hacemos zero trust?» es una pregunta de estrategia, y el Zero Trust Maturity Model (ZTMM) de CISA es uno de los mapas más útiles para responderla. En lugar de un producto o un checklist, describe el zero trust en cinco pilares y cuatro etapas de madurez, para que veas dónde estás y planifiques adónde ir.
Los cinco pilares
- Identidad: autenticar y autorizar a usuarios y servicios (el pilar con más palanca).
- Dispositivos: la postura de seguridad de los endpoints que acceden a los recursos.
- Redes: segmentación y control del tráfico de red.
- Aplicaciones y cargas de trabajo: proteger las aplicaciones y las cargas de trabajo en las que se ejecutan.
- Datos: clasificar, proteger y gobernar los propios datos.
Tres capacidades transversales sostienen los cinco: Visibilidad y analítica, Automatización y orquestación, y Gobernanza.
Las cuatro etapas de madurez
- Traditional: controles manuales, estáticos y basados en el perímetro.
- Initial: se empieza a automatizar y a aplicar los principios de zero trust en algunos puntos.
- Advanced: controles coordinados, en gran parte automatizados, con visibilidad centralizada.
- Optimal: controles totalmente automatizados, dinámicos y basados en políticas, con validación continua.
Cada pilar puede estar en una etapa distinta: la mayoría de las organizaciones son desiguales, que es justo lo que el modelo pretende revelar. Si también gestionas un programa del NIST, el mismo razonamiento por etapas aparece en los niveles de madurez del NIST CSF 2.0.
CISA ZTMM versión 2.0: qué cambió y dónde encaja
El Zero Trust Maturity Model de CISA vigente es la versión 2.0, publicada en abril de 2023; su mayor cambio respecto al borrador de 2021 (versión 1.0) fue añadir una cuarta etapa, Initial, entre Traditional y Advanced, para que las organizaciones puedan mostrar sus primeros avances en lugar de saltar directamente de los controles heredados a los avanzados.
- Versión 1.0 (borrador de 2021): tres etapas: Traditional, Advanced y Optimal.
- Versión 2.0 (abril de 2023): cuatro etapas, con Initial añadida, funciones actualizadas dentro de cada pilar y las tres capacidades transversales aplicadas a todos los pilares.
El modelo convive con otras dos referencias federales de EE. UU. NIST SP 800-207 define la arquitectura zero trust, y el memorando M-22-09 de la OMB fijó la estrategia y los objetivos de zero trust de la administración federal. El modelo de CISA es el puente práctico: una forma de medir, pilar a pilar, cuánto ha avanzado una organización hacia ese estado objetivo.
Una forma rápida de leer cualquier pilar es comparar sus extremos. En Identidad, Traditional significa contraseñas o un MFA básico con accesos estáticos y gestionados a mano; Optimal significa validación continua de la identidad y del riesgo en cada solicitud de acceso, sobre la base de un MFA resistente al phishing. La mayoría de las organizaciones están en algún punto intermedio, en una etapa distinta en cada pilar.
Cómo usarlo
Evalúa la etapa actual de cada pilar, encuentra los pilares que están a la vez retrasados y son de alto riesgo, fija un objetivo realista por pilar y construye una hoja de ruta gradual. La Identidad suele ser el punto de partida: una identidad fuerte y resistente al phishing (passkeys y llaves de seguridad FIDO2) sostiene los otros cuatro pilares.
Evalúa tu postura con la herramienta de madurez zero trust →, y empieza por el pilar de Identidad con la calculadora de riesgo de identidad.
Preguntas frecuentes
¿Cuáles son los principios del zero trust en ciberseguridad? El zero trust se basa en unos pocos principios fundamentales: nunca confiar, verificar siempre; verificar explícitamente cada solicitud; aplicar el acceso de mínimo privilegio; y asumir la brecha, es decir, diseñar como si un atacante ya estuviera dentro. Los cinco pilares de CISA ponen en práctica estos principios en la identidad, los dispositivos, las redes, las aplicaciones y los datos.
¿Qué es la Zero Trust Reference Architecture del Departamento de Defensa de EE. UU.? La DoD Zero Trust Reference Architecture es el plan de zero trust propio del Departamento de Defensa, organizado en torno a siete pilares y a un conjunto de actividades objetivo y avanzadas. Es distinta del modelo de madurez de cinco pilares de CISA, aunque ambos se basan en los mismos principios de zero trust.
¿Los cinco pilares? Identidad, Dispositivos, Redes, Aplicaciones y cargas de trabajo, y Datos, más las capacidades transversales de Visibilidad, Automatización y Gobernanza.
¿Las cuatro etapas? Traditional, Initial, Advanced y Optimal.
¿Es un requisito de cumplimiento? Es sobre todo un marco de planificación y autoevaluación (las agencias federales tienen directivas de zero trust que lo citan).
¿Cómo me autoevalúo? Califica cada pilar, fija objetivos realistas y prioriza; empieza por la Identidad.
Preguntas frecuentes
¿Cuáles son los principios del zero trust en ciberseguridad?
El zero trust se basa en unos pocos principios fundamentales: nunca confiar, verificar siempre; verificar explícitamente cada solicitud; aplicar el acceso de mínimo privilegio; y asumir la brecha, es decir, diseñar como si un atacante ya estuviera dentro. Los cinco pilares de CISA ponen en práctica estos principios en la identidad, los dispositivos, las redes, las aplicaciones y los datos.
¿Qué es la Zero Trust Reference Architecture del Departamento de Defensa de EE. UU.?
La DoD Zero Trust Reference Architecture es el plan de zero trust propio del Departamento de Defensa, organizado en torno a siete pilares y a un conjunto de actividades objetivo y avanzadas. Es distinta del modelo de madurez de cinco pilares de CISA, aunque ambos se basan en los mismos principios de zero trust.
¿Cuáles son los cinco pilares del Zero Trust Maturity Model de CISA?
Identidad, Dispositivos, Redes, Aplicaciones y cargas de trabajo, y Datos. Estos cinco pilares se apoyan en tres capacidades transversales que se aplican a todos ellos: Visibilidad y analítica, Automatización y orquestación, y Gobernanza. Juntos describen las áreas en las que una organización madura en su camino hacia el zero trust.
¿Cuáles son las cuatro etapas de madurez?
Traditional (controles manuales, estáticos y basados en el perímetro), Initial (se empieza a automatizar y a aplicar los principios de zero trust en algunos puntos), Advanced (controles coordinados, en gran parte automatizados, con visibilidad centralizada) y Optimal (controles totalmente automatizados, dinámicos y basados en políticas, con validación continua en todos los pilares). Cada pilar puede estar en una etapa distinta.
¿Es el ZTMM de CISA un requisito de cumplimiento?
Para la mayoría de las organizaciones es un marco de planificación y autoevaluación, no una obligación, aunque las agencias federales de EE. UU. se rigen por directivas de zero trust que lo citan. Está pensado para ayudarte a entender tu estado actual, fijar un objetivo adecuado a tu riesgo y priorizar mejoras graduales, no para certificarte frente a un listón fijo.
¿Cómo hago una autoevaluación del ZTMM?
Califica cada uno de los cinco pilares frente a las cuatro etapas según tus controles actuales, identifica qué pilares están más retrasados y son de mayor riesgo, fija una etapa objetivo realista por pilar y construye una hoja de ruta priorizada. La Identidad suele ser el pilar con más palanca para avanzar primero, ya que una identidad fuerte y resistente al phishing sostiene los demás.