Por Nate Brady - Arquitecto de seguridad en la nube
17 de julio de 2025 5 Minuto de lectura
El sector de la ciberseguridad ha desarrollado un fascinante consenso en torno Zero Trust Network Access ): posicionarlo como un sustituto directo de la anticuada infraestructura VPN, prometer una interrupción mínima y migrar las políticas gradualmente con el tiempo. El mensaje es convincente: evitar la complejidad del cambio organizativo al tiempo que se obtienen ventajas de seguridad modernas. La economía, sin embargo, puede contar una historia diferente.
Predigo que las organizaciones que recorran este camino "fácil" descubrirán que el enfoque, destinado a minimizar las interrupciones a corto plazo, en realidad maximiza los costes a largo plazo. Mientras tanto, quienes consideren la migración a la ZTNA como una oportunidad para una transformación fundamental de la TI, descubrirán que su esfuerzo les reporta dividendos en eficiencia operativa. Soy un firme creyente en la tríada bueno-rápido-fácil (sólo se pueden elegir dos) y en este blog explicaré cómo se aplica esto a la adopción de la ZTNA.
La crisis del inventario de aplicaciones
La raíz de esta paradoja se encuentra en un punto ciego que la mayoría de las empresas comparten pero que rara vez reconocen: no saben realmente qué aplicaciones poseen, quién las utiliza (con qué datos) o qué valor empresarial aportan. Años de crecimiento orgánico de TI, adquisiciones e iniciativas departamentales han creado carteras de aplicaciones en expansión que se resisten a una categorización fácil.
La infraestructura VPN tradicional ha permitido esta opacidad. Las amplias políticas de acceso a la red ocultan los patrones reales de uso de las aplicaciones. Cuando los empleados pueden acceder a "todo en la red", nadie necesita justificar por qué existen aplicaciones específicas o quién requiere acceso. La VPN se convierte en una cómoda capa de abstracción que enmascara lagunas fundamentales de gobernanza.
El enfoque de la ZTNA como sustituto de la VPN perpetúa esta dinámica. Los vendedores prometen replicar los patrones de acceso existentes con un trastorno organizativo mínimo. El mensaje implícito: se puede lograr una seguridad de confianza cero sin el inconveniente de entender lo que se está protegiendo. Esto crea una estructura de incentivos de mercado en la que se recompensa la complejidad y se evita la racionalización.
Considere las implicaciones económicas. Las organizaciones mantienen rutinariamente aplicaciones cuya justificación empresarial original ha caducado. Pagan derechos de licencia por software que sirve a poblaciones de usuarios cada vez menores. Asignan recursos de infraestructura a sistemas que podrían consolidarse o retirarse. El modelo de sustitución de VPN conserva estas ineficiencias al tiempo que añade nuevos costes tecnológicos.
La falsa economía de la "mitigación de riesgos"
La ironía se profundiza al examinar cómo las organizaciones enmarcan su toma de decisiones. El proceso de inventario y racionalización de aplicaciones se caracteriza como "arriesgado": ¿y si accidentalmente restringimos el acceso a algo importante? ¿Y si los propietarios de las aplicaciones se oponen a los requisitos de justificación? ¿Y si descubrimos que nuestra cartera de TI es más caótica de lo que pensábamos?
Estas preocupaciones reflejan una dinámica organizativa genuina, pero el cálculo del riesgo está al revés. El riesgo real reside en la ignorancia perpetua sobre su entorno informático. Los equipos de seguridad no pueden implementar controles eficaces para aplicaciones que no comprenden. Los esfuerzos de cumplimiento se convierten en ejercicios de teatro de documentación más que en una gestión de riesgos sustantiva. La planificación de la continuidad del negocio se basa en suposiciones más que en pruebas.
El mercado ha respondido de forma previsible a estos incentivos desalineados. Ha surgido un ecosistema de consultoría en torno a la gestión de la complejidad en lugar de reducirla. Las organizaciones contratarán costosos servicios profesionales para migrar cientos de aplicaciones a plataformas ZTNA sin cuestionarse si esas aplicaciones deberían existir en primer lugar. Los honorarios por esta "mitigación de riesgos" a menudo superan el ahorro de costes que generaría una racionalización adecuada.
El dividendo fiduciario cero
Las organizaciones que eligen el camino de la transformación descubren algo inesperado: la correcta implantación de la confianza cero crea una función de forzamiento para la optimización de la cartera de TI, pendiente desde hace mucho tiempo. Cuando cada aplicación debe tener un propietario identificado, un propósito empresarial justificado y flujos de datos clasificados, la limpieza se produce de forma orgánica.
La economía se vuelve convincente rápidamente. La retirada de aplicaciones elimina costes de licencias, reduce los requisitos de infraestructura y disminuye la superficie de seguridad. Las oportunidades de consolidación surgen cuando los equipos descubren que están manteniendo varias herramientas para funciones idénticas. La reducción de la deuda técnica se produce de forma natural cuando los sistemas obsoletos pierden su anonimato protector.
Los beneficios cuantificables suelen sorprender a los equipos directivos. La optimización de licencias por sí sola suele generar reducciones de costes del 20-40% en el gasto de software. La racionalización de la infraestructura produce ahorros similares en costes de computación y almacenamiento. Las ganancias en eficiencia operativa -menos sistemas que parchear, supervisar y de los que hacer copias de seguridad- crean flujos de dividendos continuos que se agravan con el tiempo.
Y lo que es quizás más importante, las organizaciones desarrollan un conocimiento real de sus entornos informáticos. Esta capacidad permite una respuesta más rápida a los incidentes, evaluaciones más precisas del impacto en el negocio y decisiones de inversión en tecnología basadas en datos. Las ventajas competitivas se acumulan sin cesar para las empresas que comprenden lo que poseen y cómo crea valor.
Reformular el argumento comercial
El caso empresarial tradicional de la ciberseguridad sitúa las mejoras de la seguridad como gastos necesarios: inversiones en la reducción de riesgos que no generan ingresos directamente. Este encuadre coloca a los equipos de seguridad en una situación de desventaja sistemática cuando compiten por el presupuesto frente a iniciativas que prometen rendimientos financieros evidentes.
El dividendo del inventario de aplicaciones cambia esta dinámica por completo. La implantación de la confianza cero se convierte en una iniciativa de optimización de la cartera de TI que casualmente incluye mejoras en la seguridad. El argumento comercial pasa de "¿cuánto costará este proyecto de seguridad?" a "¿cuánto dinero nos ahorrará este esfuerzo de optimización?".
Las consideraciones temporales refuerzan este replanteamiento. Los beneficios de la racionalización de las aplicaciones comienzan inmediatamente: las aplicaciones retiradas dejan de generar costes en el mes en curso. La optimización de licencias aparece en el siguiente ciclo de renovación. Las reducciones de infraestructura fluyen a través de las facturas trimestrales de la nube. Estos ahorros suelen financiar la implantación de la ZTNA en 12-18 meses, tras los cuales las mejoras de seguridad pasan a ser esencialmente gratuitas.
Las organizaciones que adoptan este encuadre descubren que sus iniciativas de confianza cero reciben una acogida diferente por parte de las partes interesadas. Los directores financieros se convierten en aliados en lugar de escépticos. Los líderes de las unidades de negocio se comprometen de forma proactiva cuando comprenden los beneficios de la eficiencia. Los equipos tecnológicos aprecian la oportunidad de eliminar la deuda técnica acumulada durante años.
La elección estratégica
La crisis del final de la vida útil de las VPN presenta un punto de inflexión estratégico que va mucho más allá de la sustitución tecnológica. Las organizaciones pueden optar por perpetuar las ineficiencias existentes con nuevas herramientas, o pueden utilizar el requisito de transición como catalizador para una mejora fundamental.
El camino "fácil" preserva las zonas de confort organizativo al tiempo que añade complejidad tecnológica y costes. El camino de la transformación requiere interrupciones a corto plazo pero crea ventajas competitivas sostenibles a través de la mejora de la gestión de la cartera de TI, la eficacia operativa y una auténtica capacidad de seguridad.
La economía favorece la transformación, pero sólo para las organizaciones dispuestas a enfrentarse a la realidad del inventario de aplicaciones que han estado evitando. Las que eligen este camino descubren que los problemas más difíciles suelen tener las soluciones más rentables. La dinámica del mercado recompensa esta valentía: las empresas con carteras de TI limpias y bien comprendidas superan a sus homólogas en múltiples dimensiones.
La cuestión no es si su organización acabará racionalizando su cartera de aplicaciones. Las presiones del mercado, los requisitos de cumplimiento y los costes operativos acabarán forzando este ajuste de cuentas. La cuestión es si aprovechará la actual transición a la VPN como una oportunidad para hacerlo de forma estratégica o esperará a una crisis para hacerlo de forma reactiva.
Las organizaciones que tomen esta decisión hoy serán las que tengan ventajas competitivas sostenibles mañana.
Sobre el autor
Nate Brady
Arquitecto de seguridad en la nube
Nathan Brady es arquitecto empresarial en Skyhigh Security. Nathan obtuvo su doctorado en economía de la empresa en la Universidad de Newcastle (Australia), un máster en Administración de Empresas en la Universidad de Kansas, licenciaturas en empresariales e ingeniería y certificaciones del sector como CISSP, CCSP, Microsoft ASAE y AWS-CSA.
El Dr. Brady también forma parte de la junta ejecutiva de (ISC)2 Chicago. Durante los últimos veinte años, Nate ha actuado como asesor de confianza en la creación de infraestructuras informáticas críticas para muchas empresas de la lista Fortune 500.
Volver a Blogs