Zero-trust para pymes: seguridad enterprise sin presupuesto enterprise

Zero-trust explicado sin el marketing

"Zero-trust" se convirtió en palabra buzz y perdió claridad. La idea original es directa: no asumas que algo es confiable solo porque está dentro de tu red. Cada request — sea de un empleado, un servicio, un agente IA — se autentica, se autoriza y se audita, independientemente de su origen.

En la práctica, eso se traduce en cinco principios operativos:

1. Verify explicitly: autenticar y autorizar basado en todos los datos disponibles (identidad, dispositivo, ubicación, comportamiento), no solo en "está conectado a la VPN".
2. Least privilege access: cada identidad tiene los permisos mínimos para hacer su trabajo. Se revisan trimestralmente.
3. Assume breach: diseñá como si el atacante ya estuviera dentro. Segmentación, encryption, audit logs que asumen compromiso.
4. Continuous validation: permisos no son permanentes. Se revalidan con contexto (ej. reautenticación si cambia el dispositivo).
5. Microsegmentation: sistemas y datos separados en compartimentos pequeños; compromiso de uno no da acceso a todos.

Esto no requiere un presupuesto de banco multinacional. Requiere disciplina y las herramientas correctas aplicadas en fases. Aquí está el roadmap realista para una pyme (10-200 empleados).

Fase 1 (primeros 30 días): lo inmediato y alto impacto

Estas acciones son las que dan el mayor retorno por el menor esfuerzo.

Identidad como perímetro

• SSO centralizado: todos los servicios críticos (email, CRM, GitHub/GitLab, hosting) se acceden vía un único Identity Provider. Opciones accesibles: Google Workspace ($6/usuario/mes), Microsoft Entra ($6), JumpCloud ($13).
• MFA obligatorio para todos, sin excepciones. El CEO es el primer admin comprometido en mil historias.
• Directorio único: onboarding/offboarding de empleados pasa por un solo sistema. Si alguien se va, se revoca acceso a todo en 1 click.

Inventario y segmentación básica

• Inventario de todas las herramientas SaaS que usa el equipo. Incluir las "shadow IT" (las que alguien pagó con tarjeta corporativa).
• Clasificar datos por sensibilidad (público / interno / confidencial / regulado).
• Separar datos sensibles en tenants o workspaces propios, no mezclados con datos operativos generales.

Hardening de endpoints

• Disk encryption obligatorio (BitLocker en Windows, FileVault en macOS — ambos incluidos en el OS).
• Antivirus moderno con EDR mínimo (Microsoft Defender en Business o Sentinel One / CrowdStrike si el presupuesto lo permite).
• Patch management automatizado — que los equipos actualicen sin depender de que cada empleado recuerde.
• Política de lock de pantalla con timeout.

Backups aislados

• Backups off-site con retención mínima de 30 días.
• Restore test mensual (sin excepciones; un backup no probado no es backup).
• Credenciales de backup separadas de las credenciales de producción.

Costo aproximado fase 1 para 30 empleados: $300-700/mes en herramientas + setup inicial. A comparar contra el costo mediano de un incidente de ransomware en pyme que es $200.000+ entre rescate, downtime, y recuperación.

Fase 2 (días 30-90): consolidar

Segmentación de red

• Red de invitados separada de la corporativa.
• VLANs para separar tráfico de operaciones de tráfico de desarrollo.
• Firewall en frontera con reglas de egresar explícitas (especialmente relevante para prevenir exfiltración).

Acceso remoto

• Reemplazar VPN tradicional (que una vez adentro da acceso a todo) por Zero-Trust Network Access (ZTNA): cada aplicación accede individualmente, con verificación continua. Opciones accesibles: Cloudflare Access, Twingate, Tailscale (gratis para teams pequeños).
• Sesiones cortas con reautenticación si cambia el contexto.

Logging centralizado

• Logs de SSO, endpoints, firewall y aplicaciones críticas centralizados en un único sistema.
• Retención mínima de 90 días para forense.
• Alertas básicas para patrones sospechosos.

Herramientas accesibles: Wazuh (self-hosted, gratuito), Elastic (hay tier gratis), Grafana Loki para startups más técnicas.

Políticas escritas

• Política de uso aceptable de recursos corporativos.
• Política de contraseñas (o mejor: política de passwordless con passkeys).
• Plan de respuesta a incidentes (IR plan) — aunque sea de 3 páginas, escrito.
• Procedimiento de onboarding / offboarding.

Fase 3 (días 90+): madurez

Microsegmentation aplicativa

• Segregación de tenants a nivel base de datos (Row-Level Security).
• APIs con scoping fino de permisos (tokens JWT con claims mínimos).
• Secrets management centralizado (AWS Secrets Manager, Vault, Doppler).

Supply chain

• Revisión de dependencias con feeds CVE automáticos.
• SBOM (Software Bill of Materials) generado en cada release.
• Política de "no instalar paquetes con menos de X estrellas / Y descargas / Z semanas de historia".

Agentes IA bajo control

• Si operas agentes IA (chatbots, asistentes internos), aplican los mismos principios: mínimo privilegio, audit log, aprobación humana en acciones críticas. Ver cómo endurecer un pipeline de agentes.
• Drokio agrega guardrails específicos sin duplicar el resto del stack.

Cumplimiento opcional

• Si tu cliente grande pide SOC 2 o ISO 27001, a esta altura tienes ~70% de los controles aplicados. El esfuerzo de certificar es razonable.

Herramientas por presupuesto

Presupuesto mínimo (hasta 30 empleados, ~$500/mes):

• Google Workspace / Microsoft 365 Business (SSO + email + almacenamiento).
• Built-in MFA + device compliance.
• Built-in OS encryption.
• Tailscale (free tier).
• Backblaze B2 / Backrest (backups).
• Wazuh self-hosted para logs.
• Drokio tier inicial para sitios WordPress y agentes IA.

Presupuesto intermedio (30-100 empleados, ~$2-4k/mes):

• Okta o JumpCloud (IdP con políticas condicionales).
• EDR real (SentinelOne, CrowdStrike Falcon Pro).
• Cloudflare Zero Trust o Twingate Pro.
• Elastic Cloud o Panther para SIEM.
• Drokio Pro con respuesta automatizada.

Presupuesto grande (100+ empleados, $10k+/mes):

• Zscaler o Cisco Umbrella para secure web gateway.
• Full EDR + XDR.
• 24/7 SOC (interno o MSSP).
• Certificaciones activas.
• Drokio Enterprise con red team trimestral.

Errores que vemos en pymes

Error 1: comprar productos sin cambiar proceso. Implementar MFA en 3 de 10 herramientas porque "es molesto el resto". Cero valor; a los atacantes no les importa cuál MFA saltarse.

Error 2: confiar solo en VPN. Una vez adentro, el atacante tiene flat access. Es el patrón clásico de ataque lateral de ransomware.

Error 3: "Pero nosotros somos muy chicos para ser atacados". El target principal del ransomware automatizado es pyme. Grandes tienen más recursos; pymes pagan más rápido.

Error 4: no hacer drills de restore. Hemos visto startups con backups diarios durante 3 años que el día del incidente descubrieron que ninguno funcionaba.

Error 5: "tenemos seguridad en el servidor". Pero el admin accede sin MFA desde una laptop sin encryption con Chrome con 28 extensions. El servidor se compromete a través de él.

Una hoja de ruta de 12 meses

Cómo se integra Zero Trust con el resto del stack

Zero Trust no reemplaza lo que ya tenés — lo complementa desde la capa de identidad y política. La secuencia que funciona:

1. Identidad como centro. Antes de pensar en firewalls o endpoints, consolidar identidad: un único IdP (Google Workspace, Microsoft Entra, Okta) con SSO obligatorio para todo. MFA activo con al menos una aplicación autenticadora (no SMS solo).
2. Inventario de aplicaciones. Listar toda app SaaS y on-prem que toca el equipo. Clasificar por sensibilidad (low / medium / high). Las high y medium migran a SSO; las low pueden quedar con password manager central si aún no tienen IdP.
3. Acceso contextual. Políticas que consideren device posture, ubicación, hora, sensibilidad del recurso. Ejemplo: acceso a datos financieros solo desde laptop corporativa con disco cifrado y EDR activo.
4. Micro-segmentación de red. Tráfico interno encriptado y autorizado por identidad, no por IP. Esto requiere ZTNA o SASE; hay opciones asequibles para pyme (Cloudflare Access, Tailscale, Twingate).
5. Monitoreo y respuesta. Cada acceso deja audit log. Alertas por comportamiento anómalo (ej. login desde país nuevo + download masivo).

Implementar las 5 piezas de una vez es imposible para una pyme. El patrón que recomendamos: 2-3 meses por fase, empezando por identidad. En un año estás en Zero Trust real, no en presentación de PowerPoint.

Señales que te dicen que ya deberías empezar

Algunas señales concretas:

• Crecimiento >20% anual en headcount. Cada nuevo empleado es nuevo vector si no tenés proceso de onboarding/offboarding limpio.
• Primer incidente. Incluso si fue menor (phishing exitoso, filtración de credencial), es el momento. Post-mortem debe desembocar en Zero Trust plan.
• Cliente enterprise o vertical regulado. Apenas tu primer cliente grande te pregunta por SOC 2, CIS, ISO 27001 o similar, empieza el reloj. Zero Trust es el camino más corto a cumplir.
• Perdés un empleado clave. Offboarding apurado con credenciales mal revocadas es incidente en progreso. Si ya te pasó, no esperes.
• Tu stack cruzó los 20 SaaS. Cada uno con su login, su policy, su MFA (o no). Sin consolidación, no hay forma de dormir tranquilo.

Actuar en cualquiera de esas señales te cuesta menos que esperar al incidente grande.

Cómo mide Drokio el progreso

Hay métricas observables que muestran si la adopción está pegando o si está en teoría:

• % de apps bajo SSO. Target 95%+ a 6 meses.
• % de usuarios con MFA obligatorio activo. Target 100%.
• MTTR de revocación de acceso cuando alguien sale. Target < 60 min.
• Cobertura EDR/MDM. Target 95%+ de endpoints gestionados.
• Alertas de acceso anómalo investigadas. No cuántas se generan, sino cuántas se cerraron con conclusión clara.
• Entrenamientos de security awareness. 100% del equipo al menos 1 vez/año, con test medible.

Drokio expone estos KPIs en dashboard propio. Sin métrica, no hay progreso visible, y sin progreso visible los budgets se recortan al primer trimestre de crisis.

Preguntas frecuentes

¿Necesito un CISO para hacer esto?

No al principio. Un líder técnico con seriedad puede ejecutar las primeras 2 fases. A partir de fase 3 o con 100+ empleados, un CISO fraccional (2-3 días/mes) vale la inversión.

¿Drokio aplica para pymes?

Sí. Hay un tier entry con las capacidades core (WAF, WordPress hardening, MFA enforcement helpers) a precio accesible. Para ver específicos, revisa /products/drokio o drokio.com.

¿Cuánto tiempo lleva la fase 1 realmente?

Si un equipo lo prioriza, 30 días reales. Si se mezcla con el trabajo normal sin protección, puede estirarse a 90.

¿Qué pasa con empleados remotos?

Zero-trust se diseñó para remoto. Identidad autenticada + dispositivo verificado + tiempo/ubicación evaluados = acceso. La "oficina" deja de ser perímetro.

¿Cómo convenzo al dueño/fundador de invertir?

Con ejemplos de incidentes en empresas similares (el que invertir $500/mes evita probablemente $200k+ en incidente). No con FUD vago; con casos concretos y costo real de un episodio en tu vertical.

¿Qué hacemos con shadow IT (apps que alguien compró sin permiso)?

Auditoría de tarjetas corporativas y logs DNS. Incorporar al inventario, evaluar si se queda (requiere SSO y seguridad mínima) o se reemplaza.

¿Esto aplica si tercerizamos todo en SaaS?

Sí, con énfasis distinto. Menos hardening de infra propia, más controles de identidad, monitoring de data exfiltration, y revisión de permisos OAuth otorgados a apps.

Si tienes 10+ empleados y la seguridad sigue viviendo en "tenemos antivirus y backups", empezá con un diagnóstico de 10 minutos — salís con una hoja de ruta realista de 90 días. Contexto mayor: Seguridad moderna: del plugin a la plataforma, ficha del producto en /products/drokio, o drokio.com.