En este artículo
Zero Trust es una regla sencilla: estar conectado a la red de la empresa no da acceso a nada por sí solo. Cada solicitud se verifica: quién es la persona, desde qué equipo entra y a qué recurso quiere llegar. En una pyme de 10 a 200 puestos, lo esencial se implanta en unos tres meses, sobre todo con herramientas que la empresa ya paga: Microsoft 365, firewall y equipos gestionados. No es un producto que se compra, es una forma de organizar los accesos.
En resumen
- Principio Verificar siempre, dar solo lo necesario, registrarlo todo.
- Alcance Cuatro frentes, en este orden: identidad, equipos, red y acceso mínimo.
- Plazo Unos tres meses en una empresa de 10 a 200 puestos.
- Motivo Según Verizon (2026), el 55% de las brechas de datos en pymes implicaron a terceros y el 45% tuvieron un factor humano.
Del castillo al aeropuerto: el cambio de modelo
Durante años, la seguridad empresarial imitó a un castillo: una muralla fuerte (el firewall) y confianza total en quien estaba dentro. Ese modelo ya no sirve. Hoy hay teletrabajo, Microsoft 365 en la cloud, móviles y proveedores con acceso remoto. Y la mayoría de los ataques no derriban la muralla: entran con la contraseña de alguien.
Un aeropuerto funciona de otra manera. Entrar en la terminal no basta para embarcar: la tarjeta se verifica en el control de seguridad, de nuevo en la puerta, y solo da acceso a un avión y a un asiento. Zero Trust aplica la misma lógica a los sistemas de la empresa.
Para la dirección, la ventaja es tangible: si roban una contraseña o se infecta un portátil, el daño se limita a una persona y a una parte de los sistemas, no a toda la empresa.
Por qué ya no puede esperar
El informe de brechas de datos de Verizon de 2026 indica que, en las pymes, el 55% de las brechas analizadas implicaron a terceros (proveedores, socios, prestadores de servicios) y el 45% tuvieron un componente humano: un clic, un error, una contraseña reutilizada. Ningún firewall perimetral resuelve esto por sí solo.
La directiva europea NIS2 exige, entre las medidas de gestión de riesgos, control de accesos, gestión de activos y autenticación multifactor. No habla de Zero Trust, pero los cuatro frentes cubren gran parte de ese trabajo técnico. Si su empresa está afectada, consulte la guía de la NIS2 para pymes.
Los cuatro frentes de un Zero Trust realista
1. Cuentas: la identidad como primera barrera
- MFA en todo Empezando por Microsoft 365 y por los administradores.
- Bajas resueltas en el día Cuentas de antiguos empleados desactivadas el mismo día.
- Pocos administradores Dos o tres personas identificadas, con cuentas separadas para las tareas de administración.
- Sin cuentas compartidas Nada de «general@» o «tienda1» para entrar en los sistemas.
Es el frente con mayor retorno: una contraseña obtenida por phishing deja de bastar. En la mayoría de las licencias de Microsoft 365 no tiene coste adicional; el esfuerzo es de organización. Detalles en autenticación multifactor en la empresa y en gestores de contraseñas para equipos.
2. Equipos: saber qué existe y en qué estado está
- Inventario Todos los ordenadores y móviles con acceso a datos de la empresa.
- Protección y actualizaciones Activas en todos.
- Acceso condicional En Microsoft 365, solo los equipos conformes llegan a los datos.
Los equipos sin soporte son la primera corrección, como Windows 10 desde el 14 de octubre de 2025. Vea qué hacer con el fin del soporte de Windows 10.
3. Red: zonas separadas y un firewall que decide
La red deja de ser un espacio único. Puestos, servidores, invitados, impresoras y cámaras quedan en zonas distintas, y el firewall gestionado decide qué circula entre ellas. Un ordenador infectado queda contenido en su zona y no llega a cifrar servidores ni copias de seguridad. Con switches gestionables y firewall gestionado, es configuración, no compra.
4. Acceso mínimo: cada persona solo a lo que necesita
- Permisos revisados Carpetas compartidas, SharePoint y Teams.
- Sin administración local Usuarios sin derechos de administrador en su propio ordenador.
- Acceso remoto por aplicación En lugar de acceso a toda la red, como explicamos en por qué la VPN ya no basta.
Es el frente más laborioso, porque toca hábitos, y por eso queda para el final. Ha ganado urgencia con Copilot y otras herramientas de IA, que muestran a cada persona todo lo que puede abrir. Lea las reglas que hay que definir antes de ChatGPT y Copilot.
Calendario de 90 días
Plazos para una empresa de 10 a 200 puestos, con un socio de IT dedicado y la dirección implicada:
| Periodo | Trabajo | Responsables | Impacto en el equipo |
|---|---|---|---|
| Mes 1 | MFA en todas las cuentas; limpieza de cuentas antiguas y de administradores; inventario de equipos | La dirección aprueba; IT ejecuta | Confirmación en el móvil al iniciar sesión |
| Mes 2 | Protección y actualizaciones en todos los equipos; acceso condicional en Microsoft 365; plan de sustitución de los equipos sin soporte | IT ejecuta; la dirección financiera aprueba las sustituciones | Los equipos personales dejan de descargar datos |
| Mes 3 | Red segmentada; red de invitados aislada; VPN limitada y cuentas individuales para proveedores | IT ejecuta en una intervención planificada | Casi ninguno; bien hecho, es invisible |
| Después | Revisión trimestral de permisos; retirada de derechos de administrador; transición gradual al acceso por aplicación | Los mandos validan; IT aplica | La instalación de software pasa por IT |
Lo que queda fuera del plan, a propósito
Hay soluciones avanzadas de Zero Trust: análisis del comportamiento de los usuarios, segmentación por aplicación, verificación continua del estado de cada equipo. En la mayoría de las pymes cuestan mucho y aportan poco mientras no estén hechos los cuatro frentes básicos.
El orden cuenta. MFA sin segmentación protege las cuentas, pero no la red; segmentación sin MFA protege la red, pero no las cuentas.
En la práctica: un parque Windows y Mac con las mismas reglas
En la oficina de Lisboa de Reltio by SAP, empresa estadounidense de software de datos, DataRoad se encarga del mantenimiento permanente y de la gestión de la red: 125 puntos de red estructurada, firewall, tres switches y puntos de acceso Wi-Fi Cisco Meraki, y soporte especializado a 35 equipos Dell y 40 MacBook Pro.
Es el retrato del segundo frente: un parque mixto donde las reglas tienen que ser iguales sea cual sea el sistema. Con el inventario hecho y la red gestionada desde un solo punto, aplicar Zero Trust es cuestión de método.
Preguntas frecuentes
¿Zero Trust es un producto?
No. Es una forma de diseñar los accesos. Hay productos que ayudan, pero en la mayoría de las pymes los cuatro frentes se resuelven con Microsoft 365, el firewall y los equipos existentes.
¿El trabajo será más lento?
Muy poco, si se implanta bien. El MFA pide una confirmación en el móvil y el acceso condicional no se nota cuando el equipo cumple las reglas. El cambio más visible es dejar de instalar programas sin pasar por IT, y eso es intencionado.
¿Una empresa de 15 puestos necesita esto?
El MFA y una red de invitados separada tienen sentido en cualquier empresa. El control de equipos y el acceso mínimo ganan peso con el tamaño y con la sensibilidad de los datos.
¿La NIS2 obliga a aplicar Zero Trust?
No usa el término, pero exige control de accesos, gestión de activos y MFA. Los cuatro frentes cubren buena parte de ese trabajo técnico. DataRoad implanta las medidas técnicas; el análisis jurídico corresponde a un abogado.
Siguiente paso: diagnóstico Zero Trust en 10 días hábiles
Evaluamos cuentas, equipos, red y permisos, le decimos en qué punto está su empresa y le entregamos el plan de los tres meses siguientes. La ciberseguridad gestionada (firewalls, protección de equipos, MFA y alertas) está incluida en IT Unlimited Premium. Solicite una propuesta sin compromiso. Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.
