Arquitectura de confianza cero

En abril de 1994, Stephen Paul Marsh acuñó el término "confianza cero" en su tesis doctoral sobre seguridad informática en la Universidad de Stirling . El trabajo de Marsh estudió la confianza como algo finito que puede describirse matemáticamente, afirmando que el concepto de confianza trasciende factores humanos como la moralidad , la ética , la legalidad , la justicia y el juicio . ^{[ 7 ]}

Los problemas del modelo Smartie o M&M de la red (la descripción precursora de la desperimetrización ) fueron descritos por un ingeniero de Sun Microsystems en un artículo de Network World en mayo de 1994, quien describió la defensa perimetral de los firewalls como una cáscara dura alrededor de un centro blando, como un huevo Cadbury. ^{[ 8 ]}

En 2001 se publicó la primera versión del OSSTMM (Manual de Metodología de Pruebas de Seguridad de Código Abierto), que se centraba en la confianza. La versión 3, publicada alrededor de 2007, incluye un capítulo completo sobre la confianza que afirma que "la confianza es una vulnerabilidad" y explica cómo aplicar los 10 controles del OSSTMM en función de los niveles de confianza. ^{[ 9 ]}

En 2018, el Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU. y el Centro Nacional de Excelencia en Ciberseguridad (NCCoE) publicaron NIST SP  800-207: arquitectura de confianza cero. ^{[ 10 ] [ 11 ]} La publicación define la confianza cero como un conjunto de conceptos e ideas diseñados para reducir la incertidumbre en la aplicación de decisiones de acceso precisas, por solicitud, en sistemas y servicios de información ante una red considerada comprometida. Una Arquitectura de Confianza Cero (ZTA) es el plan de ciberseguridad de una empresa que utiliza conceptos de confianza cero y abarca las relaciones entre componentes, la planificación del flujo de trabajo y las políticas de acceso. Por lo tanto, una empresa de confianza cero es la infraestructura de red (física y virtual) y las políticas operativas que se encuentran en funcionamiento para una empresa como resultado de un plan de arquitectura de confianza cero.

Hay varias maneras de implementar todos los principios de ZT; una solución ZTA completa incluirá elementos de las tres:

• Utilizando una gobernanza de identidad mejorada y controles de acceso basados ​​en políticas.
• Utilizando la microsegmentación
• Utilizando redes superpuestas o perímetros definidos por software.

En septiembre de 2025, el Comité Técnico CYBER del Instituto Europeo de Normas de Telecomunicaciones (ETSI) (ETSI TC CYBER) publicó la Especificación Técnica (TS) 104 102, que detalla la metodología ZT-Kipling . ^{[ 12 ]} La metodología ZT-Kipling define la Confianza Cero (ZT) de la siguiente manera:

ZT es una estrategia (o enfoque) de seguridad que se basa en la ausencia de confianza implícita (es decir, confianza cero) en el mundo digital, y está diseñada para detectar y prevenir brechas, verificando de forma constante (o mejor aún, continua) a todos los usuarios, todos los dispositivos, todas las capas (por ejemplo, la recomendación ITU-T X.200 del modelo de capas OSI...), todas las aplicaciones, en todas las ubicaciones en tiempo real (tiempo de ejecución), y aplicando la seguridad de la canalización de integración continua y entrega continua (CI/CD), lo que da como resultado una seguridad preventiva contra todos los vectores de ataque en todas las etapas de los ataques: de esta manera, la confianza se vuelve explícita.

La metodología ZT-Kipling va más allá de los principios fundamentales de la Arquitectura de Confianza Cero (ZTA) ^{[ 11 ]} al definir un conjunto de cinco pasos iterativos obligatorios. Esta metodología trata a ZT como un proceso continuo e iterativo. ^{[ 11 ] [ 12 ]} . El núcleo de la naturaleza sistemática de la metodología reside en su integración de los Criterios de Kipling: qué, por qué, cuándo, dónde, quién y cómo. ^{[ 12 ]} Este conjunto de seis preguntas debe aplicarse y responderse sistemáticamente para cada uno de los cinco pasos iterativos: ^{[ 12 ]}

• Paso 1 - Definir la superficie protegida;
• Paso 2 - Mapear los flujos de transacciones;
• Paso 3 - Construir una arquitectura de confianza cero (ZTA); ^{[ 11 ]}
• Paso 4 - Crear política de confianza cero; y
• Paso 5 - Monitorear y mantener.

Todo este proceso se repite a lo largo de la vida útil de una superficie protegida, la cual debe definirse claramente en el Paso n.° 1 de la metodología. La norma TS 104 102 establece la metodología ZT-Kipling como un marco de gobernanza sistemático y cíclico para Zero Trust. ^{[ 12 ]}

En 2010, el analista John Kindervag de Forrester Research utilizó el término modelo de Confianza Cero para referirse a programas de ciberseguridad y control de acceso más estrictos dentro de las corporaciones. ^{[ 13 ] [ 14 ] [ 15 ]}