Hubo un tiempo en que proteger una empresa parecía más sencillo. Los equipos estaban dentro de la oficina, las aplicaciones vivían en un perímetro bastante definido y la red corporativa funcionaba como una frontera clara. Ese escenario ya no describe a la mayoría de organizaciones.

Hoy el negocio se mueve entre oficina, remoto, nube, dispositivos distintos, proveedores externos y accesos distribuidos. Y eso cambia por completo la conversación sobre seguridad.

El reto ya no es proteger un único perímetro, es proteger una realidad mucho más fragmentada, donde usuarios, datos y procesos están repartidos entre entornos on-premises, múltiples nubes y accesos desde cualquier lugar.

NIST resume precisamente ese cambio al explicar que una arquitectura Zero Trust permite acceso seguro autorizado a recursos distribuidos entre entornos locales y multicloud, dando soporte a una plantilla híbrida y a partners desde cualquier ubicación, hora o dispositivo.

El perímetro ya no está donde estaba

Este es el punto de partida. Muchas estrategias de ciberseguridad siguen arrastrando una lógica antigua: proteger “lo de dentro” frente a “lo de fuera”. Pero en entornos híbridos y descentralizados esa división se vuelve mucho menos útil.

Cuando un empleado accede desde casa, desde una red móvil, desde una herramienta SaaS o desde un dispositivo corporativo fuera de la oficina, la frontera clásica deja de servir como referencia principal. Por eso CISA y NIST siguen empujando modelos Zero Trust basados en acceso de mínimo privilegio y verificación continua, asumiendo que la red debe considerarse potencialmente comprometida.

Más flexibilidad, más superficie de exposición

La descentralización aporta agilidad al negocio, pero también multiplica puntos de entrada y dependencias. Ya no se trata solo de proteger un servidor o una sede. Se trata de controlar identidades, accesos, configuraciones, integraciones cloud, dispositivos y terceros que interactúan con el entorno.

NIST subraya que, a medida que datos y recursos se distribuyen entre entornos locales y múltiples nubes, protegerlos resulta más difícil. ENISA, por su parte, sigue publicando análisis del panorama de amenazas europeo para ayudar a reforzar la resiliencia frente a un entorno cada vez más cambiante.

El primer gran reto: la identidad

En muchos entornos híbridos, la pregunta más importante ya no es “desde dónde se conecta alguien?”, sino “quién es, con qué nivel de confianza y a qué debería poder acceder?”.

La identidad se ha convertido en una pieza central porque gran parte del riesgo pasa hoy por credenciales comprometidas, permisos excesivos o accesos mantenidos más tiempo del necesario. Por eso las implementaciones Zero Trust que documenta NIST ponen tanto peso en identidad, credenciales, gestión de acceso, microsegmentación y gobierno reforzado de identidades.

El segundo reto: visibilidad real sobre lo que ocurre

Muchas empresas han avanzado mucho en herramientas, pero no tanto en visibilidad. Tienen servicios cloud, acceso remoto, soluciones colaborativas y múltiples proveedores, pero les cuesta reconstruir con claridad qué usuario accedió a qué, desde dónde, con qué dispositivo y bajo qué política.

Y sin esa visibilidad, la seguridad reacciona tarde.

Por eso los marcos actuales insisten tanto en trazabilidad, monitorización y capacidad de respuesta. La guía técnica de ENISA sobre medidas de gestión del riesgo y las prácticas de NIST van en esa dirección: inventario de activos, control continuo y medidas metodológicas que permitan entender mejor el entorno antes de que un incidente escale.

El tercer reto: los accesos remotos no son un parche, son parte estructural del modelo

Muchas organizaciones todavía gestionan el acceso remoto como si fuera una excepción heredada. Pero ya no lo es. En muchísimas empresas, el trabajo híbrido y los accesos distribuidos forman parte estable de la operativa.

CISA mantiene recomendaciones específicas para fortalecer el teletrabajo y los accesos remotos, incluyendo hardening, cambio de contraseñas por defecto y refuerzo de la seguridad de redes y dispositivos domésticos o externos. La implicación es clara: si el acceso remoto es estructural, también debe ser estructural su protección.

El cuarto reto: terceros, proveedores y ecosistemas conectados

Cuanto más distribuido está un negocio, más difícil es separar seguridad interna y externa. Partners, integradores, proveedores cloud, software de terceros y servicios conectados forman parte real del ecosistema.

Eso amplía el riesgo porque una debilidad fuera de la organización puede terminar afectando dentro. ENISA y CISA vienen insistiendo en enfoques de gestión del riesgo más amplios, mientras CISA sigue reforzando la idea de “secure by design” y de responsabilidad de los fabricantes y proveedores sobre los resultados de seguridad que generan.

Qué debería plantearse una empresa sin caer en el alarmismo

No hace falta convertir la seguridad en un bloqueo permanente del negocio. Pero sí conviene asumir algunas prioridades bastante claras:

• Primero, revisar identidades, permisos y accesos heredados.
• Segundo, ganar visibilidad sobre activos, usuarios y flujos.
• Tercero, tratar el acceso remoto como parte normal del modelo, no como excepción.
• Cuarto, elevar el nivel de exigencia con terceros y proveedores.
• Quinto, diseñar la seguridad para un entorno distribuido, no para una oficina de hace diez años.

Ese enfoque encaja con las guías recientes de NIST, CISA y ENISA, que priorizan arquitectura, gestión del riesgo, control continuo y prácticas aplicables en entornos complejos y distribuidos.