ZTNA frente a la VPN

Una VPN de acceso remoto pone al equipo del usuario en la red de la empresa: desde ese momento ve el rango de direcciones al que la VPN lo conecta, y lo que pueda hacer allí depende de los filtros que haya. El acceso a la red de confianza cero (ZTNA, zero trust network access) invierte el punto de partida: la persona no «entra a la red», sino que se le concede acceso a una aplicación concreta, tras evaluar su identidad y el estado de su equipo.

Es un término de uso general, no un estándar único. En la terminología de la guía NIST SP 800-207 se parece a los despliegues con agente y pasarela o con portal de recursos (secciones 3.2.1 y 3.2.3), y la propia guía señala que, en vez de traer a los clientes a la red por VPN, conviene proteger cada recurso donde está.

Consulta vpn_alcance. La brecha entre los equipos alcanzables y los que se usan de verdad es superficie de ataque sin ninguna utilidad: cada equipo alcanzable que no se necesita es un destino más para quien robe una sesión.

Calcula, para el grupo de contabilidad, cuántos equipos alcanza la VPN que no usa en realidad.

En aplicaciones_propuestas cada fila es una aplicación con sus grupos y sus exigencias. Una propuesta de confianza cero que no pide segundo factor en alguna aplicación está repitiendo, en pequeño, el defecto que quería corregir.

Cruza uso_real_de_la_vpn con aplicaciones_propuestas por dirección de destino y puerto. Interesa un grupo que hoy usa una aplicación sin estar entre los grupos que la propuesta le permitiría. Si se migra sin verlo, ese grupo se queda sin acceso y el área reclamará; si se ignora, se legitima un acceso que quizá nadie decidió.

Son 17 conexiones en 30 días: poco, pero real. La respuesta correcta no es dar por hecho que es un error ni que es legítimo.