ZTNA: qué es y en qué cambia frente a la VPN

ZTNA (Zero Trust Network Access, acceso a la red de confianza cero) es una forma de dar acceso remoto a aplicaciones y datos concretos, con políticas estrictas y el mínimo privilegio. En una VPN de acceso remoto, el usuario entra por un túnel cifrado a la red de la empresa. En ZTNA, entra solo a lo que se le ha autorizado, y se comprueban su identidad y su contexto.

Esa diferencia importa sobre todo cuando algo sale mal. Si alguien se cuela con una cuenta robada, lo que alcanza depende de hasta dónde le deje llegar el acceso.

Cómo funciona ZTNA

Parte de la idea de confianza cero: NIST la define como no conceder confianza implícita a un usuario o equipo solo por dónde esté en la red o por quién sea su dueño. Estar en la oficina, o dentro del túnel, no da permiso por sí mismo.

INCIBE resume ZTNA en tres principios:

• Verificación continua: cada intento de acceso se autentica y se autoriza.
• Acceso granular: solo a los recursos que ese usuario necesita.
• Seguridad dinámica: las comprobaciones se hacen en tiempo real, teniendo en cuenta factores como la ubicación, el tipo de equipo o su comportamiento reciente.

Detrás suele haber tres piezas, que NIST describe así: el cliente o el navegador por el que entra el usuario, un controlador que evalúa cada petición según las políticas, y una puerta de enlace que deja pasar o no el tráfico hacia el recurso.

La guía conjunta de CISA y otras agencias añade detalles prácticos: esa comprobación puede incluir el estado de seguridad del equipo, la ubicación y la autenticación multifactor, el usuario vuelve a autenticarse periódicamente, y el proceso se repite si pide acceso a otras aplicaciones.

ZTNA y VPN, frente a frente

La tabla simplifica, y las comparaciones de los fabricantes aún más. Fortinet, que vende ZTNA, presenta la VPN como acceso a toda la red tras una sola comprobación. CISA matiza que algunas VPN se pueden configurar con reglas de cortafuegos detalladas para limitar el acceso, aunque no todos los proveedores lo ofrecen. Una VPN bien segmentada se parece más a ZTNA de lo que sugiere esa comparación.

Por qué se cuestionan las VPN

La guía de CISA, publicada en junio de 2024 con el FBI y las agencias de Nueva Zelanda y Canadá, es el texto oficial más directo sobre esto. Sus argumentos, y los de NIST:

• Vulnerabilidades explotadas. CISA cuenta más de 22 vulnerabilidades explotadas conocidas relacionadas con VPN, que dieron acceso amplio a las redes de las víctimas. El aparato está expuesto a internet y, si cae, el atacante puede moverse por dentro.
• Cuentas y equipos comprometidos. Sin explotar ningún fallo, quien se conecta con una cuenta o un equipo comprometidos puede llegar a todos los servicios de la red.
• Terceros. Dar VPN a proveedores externos sin una segmentación estricta añade riesgo, y NIST señala que los agentes de software que suelen requerir complican el acceso cuando hay muchos usuarios externos.
• El rodeo hacia la nube. NIST explica que el tráfico remoto termina en la sede y de ahí vuelve a internet para llegar a la nube, lo que alarga el camino, aumenta la latencia y puede crear cuellos de botella.
• El límite del aparato. NIST también indica que, en un equipo físico, el número de usuarios que se pueden conectar tiene un tope.

CISA no dice que toda VPN sea mala. La ficha de la guía insta a las empresas a ir hacia soluciones como la confianza cero, SSE o SASE, pero el texto reconoce que unas VPN son más seguras que otras y que no siempre son la causa de los incidentes graves, y pide analizar los riesgos de cada organización antes de cambiar. Ten en cuenta también que estas agencias no son españolas, y que no se dirigen en concreto a las pymes.

La VPN no desaparece

Un ejemplo de un fabricante: desde FortiOS 7.6.3, Fortinet ya no ofrece el modo túnel de VPN SSL en ningún FortiGate, y lo sustituye por VPN IPsec, que puede configurarse sobre el puerto TCP 443. Es decir, retira una forma concreta de VPN, pero no la VPN. Si tienes un FortiGate con ese modo, Fortinet pide migrar la configuración antes de actualizar, porque los ajustes no se conservan.

Lo que ZTNA no resuelve

Cambiar de tecnología no elimina el riesgo, solo lo traslada en parte. NIST avisa de varios puntos sobre las arquitecturas de confianza cero:

• Las credenciales siguen siendo el objetivo. La autenticación multifactor reduce el riesgo, pero un atacante con credenciales válidas todavía puede llegar a lo que esa cuenta tiene permitido. Por eso importa que los permisos sean de verdad mínimos.
• La pieza central se vuelve crítica. Si un ataque o una avería deja sin servicio el controlador o la puerta de enlace, puede afectar a la actividad de la empresa. NIST recuerda que eso también ocurre con las VPN, y que un servicio en la nube también se cae.
• Dependencia del proveedor. Los datos y las políticas suelen estar en formatos propios, y cambiar de proveedor puede salir caro o llevar tiempo.
• Las políticas hay que definirlas. CISA advierte de que la eficacia depende mucho de cómo estén diseñadas la red y la infraestructura, y pide evaluar las necesidades de cada organización antes de elegir.

ZTNA y el cortafuegos físico

ZTNA no obliga a tirar el cortafuegos, ni tampoco lo sustituye: uno controla quién accede a una aplicación desde fuera, y el otro sigue filtrando el tráfico de la oficina. Hay dos formas de tenerlo:

• En tu cortafuegos, si lo admite. Fortinet explica que FortiOS, el sistema de sus FortiGate, toma y aplica las decisiones de ZTNA según el estado de seguridad del equipo. Sophos lo incluye en su licencia Xstream Plus. Comprueba si tu modelo y tu licencia lo cubren.
• Como servicio en la nube. CISA lo cuenta entre las piezas de SSE, junto con la puerta de enlace web segura, el CASB y el cortafuegos como servicio. En SASE se suma también la parte de red.

Qué conviene según tu caso

Esto es criterio de esta web, no de las fuentes citadas, y piensa en una pyme:

Cómo empezar, si te compensa

También es criterio propio:

1. Haz una lista de quién accede a qué desde fuera. Sin ella no puedes escribir políticas de mínimo privilegio, ni en ZTNA ni en la VPN.
2. Mejora lo que ya tienes: actualiza el aparato, activa la autenticación multifactor y limita los accesos por grupos. CISA pide autenticación multifactor resistente al phishing y acceso según el mínimo privilegio, sea cual sea la solución.
3. Prueba con un caso pequeño, como un proveedor o una aplicación, sin retirar la VPN.
4. Mira el coste total: la licencia por usuario, si los equipos necesitan un agente, y qué pasa con las aplicaciones antiguas que no encajen.
5. Comprueba qué ocurre si el servicio falla y cómo saldrías del proveedor si tuvieras que cambiar.