¿Por qué ‘Zero trust’ sigue sin ser la solución definitiva en ciberseguridad?

En 2026, Zero Trust sigue siendo un pilar de la ciberseguridad, pero su eficacia depende de la implementación completa y estratégica. Funciona especialmente la segmentación granular, el control continuo de identidades y dispositivos, y la integración con inteligencia artificial para detectar anomalías. Lo que no funciona es asumir que elimina todos los riesgos: la falta de visibilidad en entornos híbridos, la adopción parcial y la resistencia cultural siguen siendo retos clave. La clave está en combinar Zero Trust con políticas proactivas y cultura de seguridad transversal.

Para empezar, un análisis

Alberto Bellé, analista principal de Foundry España, considera que el cambio más importante en 2026 es la proliferación de agentes (y enjambres de agentes). “De hecho, un elemento que está preocupando tanto a empresas como a los mismos proveedores tecnológicos es la emergencia de los shadow agents, es decir, agentes que se crean dentro de unidades de la organización a espaldas del control y gobierno del área de TI. Ya no hablamos de que alguien use una IA no autorizada para resumir un documento, sino que un agente no gobernado pueda decidir, llamar a herramientas, tocar API, o modificar registros”.

Para Bellé, los agentes tienen características que chocan con los principios de Zero Trust. “La primera es la identidad. Con los shadow agents, aparece una nueva entidad que puede autenticarse sin entrar por los carriles normales de IAM. Si la empresa no tiene claro cuántos agentes tiene, quién los ha creado, o qué pueden hacer, entonces no tiene control”, dice.

“La segunda son los privilegios —añade—. Los agentes suelen aprovisionarse con permisos más amplios de lo estrictamente necesario, para que funcionen bien a la primera. A veces, incluso heredan privilegios de una cuenta de servicio o un usuario. Esto choca con el principio de privilegios mínimos”.

Lo que lleva a Alberto Bellé a considera que “no es casualidad que NIST esté trabajando activamente sobre identidades y autorizaciones de agentes”.

Elementos de ‘Zero Trust’ que aportan valor

“Zero Trust aporta valor cuando se implementa como un modelo integral, más allá de un conjunto aislado de tecnologías. En 2026, los elementos que están demostrando mayor impacto son la segmentación granular de redes y activos, el control continuo de identidades y dispositivos, y la verificación constante del contexto de acceso”, explica Andrés Melguizo Cortijo, ingeniero senior de Seguridad Perimetral en Factum.

En opinión de este experto, la autenticación adaptativa, la gestión de privilegios mínimos y la evaluación dinámica del riesgo en cada sesión permiten reducir la superficie de exposición de forma significativa. “Asimismo, la visibilidad transversal sobre usuarios, dispositivos y aplicaciones resulta determinante para mantener coherencia en entornos híbridos y cloud”, añade.

“El valor diferencial —indica ahora— surge cuando Zero Trust se integra en la estrategia global de gestión del riesgo y se alinea con los procesos críticos del negocio.

Sin duda, para Melguizo Cortijo determina que un elemento clave en la integración de ZTNA (Zero Trust Network Access) en el entorno corporativo es la identificación de la postura de seguridad que un usuario o activo dispone, en el momento de realizar una conexión a los recursos internos de la red

En consecuencia, “una configuración correcta de Zero Trust reduce la superficie de ataque ampliamente y acorta el tiempo en la detección”.

Entre los elementos que aportan más valor, Alberto Atienza Sánchez, jefe de equipo de Servicios Profesionales de Serval Networks, destaca los siguientes:

· Identidad como el “nuevo perímetro”, ya que la identidad no es sólo un usuario y una contraseña, sino el núcleo de la seguridad.

· Microsegmentación basada en aplicaciones, dado que no son necesarias VLAN complejas.

· ZTNA (Zero Trust Network Access) vs. VPN. “La VPN tradicional está prácticamente obsoleta para las empresas líderes en 2026, y de hecho la tendencia es hacia su desaparición. El usuario se conecta a la app, no a la red. Esto oculta la infraestructura interna a Internet, haciendo que la empresa sea “invisible” para los escaneos de los atacantes. Además, aporta más valor al eliminar la latencia de las VPN, lo que permite que el empleado trabaje desde cualquier lugar con la misma velocidad que en la oficina”, apostilla.

· “Validación de la postura del dispositivo (Device Health), no importa quién seas si tu dispositivo está infectado. Antes de conceder acceso, el sistema verifica que el dispositivo tenga el parche de seguridad de ayer y el cifrado activo entre otras cosas. Esto permite también que los empleados usen sus propios dispositivos de forma segura, reduciendo costes de hardware para la empresa”, prosigue con su explicación.

· IA para el análisis de telemetría y automatización, el volumen de datos en 2026 es inmanejable para humanos, dado que la IA analiza billones de señales (ubicación, hora, tipo de recurso, velocidad de acceso) para bloquear intentos de fraude antes de que ocurran, sostiene Atienza Sánchez.

“El valor real es la autoremediación —destaca—. Si el sistema detecta un comportamiento extraño, revoca el token de acceso automáticamente y solicita una nueva prueba de identidad”.

A todo ello, Alberto Atienza Sánchez considera que se ha de añadir un factor cada vez más determinante: el cumplimiento normativo. “En 2026, marcos como DORA en Europa o las nuevas directivas de la SEC están impulsando la adopción de Zero Trust no sólo como una decisión de seguridad, sino como una necesidad para seguir operando dentro de los requisitos legales y para mantener la cobertura de las pólizas de ciberseguro”.

“Esto confirma que Zero Trust ya no debe abordarse como un proyecto aislado, sino como un modelo continuo de control, visibilidad y verificación que permita a las empresas protegerse sin frenar el negocio”, dice para concluir.

Evitar siempre el “pase por defecto”

Un aspecto en el que quiere incidir Adam Winston, director técnico de Ciberseguridad y director de seguridad de la información de WatchGuard Technologies, es lo que llama el “pase por defecto”. Es decir: “La promesa de Zero Trust está en que cada solicitud de acceso se valida y se ajusta de manera continua según el riesgo en tiempo real, y esa lógica debe trasladarse a decisiones operativas claras. Por eso, en WatchGuard ponemos especial énfasis en las políticas centralizadas basadas en riesgo y contexto, con controles que tengan en cuenta quién solicita el acceso, desde qué dispositivo lo hace y en qué circunstancias. Recomendamos desplegar este enfoque con una gobernanza centralizada desde WatchGuard Cloud, porque es la manera de aplicar el modelo de forma coherente, reducir variaciones entre entornos y lograr que la verificación continua sea práctica y sostenible en el día a día”.

Errores que se cometen en su implementación

Una de las tendencias más populares de los últimos años (presente en el 84% de los incidentes graves) es la adopción de técnicas “Living off the Land” (LOTL) por parte de los atacantes, defiende Martin Zugec, director de Soluciones Técnicas en Bitdefender.

“Desde la perspectiva del tráfico de red, cada vez es más difícil detectar estos ataques, ya que mezclan perfectamente su intención maliciosa con el tráfico legítimo. Sin extender Zero Trust a la capa de ejecución para monitorizar estas anomalías de comportamiento, incluso los controles de identidad robustos resultan ineficaces. Zero Trust no pertenece a una sola capa ni a una sola tecnología, sino que es un principio de diseño que debe aplicarse en todas las capas de la infraestructura”.

En opinión de Javier Ros, ingeniero de Soluciones en TrendAI Iberia, las organizaciones cometen cuatro errores sistémicos.

“El primero es la adopción parcial: implementan Zero Trust en SaaS pero no en privado, o en oficinas, pero no en filiales. Cada gap se convierte en un factor de riesgo. En 2026, el error crítico es negligencia en IA generativa. De hecho, el 80% de organizaciones no controla el acceso a ChatGPT y otras IA, abriendo una puerta masiva a la exfiltración de datos. Hace falta una solución de seguridad que lo implemente de manera nativa, en tiempo real y no un addon separado”.

El segundo, según Ros, es la falta de visibilidad en entornos híbridos reales. Soluciones que funcionan en entornos cloud pero no en on-prem, IoT, o contenerizados dejando puntos ciegos o gestión compleja. Hoy en día, se necesita una solución que proporcione visibilidad correlacionada independientemente de dónde resida la carga de trabajo, con una consola unificada donde el SOC ve riesgos de identidad, dispositivo, e IA generativa en un sólo lugar, ofreciendo acceso condicional en base al riesgo”.

El tercero es la resistencia cultural no mitigada. “Usuarios frustrados por controles estrictos buscan alternativas como VPN personales, uso de IA generativa no autorizado. La implementación “segura” se vuelve menos segura. Se mitiga con comunicación clara, empoderamiento de usuarios, y herramientas que reduzcan fricción”.

El último error es, a juicio de este experto de TrendAI Iberia es no implementar políticas de respuesta automática. “Detectar anomalías sin ejecutar respuesta automática ofreciendo información sesgada y sin acción. Es necesario una solución que integre Agentic SOAR para ejecutar respuestas en paralelo instantáneamente: bloquear, revocar, cambiar credenciales, aislamiento… etc.”.

Integración de ‘Zero trust’ e IA…

Martín Trullás, director de Soluciones Avanzadas de Ingram Micro España, concreta que la inteligencia artificial está reforzando el modelo Zero Trust, ya que aporta capacidades avanzadas de análisis del comportamiento y participa en la monitorización en tiempo real, lo que hace posible identificar patrones de uso anormales y detectar desviaciones que podrían indicar una amenaza o un acceso comprometido.

“Gracias a ello —continúa—, las empresas pueden evolucionar hacia modelos de seguridad más dinámicos, donde las políticas de acceso pueden adaptarse en tiempo real en función del contexto, el comportamiento del usuario o el estado del dispositivo. Podemos decir que la IA ayuda a mejorar la detección temprana de incidentes y a automatizar parte de la respuesta ante posibles riesgos, lo que resulta especialmente valioso en entornos distribuidos y multicloud”.

Y es que, no cabe duda de que la integración con inteligencia artificial ha convertido a Zero Trust en un modelo dinámico y predictivo, tal y como cree Sergio Martínez, director general de SonicWall Iberia.

“Hoy podemos analizar patrones de comportamiento de usuarios y dispositivos en tiempo real, identificar desviaciones sutiles y ajustar automáticamente los niveles de acceso según el riesgo detectado. Esto significa que las decisiones ya no son estáticas, sino adaptativas. La IA permite priorizar alertas, reducir falsos positivos y activar respuestas automáticas, como aislar un endpoint o exigir autenticación adicional. En la práctica, la combinación de Zero Trust con analítica avanzada mejora significativamente la capacidad de anticipación frente a amenazas cada vez más sofisticadas”, completa su explicación.

De todas formas, Eva López Padial, responsable de Desarrollo Empresarial de Exclusive Networks Iberia, considera clave la cultura empresarial, ya que Zero Trust no sólo cambia la infraestructura tecnológica, sino también la manera en que los empleados perciben y gestionan la seguridad. “Al eliminar la confianza implícita y aplicar políticas basadas en permisos mínimos, la organización debe asumir que verificar de manera continua es lo normal, y esto requiere un cambio de mentalidad transversal”.

“Para impulsarlo —continúa—, es necesario abordar la adopción como un proyecto continúo acompañado de concienciación y formación práctica. Hay que explicar el porqué de las nuevas políticas, reforzar hábitos básicos, como no compartir credenciales o informar de anomalías, y capacitar a los equipos para ejecutar y mantener una estrategia coherente”.  

Por consiguiente, López Padial recomienda apoyarse en expertos y programas formativos facilita aplicar Zero Trust a situaciones reales y convertir el cambio cultural en prácticas efectivas.

…según el ámbito defensivo y el ofensivo

En el ámbito defensivo, la integración de IA en los modelos Zero Trust ha pasado de ser experimental a operativamente indispensable, explica Álvaro Fernández, director de Ventas en Sophos Iberia.

“El análisis de comportamiento de usuarios y entidades permite establecer líneas base de comportamiento y detectar desviaciones que podrían indicar amenazas internas o cuentas comprometidas, algo que la autenticación tradicional simplemente no puede prever. Sin embargo, en Sophos también advertimos sobre los riesgos de esta evolución: en 2026, la línea entre un servicio MDR gestionado por personas y una herramienta puramente impulsada por IA se está difuminando, y los compradores deben exigir transparencia sobre el papel real del juicio humano en sus servicios de seguridad”, admite.

“Desde el punto de vista ofensivo, la IA también ha cambiado el escenario: los atacantes la utilizan como multiplicador de fuerza para personalizar payloads, orquestar campañas y explotar vulnerabilidades a una velocidad sin precedentes, exigiendo a los defensores que respondan con la misma agilidad”, prosigue.

Cómo va a cambiar ‘Zero Trust’ con la IA

Porque más que incidir en cómo ha cambiado Zero Trust gracias a la IA, Francisco Valencia, director general de Secure&IT, prefiere hablar de “cómo va a cambiar” porque, “de momento —asegura—, hay más intenciones que realidades. La idea es que en una empresa yo no tenga que decidir qué aplicaciones son accedidas por cada persona en cada momento, ya que es algo bastante complejo (cada vez más por culpa de aspectos como el Shadow IT)”.

En opinión de este experto, integrar todo eso con inteligencias artificiales puede sustituir lo que antes era UEBA (User and Entity Behavior Analytics), “que identificaba la conducta del usuario para conocer, no solo su comportamiento, sino su actividad típica”, dice, para añadir: “Y, por tanto, que de forma dinámica podamos identificar justo esto, quién necesita acceder a qué servicio o a qué recurso, cuándo necesita hacerlo y para qué. Y que sea la propia IA la que nos ayude a establecer estas políticas de conectividad segura y a no fiarnos de nada que no sea ya conocido. Como digo, no es cuánto ha cambiado el Zero Trust gracias a la IA, sino cuánto va a cambiar el Zero Trust si se implementa bien la IA”.

(computerworld.es)

Seguiremos brindándote más información sobre este tema en las siguientes presentaciones físicas y digitales de Channel News Perú

Mantente conectado a nuestra plataforma de negocios y revista, haciendo clic aquí y suscribiéndote a nuestro newsletter para contenido de valor diario