Zero Trust en 4 pasos para PYMES: sin jerga y con plazos realistas

8 min de lectura · DataRoad

Zero Trust en una PYME No es un proyecto bancario ni una caja que se pueda comprar. Es una norma de gestión: ningún acceso es automático, cada pedido se verifica. En la práctica, se resume a cuatro pasos: proteger las cuentas, controlar los equipos, dividir la red y dar a cada persona solo el acceso que necesita. En una empresa de entre 10 y 200 puestos, lo esencial se puede hacer en aproximadamente tres meses.

Los proveedores de seguridad suelen vender el concepto de Zero Trust como algo complejo y caro. No tiene por qué ser así. Este guía traduce el concepto para quienes deciden y muestra qué hacer en cada mes.

Zero Trust traducido para gerentes

Durante años, la seguridad de las empresas funcionó como un castillo: una muralla fuerte (la firewall) y total confianza para quienes estaban allí dentro. El modelo dejó de servir porque ya nadie está solo “aquí”: hay teletrabajo, Microsoft 365 en la nube, teléfonos móviles, proveedores con acceso remoto. Y la mayoría de los ataques no derrumban la muralla — entran por la contraseña de alguien.

El resultado para el administrador es tangible: si se roba una contraseña o se infecta un portátil, el daño se limita a una sola persona y a una parte de los sistemas —y no a toda la empresa—.

¿Por qué esto se convirtió en urgente?

El informe sobre violaciones de datos de Verizon de 2026 muestra que, en las pequeñas y medianas empresas, 55% de las violaciones analizadas involucraron a terceros (proveedores, socios, prestadores) y 45% tenían un elemento humano —un clic, un error, una contraseña reutilizada—. Ninguna firewall de perímetro puede resolver esto sola.

La directiva europea NIS2 también exige, entre las medidas de gestión de riesgos, políticas de control de acceso, gestión de activos y autenticación multifactor. No utiliza la expresión “Zero Trust”, pero los cuatro pasos cubren buena parte de este trabajo técnico. Si su empresa está incluida, lea nuestro guía NIS2 explicado para PYMES.

Los 4 pasos, en esta orden

Paso 1 — Identidad: proteger las cuentas

• Autenticación multifactor en todas las cuentas, comenzando por Microsoft 365 y los administradores.
• Contas de ex-colaboradores desactivadas el mismo día de la salida.
• Los administradores se reducen a dos o tres personas identificadas, con cuentas separadas para administrar.
• Finalización de las cuentas compartidas (“geral@”, “loja1”) para acceder a los sistemas.

É o passo com maior retorno: uma palavra-passe obtida por phishing deixa de chegar para entrar. Na maioria das licenças Microsoft 365 é sem compromisso adicional — o trabalho é de organização. Mais detalhe no guia de Autenticación multifactor para empresas y en el de administrador de contraseñas.

Paso 2 — Equipos: saber qué hay y en qué estado se encuentra

• Inventario de todos los ordenadores y teléfonos móviles con acceso a los datos de la empresa.
• Protección contra amenazas y actualizaciones activas en todos.
• El acceso a los datos solo se permite desde dispositivos que cumplen las reglas — en Microsoft 365, mediante políticas de acceso condicionadas.

Los dispositivos sin soporte, como Windows 10 desde el 14 de octubre de 2025, son el primer problema que se resolverá: vea ¿Qué hacer con el fin del soporte de Windows 10?.

Paso 3 — Red: dividir en zonas

La red deja de ser un espacio único. Los puestos de trabajo, los servidores, los invitados, las impresoras y las cámaras se encuentran en zonas separadas, y la firewall decide qué puede pasar entre ellas. Si un ordenador se infecta, el ataque queda contenido en una zona — no cifra los servidores ni los backups. Con switches gestionables y una firewall gestionada, esto es configuración, no compra.

Pas 4 — Acceso mínimo: solo lo que cada persona necesita

• Revisiones de las permisos en carpetas compartidas, SharePoint y Teams.
• Usuarios sin derechos de administrador en su propio ordenador.
• Acceso remoto mediante aplicación en lugar de acceso a toda la red — el tema de una VPN ya no es suficiente.

Es el paso más laborioso, porque cambia hábitos, y por eso viene al final. También ha ganado una nueva urgencia: el Copilot y otras herramientas de IA muestran a cada persona todo lo que tiene acceso. Explica por qué en IA en la empresa: las reglas a seguir antes de ChatGPT y Copilot.

El plan mes a mes

Plazos realistas para una empresa de 10 a 200 puestos de trabajo, con un socio de TI dedicado y la administración involucrada:

Lo que dejamos de lado — y por qué

Hay soluciones avanzadas de Zero Trust: análisis del comportamiento de los usuarios, segmentación de aplicaciones en función de la aplicación, verificación continua del estado de cada dispositivo. Para la mayoría de las PYMES, el coste es alto y el beneficio es pequeño mientras no se hayan llevado a cabo los cuatro pasos básicos. La orden importa: autenticación multifactor sin división de la red protege las cuentas pero no la red; división de la red sin autenticación multifactor hace lo contrario.

Un caso real: Windows y Mac, una sola regla

En la oficina de Lisboa de Reltio de SAP, DataRoad, empresa estadounidense de software de datos, tiene un contrato de mantenimiento permanente y gestión de la red: 125 puntos de red estructurados, firewall, tres switches y puntos de acceso Wi-Fi Cisco Meraki, soporte especializado para 35 equipos Dell y 40 MacBook Pro.

Es un buen retrato del paso 2: un parque mixto, Windows y Mac, donde las reglas deben ser las mismas independientemente del sistema. Con el inventario hecho y la red gestionada desde un solo lugar, aplicar los cuatro pasos es cuestión de método — no de comprar más cajas.

Preguntas frecuentes

¿Es Zero Trust un producto que se compra?

No. Es una forma de configurar los accesos. Hay algunos productos que ayudan, pero los cuatro pasos esenciales se llevan a cabo, en la mayoría de las pymes, con Microsoft 365, el cortafuegos y los equipos con los que ya cuenta la empresa.

¿Aumentará el trabajo?

Casi nada, si se hace bien. La autenticación multifactor requiere una confirmación en el teléfono móvil y el acceso condicionado es invisible cuando el dispositivo cumple las normas. El cambio más visible es dejar de instalar programas sin pasar por el departamento de informática —y eso es intencional—.

¿Una empresa de 15 empleados necesita esto?

Los pasos 1 y 3 —autenticación multifactor y red de invitados separada— son recomendables en cualquier empresa. Los pasos 2 y 4 aumentan con la dimensión de la empresa y con la sensibilidad de los datos.

¿La NIS2 obliga a tener un enfoque de confianza cero?

NIS2 no utiliza el término, pero pide control de acceso, gestión de activos y autenticación multifactor como medidas de gestión de riesgos. Los cuatro pasos cubren gran parte de este trabajo técnico. DataRoad implementa las medidas técnicas; la analítica jurídica debe ser realizada por un abogado.

Diagnóstico de confianza cero en 10 días laborables

Examinamos sus cuentas, equipos, red y permisos, indicamos en qué etapa se encuentra su empresa y le entregamos el plan para los próximos tres meses. Para empresas con más de 10 puntos · contrato de asistencia · soporte remoto, local y telefónico. ciberseguridad gestionada — firewalls, protección de los equipos, autenticación multifactor y alarma — están incluidos en los planes IT Unlimited Premium.

Fuentes

• Verizon — Informe de Investigación de Brechas de Seguridad de Datos 2026, Resumen Ejecutivo (datos de PYMES)
• EUR-Lex — Directiva (UE) 2022/2555 (NIS2), artículo 21.º
• Microsoft Learn — Ciclo de vida de Windows 10