Zero trust frente a VPN: ¿cuál protege mejor tu red?

Una VPN autentica a un usuario una vez y lo deja caer en la red, donde puede llegar a todo lo que permita el firewall. Zero Trust (en concreto, Zero Trust Network Access, ZTNA) nunca confía por defecto: autentica cada petición según la identidad, el estado del dispositivo y el contexto, y concede acceso a aplicaciones individuales en lugar de a toda la red. Para la mayoría de las organizaciones ZTNA es el mejor modelo porque elimina el problema de la red plana que permite a los atacantes moverse lateralmente tras robar una sola credencial de VPN. Pero las VPN no han muerto: siguen teniendo sentido en casos concretos de conexión entre sedes y de sistemas heredados, que veremos más abajo.

La diferencia de fondo: acceso a la red frente a acceso a aplicaciones

Una VPN tradicional crea un túnel cifrado hacia un segmento de red. Una vez dentro, eres alguien de dentro de confianza. Si un atacante consigue con phishing unas credenciales de VPN, hereda esa confianza y puede explorar y pivotar por todo lo que sea alcanzable en ese segmento. Así es exactamente como muchos operadores de ransomware se hacen con un punto de apoyo.

ZTNA invierte el modelo. Intermedia el acceso a aplicaciones concretas, no a redes, y vuelve a evaluar la confianza en cada conexión usando señales como:

• Identidad: verificada mediante SSO/MFA, no solo con una contraseña de VPN compartida.
• Estado del dispositivo: ¿el endpoint está parcheado, cifrado y gestionado?
• Contexto: ubicación, hora y puntuación de riesgo de la petición.

El resultado práctico: una credencial comprometida en un modelo ZTNA expone una aplicación, no todo el entorno interno. El movimiento lateral (lo que convierte una brecha en una catástrofe) se reduce de forma drástica.

¿Puede ZTNA sustituir realmente a una VPN?

Para el acceso remoto de usuarios a aplicaciones internas, sí: ZTNA es un sustituto directo de la VPN y normalmente uno mejor. Los usuarios se conectan a las aplicaciones a través de un intermediario sin tocar nunca la red subyacente, así que no hay un concentrador VPN expuesto que los atacantes puedan escanear y explotar. Este último punto importa: las pasarelas VPN son un objetivo favorito precisamente porque están expuestas a internet y conceden un acceso amplio.

Donde las VPN siguen teniendo su sitio:

• Conectividad entre sedes (site-to-site) entre centros de datos o sucursales, donde unes redes, no usuarios con aplicaciones.
• Protocolos heredados y aplicaciones de cliente pesado que los intermediarios ZTNA no admiten limpiamente (aunque la mayoría ya los gestionan).
• Necesidades de túnel completo, como enrutar todo el tráfico por un punto de inspección por motivos de cumplimiento.

Sobre los debates de «Zero Trust VPN gratis» y de Reddit: existen ofertas de ZTNA con nivel gratuito (Cloudflare, Tailscale, Twingate) y son realmente utilizables para equipos pequeños, pero «gratis» suele limitar los usuarios o quitar funciones de estado del dispositivo y de registro que necesitarás a escala. Y sobre la pregunta recurrente de «por qué evitar NordVPN»: las VPN de consumo como NordVPN son herramientas de privacidad para particulares, no controles de acceso empresariales. No ofrecen intermediación de identidad, ni estado del dispositivo, ni segmentación por aplicación, así que resuelven un problema totalmente distinto y no deben confundirse con ZTNA.

Las desventajas de zero trust (los pros y contras honestos)

Zero Trust no está libre de compromisos. Ponles nombre antes de comprometerte:

• Complejidad de implantación. Necesitas una base de identidad sólida (SSO, MFA, un directorio preciso) antes de que ZTNA aporte valor. Identidad débil = zero trust débil.
• Carga de descubrimiento de aplicaciones. Intermediar el acceso por aplicación significa que primero debes inventariar cada aplicación y sus requisitos de acceso. El shadow IT rompe esto.
• Coste y esfuerzo de migración. Es un programa, no un producto. Quitar las VPN de la noche a la mañana rara vez es realista.
• Latencia y riesgo de punto único de fallo si el intermediario ZTNA está mal diseñado o infradimensionado.

Los pros (menos movimiento lateral, acceso granular, mejor registro y ningún perímetro de red expuesto) pesan más que estos para la mayoría, pero solo si planificas el despliegue en lugar de pulsar un interruptor.

Cómo planificar la migración con los cinco pilares de CISA

No lo plantees como «comprar ZTNA, desinstalar la VPN». Usa un marco de madurez. El Zero Trust Maturity Model 2.0 de CISA define cinco pilares (Identity, Devices, Networks, Applications & Workloads y Data), cada uno puntuado en cuatro etapas: Traditional, Initial, Advanced y Optimal. Una secuencia pragmática:

• Primero la identidad. Impón MFA resistente al phishing y SSO. Es el requisito previo de todo lo demás.
• Después los dispositivos. Pon en marcha comprobaciones del estado del dispositivo para que las decisiones de acceso tengan en cuenta la salud del endpoint.
• Redes y aplicaciones. Introduce ZTNA para intermediar primero las aplicaciones de alto valor, funcionando junto a la VPN. Migra aplicación por aplicación.
• Datos. Añade clasificación y controles de acceso una vez que el plano de acceso sea fiable.

Puntúate con honestidad en cada pilar: la mayoría de las organizaciones están en «Traditional» o «Initial» en Devices y Data incluso cuando Identity está madura.

Preguntas frecuentes

¿Cuál es la diferencia de fondo entre zero trust y una VPN?

Una VPN tradicional crea un túnel cifrado hacia un segmento de red. Una vez dentro, eres alguien de dentro de confianza. Si un atacante consigue con phishing unas credenciales de VPN, hereda esa confianza y puede explorar y pivotar por todo lo que sea alcanzable en ese segmento.

¿Puede ZTNA sustituir a una VPN?

Para el acceso remoto de usuarios a aplicaciones internas, sí: ZTNA es un sustituto directo de la VPN y normalmente uno mejor. Los usuarios se conectan a las aplicaciones a través de un intermediario sin tocar nunca la red subyacente, así que no hay un concentrador VPN expuesto que los atacantes puedan escanear y explotar.

¿Cuáles son las desventajas de zero trust?

Zero Trust no está libre de compromisos. Ponles nombre antes de comprometerte: Complejidad de implantación. Necesitas una base de identidad sólida (SSO, MFA, un directorio preciso) antes de que ZTNA aporte valor. Identidad débil = zero trust débil.

¿Cómo se planifica una migración a zero trust con los cinco pilares de CISA?

No lo plantees como «comprar ZTNA, desinstalar la VPN». Usa un marco de madurez. El Zero Trust Maturity Model 2.0 de CISA define cinco pilares (Identity, Devices, Networks, Applications & Workloads y Data), cada uno puntuado en cuatro etapas: Traditional, Initial, Advanced y Optimal.