Si hay algo que he aprendido en mis años gestionando la infraestructura tecnológica en el sector financiero, es que la seguridad tradicional basada en el concepto de "castillo y foso" está muerta. Imagina que construyes un muro gigante alrededor de tu empresa; controlas quién entra por la puerta principal con firewalls y VPNs, pero una vez que alguien está adentro, confías en él ciegamente. Así es como opera la gran mayoría de las instituciones públicas y privadas en Ecuador. Y es exactamente por eso que nos siguen hackeando.
El problema de este modelo perimetral es simple: asume que todo lo que está dentro de la red corporativa es seguro. Pero, ¿qué pasa cuando las credenciales de un empleado son robadas mediante un ataque de phishing? El atacante entra por la puerta principal, el sistema le da la bienvenida como a un usuario de confianza, y tiene libertad absoluta para moverse lateralmente e infectar servidores enteros con ransomware.
Nunca confíes, siempre verifica
Aquí es donde entra el modelo Zero Trust (Confianza Cero). Su premisa fundacional es contraintuitiva pero brillante: asume que tu red ya está comprometida. Zero Trust no confía en nadie por defecto, ni desde fuera ni desde dentro de la red.
En lugar de basarse en desde dónde te conectas (una IP interna, por ejemplo), Zero Trust requiere que cada solicitud de acceso sea rigurosamente autenticada y autorizada de forma continua antes de otorgar el paso a una aplicación o a los datos. Es como tener un guardia de seguridad frente a cada habitación del castillo, exigiéndote identificación cada vez que intentas cruzar una puerta, sin importar si ya estás dentro del recinto.
La confianza es una vulnerabilidad que los cibercriminales aprendieron a explotar hace años. Zero Trust no es un producto que compras, es una filosofía operativa.
De la teoría a la práctica en el cooperativismo
Como Jefe de Sistemas en una cooperativa financiera, me enfrento a diario con la tensión entre seguridad y usabilidad. Cuando decidí que debíamos transicionar hacia un modelo Zero Trust, hubo fricción. "Damian, ¿por qué tengo que verificar mi identidad otra vez si ya estoy en la oficina?", me decían.
Pero la realidad del sector financiero no permite complacencias. Implementamos políticas de mínimo privilegio (dar a los usuarios solo el acceso estrictamente necesario para su trabajo), microsegmentación de la red y autenticación multifactor (MFA) obligatoria y contextual. El resultado fue transformador. No solo mejoramos nuestra postura de seguridad frente a ataques externos, sino que ganamos una visibilidad granular de quién estaba accediendo a qué, y cuándo.
Fue esta misma visión la que me llevó a crear ZeroTrustRedact. Como estudiante de Derecho en la UTPL y técnico en Ciberseguridad del ITSA, veía cómo los documentos legales sensibles circulaban sin control en las organizaciones. ZeroTrustRedact nació como una solución para aplicar la filosofía de confianza cero a nivel de documento, asegurando que la información confidencial sea redactada y protegida criptográficamente antes de ser compartida, mitigando el riesgo de fuga de datos (Data Loss Prevention) desde su origen.
El sector público ecuatoriano está en terapia intensiva
No necesitamos hacer mucha memoria para recordar los devastadores ataques de ransomware a instituciones críticas del Estado, a corporaciones de telecomunicaciones y a municipios. Datos de millones de ecuatorianos expuestos en la dark web, sistemas caídos durante semanas, trámites paralizados.
Las instituciones públicas ecuatorianas son un blanco fácil porque siguen ancladas en arquitecturas de red de principios de los 2000. Los presupuestos se gastan en "cajas mágicas" (appliances de seguridad perimetral) mientras las redes internas son planas y carecen de segmentación.
Para el Estado ecuatoriano, adoptar Zero Trust ya no es una opción de modernización, es una cuestión de seguridad nacional y soberanía digital. Como miembro del Consejo del Tecnológico del Azuay, insisto constantemente en que debemos formar a las nuevas generaciones de profesionales no solo para administrar servidores, sino para diseñar arquitecturas resilientes por defecto.
El primer paso
Migrar a Zero Trust no sucede de la noche a la mañana. Es un viaje. Empieza por conocer exactamente qué datos tienes y dónde están (algo en lo que nuestro sector público falla estrepitosamente). Sigue con la gestión de identidades y accesos. Requiere voluntad política, presupuesto y, sobre todo, un cambio cultural.
Pero la alternativa es seguir esperando al próximo gran titular en las noticias sobre cómo una entidad estatal fue víctima de un ciberataque masivo. El modelo de confianza por defecto está obsoleto. Es hora de asumir el control, implementar Zero Trust y empezar a proteger nuestros activos digitales como si nuestra sociedad dependiera de ello. Porque, de hecho, lo hace.
