Zero Trust en pequeñas empresas mexicanas: la guía sin tecnicismos para arrancar
Zero Trust suena a término de catálogo de proveedor. La mayoría de pymes mexicanas lo descartan pensando que es exclusivo de bancos o corporativos con CISO de tiempo completo. Es un error. Zero Trust es ante todo una forma de pensar la seguridad, y los principios son aplicables (y necesarios) en una empresa de 20 personas tanto como en una de 2,000. Lo que cambia es la herramienta y el presupuesto, no el enfoque.
En esta guía bajamos Zero Trust al plano práctico de una pyme mexicana, con un plan de 30 días y costos reales en pesos.
Qué es Zero Trust en español de calle
La idea original viene de John Kindervag y se resume en una frase: "never trust, always verify". En castellano de pyme: ningún usuario, ningún dispositivo y ninguna red merecen confianza por el solo hecho de estar dentro de la oficina o conectados al VPN.
El modelo viejo (perímetro) asumía que adentro = confiable, afuera = peligroso. Esto colapsó cuando el equipo empezó a trabajar desde casa, los proveedores externos se conectaron al ERP y las apps SaaS empezaron a vivir fuera del firewall corporativo. La frontera dejó de existir.
Zero Trust se sostiene en tres principios:
- Nunca confíes. Aunque el usuario esté en la oficina y haya entrado con su contraseña, vuelve a verificar.
- Siempre verifica. Cada acceso a un recurso sensible se valida contra identidad, dispositivo y contexto.
- Mínimo privilegio. Cada persona accede solo a lo que necesita para su trabajo, ni un permiso más.
El stack realista para una pyme mexicana
La buena noticia para pymes: probablemente ya tienes la mitad del stack. Si usas Microsoft 365 Business Premium o Google Workspace Business Plus, ya tienes las piezas centrales. Solo hay que activarlas y configurarlas bien.
Lo mínimo que recomendamos:
- Identidad y SSO: Azure AD (Microsoft Entra ID) o Google Workspace como fuente única. Federación con todas las apps SaaS críticas.
- MFA obligatorio: ya no contraseña + SMS. Authenticator app o hardware key (YubiKey) para accesos a sistemas críticos.
- Password manager: 1Password Business, Bitwarden Business o Dashlane. Costo: USD 6 a 8 por usuario al mes.
- EDR (Endpoint Detection and Response): Microsoft Defender for Business (incluido en M365 Business Premium), CrowdStrike Falcon Go o SentinelOne. No basta con antivirus tradicional.
- Segmentación básica de red: VLANs separadas para invitados, dispositivos personales (BYOD) y dispositivos corporativos. Un router Ubiquiti o MikroTik bien configurado lo hace.
- MDM: Microsoft Intune, Jamf (Apple) o Mosyle. Permite borrar remotamente, aplicar políticas y validar postura del dispositivo.
El costo total para una empresa de 25 personas suele estar entre MXN 18,000 y MXN 35,000 mensuales, ya considerando licencias y mantenimiento ligero. Mucho menos que el costo promedio de un solo incidente serio.
Plan de 30 días para arrancar
Esta es la secuencia que hemos visto funcionar en pymes que arrancan de cero:
Semana 1: identidad y MFA
- Inventario de todas las apps SaaS y sistemas que usa el equipo.
- Forzar MFA obligatorio en M365 o Google Workspace para 100% de la plantilla. Sin excepciones.
- Eliminar accesos compartidos ("la cuenta del equipo de marketing"). Cada persona, su cuenta.
- Reset de contraseñas comprometidas (revisar en haveibeenpwned.com).
Semana 2: password manager y SSO
- Desplegar 1Password o equivalente. Capacitación de 30 minutos al equipo.
- Migrar las apps críticas a SSO contra Azure AD o Workspace. Empezar por correo, ERP, CRM y herramientas de finanzas.
- Establecer política: contraseñas únicas, generadas por el manager, MFA donde la app lo soporte.
Semana 3: endpoints y EDR
- Activar Defender for Business o equivalente en todos los equipos del personal.
- Aplicar políticas básicas: cifrado de disco (BitLocker o FileVault), bloqueo automático tras 5 minutos de inactividad, prohibición de software no aprobado.
- Inventario de dispositivos. Saber qué tienes es la mitad del trabajo.
Semana 4: segmentación y revisión de privilegios
- Configurar VLAN para invitados, separada del resto de la red.
- Revisar accesos privilegiados: quién es admin de qué. Aplicar mínimo privilegio. Quitar permisos que se otorgaron "por si acaso".
- Documentar el setup y dejar runbook de incidentes básico (qué hacer si se sospecha compromiso).
A los 30 días tienes una postura de seguridad incomparablemente mejor que el 80% de las pymes mexicanas. No es Zero Trust completo (eso es un proceso continuo), pero es la base sobre la cual construir.
Errores comunes que hay que evitar
En assessments hemos visto los mismos patrones repetirse:
- MFA por SMS. Es mejor que nada, pero vulnerable a SIM swapping. Authenticator app o hardware key es lo que recomendamos.
- Excepciones al CEO o socios. "El director no quiere usar MFA". Justo es la cuenta más atacada. No hay excepciones.
- Usuarios admin que olvidaron darse de baja. Ex-empleados con accesos vivos meses después. Auditar trimestralmente.
- VPN como único control. Una VPN con contraseña no es Zero Trust. Cualquier credencial robada da acceso pleno.
- Confiar en el firewall del router. Un firewall protege el perímetro, pero el equipo de marketing trabaja desde Starbucks. Ya no hay perímetro.
Por qué importa especialmente en México
Los datos del último año son contundentes: las pymes mexicanas son blanco preferente de ransomware y phishing dirigido. Los grupos atacantes saben que las grandes corporaciones invirtieron y las pequeñas no. La asimetría se nota.
Adicionalmente, las obligaciones de protección de datos bajo LFPDPPP aplican a empresas de todos los tamaños. Una violación de datos sin medidas de seguridad razonables puede traducirse en multas significativas, además del costo operativo y reputacional.
Cierre
Zero Trust no es un producto que se compra. Es un cambio de modelo mental que se implementa con herramientas que en gran medida ya tienes. La inversión cabe en el presupuesto de cualquier pyme seria. Lo que no cabe en el presupuesto, ni en pesos ni en tiempo, es responder a un incidente que pudo haberse evitado.
Empezar es lo más difícil. Avanzar consistentemente, mes a mes, es lo que separa a las empresas que duermen tranquilas de las que reciben la llamada el viernes a las 11 de la noche.
En ALCA hacemos Zero Trust assessments para pymes mexicanas y dejamos un plan accionable con costos en pesos. ¿Quieres hacer un Zero Trust assessment? Te lo damos en 5 días. Agenda una llamada de 30 minutos.
