Los principios y la confianza por ubicación

La publicación de referencia es la guía NIST SP 800-207, Zero Trust Architecture (agosto de 2020, vigente). Su idea central: la confianza no se concede por estar en cierta red, sino que se evalúa para cada solicitud de acceso a cada recurso. Resumido en cuatro principios que conviene recordar:

• Nunca confiar por la ubicación. Un equipo que está en la red de la empresa debe cumplir los mismos requisitos que uno que llega desde fuera.
• Verificar siempre. La autenticación y la autorización son dinámicas y se evalúan antes de permitir el acceso, no una vez al entrar.
• Mínimo privilegio. Se concede por sesión y por recurso, solo lo necesario; acceder a un recurso no abre otro.
• Asumir que hay un intruso. La guía pide actuar como si un atacante estuviera presente en la red de la empresa, por eso se autentica toda conexión y se cifra el tráfico.

La guía enumera siete postulados; estos cuatro resumen su espíritu y son los que usaremos para leer políticas.

Consulta politicas_de_acceso y lee la columna condicion_de_acceso. Una política de confianza por ubicación es aquella cuya única condición es dónde está conectado el equipo, no quién es la persona ni en qué estado está el equipo.

Una cuenta compartida rompe la verificación: no se sabe quién hizo qué ni se puede retirar a una sola persona. En la política aparece una para un proveedor externo.

El principio de verificar siempre se debilita cuando una sesión dura casi un día: la decisión se tomó una vez y nadie la revisa mientras el contexto cambia. La empresa fija como criterio revisar toda política con una sesión de más de 8 horas.

Filtra por sesion_horas y cuenta las que superan ese umbral. Ocho horas exactas no lo superan.

La política de la VPN deja a quien inició sesión alcanzar toda la red. Es cómoda, pero es lo contrario del mínimo privilegio: quien solo necesita el correo puede llegar hasta la red de los hornos.