Migrar por fases

La guía NIST SP 800-207 dedica su sección 7 a la migración y lo dice sin rodeos: es un recorrido, no un reemplazo de golpe. Lo habitual es un modelo híbrido, en el que flujos de confianza cero conviven con flujos de perímetro durante un periodo indefinido, y se migra un proceso de negocio a la vez. Antes hay que tener un inventario de personas, equipos, procesos y flujos, porque el motor decide con ese conocimiento y, si es incompleto, negará lo que no conoce.

La guía señala como buenos candidatos los procesos basados en la nube o usados sobre todo por personal remoto, porque sus usuarios y recursos ya están fuera del perímetro. Para un piloto conviene además una aplicación que ya soporte inicio de sesión único (SSO) y cuya sensibilidad no sea alta, para que un error no pare nada crítico.

Consulta aplicaciones y aplica ese criterio. Entre las candidatas, elige la que tenga más usuarios remotos.

Una aplicación sin SSO no puede apoyarse en el directorio de identidades de la forma habitual. No es motivo para dejarla fuera para siempre, pero sí para dejarla en una fase aparte con otras medidas.

Cada fase de un plan necesita un criterio de salida: la condición medible que dice que terminó. Sin él, la fase se alarga o se da por cerrada sin comprobarla. Lee plan_por_fases.

El sistema de los hornos no soporta SSO y depende de los controladores industriales. Cambiar su forma de acceso sin cuidado puede parar la producción.