La empresa se basa en «una vez que estás en la VPN, eres de confianza». ¿Qué cambio de arquitectura propones?
Respuesta breve
La confianza basada en la ubicación de red significa que un único punto de apoyo dentro concede un amplio movimiento lateral: una credencial de VPN obtenida por phishing y el atacante está «dentro». El zero trust elimina la confianza implícita: cada acceso se autentica, autoriza y reevalúa de forma continua según la identidad y la postura del dispositivo, con mínimo privilegio y segmentación (NIST SP 800-207). Una segunda VPN o una VPN más amplia solo extiende el mismo problema de confianza plana, y confiar en la LAN en lugar de la VPN repite el error original.
«Una vez que estás en la VPN, eres de confianza» es el modelo perimetral clásico: una cáscara externa dura y un interior blando y plano. Tenía sentido cuando empleados, servidores y datos cabían en un solo edificio. Falla estrepitosamente en cuanto los atacantes, el teletrabajo, la nube y el SaaS difuminan el perímetro.
Por qué se rompe el modelo perimetral
La propiedad fatal es la confianza implícita basada en la ubicación de red. La autenticación ocurre una sola vez, en el borde de la VPN. Después, el usuario —o quien haya robado su credencial de VPN— se trata como de confianza en una red interna plana. Una sola credencial obtenida por phishing, un portátil comprometido o un infiltrado malicioso dispone entonces de un amplio movimiento lateral: escanear, pivotar y alcanzar sistemas que deberían haber estado vetados. La VPN autenticó una conexión, no cada petición.
El cambio: zero trust
El zero trust (NIST SP 800-207) descarta la confianza implícita. Su principio central: nunca confíes, verifica siempre —cada petición de acceso a cada recurso se autentica y autoriza por sus propios méritos, según la identidad, la postura del dispositivo y el contexto, y se reevalúa de forma continua. Combínalo con mínimo privilegio (cada uno alcanza solo lo que necesita) y microsegmentación (la compromisión de una carga no abre el resto). El acceso pasa a ser una decisión por recurso, no una admisión de red de una sola vez.
Por qué las respuestas incorrectas lo son
«Añadir una segunda VPN para redundancia» mejora la disponibilidad pero deja intacto el modelo de confianza —el doble de superficie de confianza plana. «Ampliar la VPN a todos los empleados de forma permanente» escala el problema exacto a todo el mundo, aumentando el radio de impacto de cualquier credencial robada. «Confiar en la LAN pero no en la VPN» solo reubica la misma suposición errónea: sigue concediendo confianza por ubicación, solo que otra, y un atacante en la LAN la hereda.
Qué evalúa el entrevistador
Quiere oír que apuntas al modelo de confianza, no a la fontanería. Un buen arquitecto nombra la autorización por petición basada en identidad y postura, el mínimo privilegio y la segmentación, y sabe esbozar una migración realista —empezar por las aplicaciones críticas tras un proxy consciente de la identidad, e ir retirando el acceso VPN plano— en lugar de comprar más de lo que ya falló.
Posibles preguntas de seguimiento
- ¿Qué señales usarías para tomar una decisión de acceso por petición en un modelo zero trust?
- ¿Cómo migras de una VPN plana a zero trust sin paralizar el negocio de la noche a la mañana?
- ¿Dónde encaja la microsegmentación junto al acceso basado en identidad?