Zero Trust ya no es opcional: los contratistas federales se enfrentan a un plazo en 2026

El Zero Trust se está convirtiendo en una realidad de la contratación federal

Zero Trust forma parte de la conversación sobre ciberseguridad federal desde hace años. Lo que está cambiando ahora es el nivel de detalle práctico, escrutinio y urgencia en torno a su implementación. Para los contratistas federales, las organizaciones de la base industrial de defensa y los equipos que respaldan sistemas gubernamentales sensibles, Zero Trust ya no es una filosofía de seguridad abstracta. Se está convirtiendo en parte de la forma en que las agencias evalúan la preparación, la resiliencia y el riesgo.

En enero de 2026, la Agencia de Seguridad Nacional publicó nuevos materiales de la Guía de Implementación de Zero Trust, incluidos una introducción y orientaciones para la fase de descubrimiento, seguidos de orientaciones adicionales para la implementación de las fases uno y dos. Los documentos se basan en directrices federales anteriores del NIST, CISA y la OMB, así como en marcos de ciberseguridad de defensa. Su objetivo no es vender una herramienta ni promover un patrón técnico limitado. Ofrecen a los responsables de sistemas, equipos de ciberseguridad y otras partes interesadas un camino más concreto para pasar de la teoría de Zero Trust a la implementación operativa.

Esto es importante porque muchas organizaciones siguen subestimando la brecha entre afirmar que apoyan Zero Trust y poder demostrarlo en la práctica. Un proveedor de identidad moderno, la autenticación multifactor, la detección en dispositivos finales o una nueva herramienta de monitorización pueden formar parte de la respuesta. Pero ninguna de esas cosas, por sí sola, convierte a una organización en una organización preparada para Zero Trust.

Lo que realmente está señalando la orientación federal

El Gobierno federal avanza en esta dirección al menos desde la Orden Ejecutiva 14028 y el Memorando M-22-09 de la OMB, que impulsaron a las agencias civiles a alcanzar objetivos específicos de ciberseguridad Zero Trust antes del final del año fiscal 2024. El Modelo de Madurez Zero Trust de CISA, publicado inicialmente para comentarios públicos en 2021 y actualizado posteriormente, ofreció a las agencias una forma de evaluar el progreso en áreas fundamentales como identidad, dispositivos, redes, aplicaciones, cargas de trabajo y datos.

Los materiales de la Guía de Implementación de Zero Trust de la NSA de 2026 añaden otra capa: ayudan a las organizaciones a analizar el trabajo real necesario para avanzar por las fases de implementación. Esto incluye tareas de descubrimiento, actividades fundamentales y tareas de implementación más específicas en identidad, dispositivos, aplicaciones, datos, redes, automatización y visibilidad.

Para los contratistas, el mensaje práctico es sencillo. Cada vez más, las agencias y los clientes del sector de defensa esperan que sus socios comprendan los principios de Zero Trust, respalden entornos alineados con Zero Trust y operen de manera que no debiliten la propia postura de seguridad del Gobierno. Eso no significa que todos los contratistas se enfrenten exactamente al mismo plazo o lista de requisitos técnicos. Sí significa que la dirección es clara.

Zero Trust no es una categoría de productos

Uno de los errores más fáciles de cometer es tratar Zero Trust como algo que una organización puede comprar. El mercado está lleno de productos que utilizan el lenguaje de Zero Trust, y muchas de esas herramientas pueden ser útiles. Pero Zero Trust en sí es una arquitectura y un modelo operativo. Cambia la forma en que los sistemas confían en usuarios, dispositivos, servicios, datos y tráfico de red.

Los modelos de seguridad tradicionales solían depender demasiado de la idea de una red interna de confianza. Una vez que un usuario o sistema estaba «dentro», el acceso solía ser más amplio de lo necesario. Zero Trust parte de un supuesto diferente: ningún usuario, dispositivo, carga de trabajo o conexión debe recibir confianza automáticamente. El acceso debe ser explícito, limitado, evaluado continuamente y vinculado a una política.

Eso parece sencillo hasta que afecta a la infraestructura real. Es posible que los sistemas heredados no admitan patrones de identidad modernos. Las aplicaciones internas pueden haber crecido basándose en supuestos que ya no se cumplen. Los datos pueden desplazarse entre herramientas sin una clasificación clara. Los segmentos de red pueden reflejar decisiones antiguas de alojamiento en lugar del riesgo empresarial real. Puede haber registros, pero no en un formato que permita una monitorización o respuesta significativa.

Por eso, el trabajo de Zero Trust tiende a convertirse muy rápidamente en trabajo de infraestructura.

La perspectiva del contratista

Para los contratistas federales, lo que está en juego va más allá de una buena higiene de seguridad interna. La preparación para Zero Trust influye cada vez más en la credibilidad de una organización como socio gubernamental. Las agencias quieren proveedores y socios de implementación que comprendan la identidad, el control de acceso, la segmentación, la monitorización, el tratamiento seguro de los datos y la resiliencia operativa. A un contratista que no pueda explicar su enfoque en esas áreas le puede resultar más difícil competir por trabajos relacionados con sistemas sensibles o entornos regulados.

Análisis recientes del sector, incluido un despliegue anonimizado de 26 semanas de un contratista descrito por Cabrillo Club, refuerzan una idea útil: incluso una implementación inicial de Zero Trust puede tardar meses cuando la organización ya está parcialmente preparada. El trabajo suele incluir descubrimiento, decisiones sobre políticas, cambios de identidad, mejoras en los dispositivos finales, segmentación de red, monitorización, gobernanza y comunicación entre los equipos técnicos y empresariales.

Ese plazo no debería disuadir a las organizaciones de empezar. Debería producir el efecto contrario. Si el trabajo tarda meses, esperar a que llegue un requisito contractual, un hallazgo de auditoría o una solicitud urgente de una agencia es una mala estrategia.

Las implicaciones operativas

Un esfuerzo serio de Zero Trust suele afectar a varias partes del entorno tecnológico:

• Gestión de identidades y accesos, incluida una autenticación más sólida, el diseño de roles, el acceso condicional y los permisos de mínimo privilegio
• Postura de los dispositivos y puntos finales, incluida la visibilidad sobre qué se está conectando, si está gestionado y si cumple los requisitos de seguridad
• Segmentación de red, incluidos métodos para reducir el alcance de una intrusión
• Acceso a aplicaciones y cargas de trabajo, incluida la comunicación entre servicios y la autorización basada en políticas
• Clasificación y protección de datos, incluidos controles que siguen a los datos confidenciales en lugar de depender únicamente de dónde se almacenan
• Monitorización y análisis, incluida la visibilidad sobre patrones de acceso, anomalías y comportamientos sospechosos
• Automatización y respuesta, incluidos flujos de trabajo que ayudan a los equipos a actuar rápidamente cuando cambia el riesgo

La implementación específica variará según la organización. Un pequeño contratista federal con un entorno centrado en la nube no seguirá el mismo camino que un gran proveedor de defensa con sistemas heredados, múltiples redes y obligaciones complejas de intercambio de datos. Pero la disciplina de planificación es similar: comprender el estado actual, identificar las brechas de mayor riesgo, priorizar el trabajo y evitar fingir que unas pocas compras de herramientas desconectadas equivalen a una arquitectura.

Dónde fallan las implementaciones

Los proyectos de Zero Trust suelen tener dificultades por razones previsibles. A veces, la organización empieza con productos antes de comprender la arquitectura. En ocasiones, los equipos de seguridad definen controles sin suficiente aportación de las personas que operan los sistemas a diario. Otras veces, el esfuerzo se convierte en un ejercicio de cumplimiento, cuyo objetivo es producir evidencias en lugar de reducir el riesgo real.

El patrón de fallo más común es la fragmentación. Un equipo añade un nuevo proveedor de identidad. Otro equipo añade herramientas para los dispositivos finales. Otro mejora el registro de eventos. Otro inicia un proyecto de segmentación. Cada esfuerzo puede ser razonable por sí solo, pero sin un diseño coherente, la organización acaba con controles difíciles de operar, auditar y explicar.

Eso no es una estrategia de Zero Trust. Es un conjunto de mejoras de seguridad con la etiqueta Zero Trust superpuesta.

Cómo aborda Ridiculous Engineering la preparación para Zero Trust

En Ridiculous Engineering, abordamos Zero Trust como un problema de arquitectura e implementación, no como un ejercicio de marcar casillas. El objetivo no es hacer que un diagrama parezca moderno ni añadir otro producto a un entorno ya complicado. El objetivo es ayudar a las organizaciones a tomar decisiones prácticas sobre identidad, acceso, movimiento de datos, límites de la infraestructura, monitorización y flujos de trabajo operativos.

El trabajo comienza con una evaluación honesta del estado actual. ¿Qué sistemas son más importantes? ¿Dónde se encuentran los datos confidenciales? ¿Cómo se autentican los usuarios y los servicios? ¿Qué aplicaciones siguen dependiendo de la confianza implícita? ¿Qué registros son útiles y cuáles solo existen porque una herramienta los genera? ¿Dónde se propagaría un compromiso con demasiada facilidad? ¿Qué controles crearían una fricción inaceptable si se implementaran mal?

A partir de ahí, las organizaciones pueden crear una hoja de ruta priorizada. No es necesario hacerlo todo a la vez. De hecho, intentar hacerlo todo simultáneamente suele ser la forma en que estos esfuerzos pierden impulso. El enfoque más eficaz es identificar las brechas de mayor riesgo, secuenciar el trabajo y diseñar mejoras que hagan el entorno más seguro y más operable al mismo tiempo.

Para muchos contratistas, eso puede significar reforzar primero la identidad y el acceso, mejorar la visibilidad de los dispositivos finales y, después, avanzar hacia la segmentación, los controles de datos y las mejoras de monitorización. Para otros, el primer paso adecuado puede ser la modernización de aplicaciones, la limpieza de la arquitectura en la nube, el diseño de políticas o una mejor recopilación de evidencias para auditorías y revisiones de clientes.

El momento adecuado para empezar es antes de que se convierta en una urgencia

Zero Trust no es una idea nueva, pero las expectativas sobre su implementación son cada vez más concretas. Las agencias federales han estado sometidas a presión para madurar su propia postura de seguridad, y esa presión se traslada naturalmente al ecosistema de contratistas. Los contratistas que prestan asistencia a sistemas gubernamentales, gestionan datos confidenciales o se integran con entornos federales deberían esperar más preguntas sobre cómo autentican, autorizan, supervisan, segmentan y protegen los datos sus sistemas.

El coste de la demora no se limita al riesgo de incumplimiento. También incluye la fricción operativa que surge al intentar adaptar la seguridad bajo presión. Cuando el trabajo de Zero Trust se lleva a cabo con prisas, las organizaciones tienden a comprar herramientas antes de comprender el problema, crear políticas que frustran a los usuarios y desarrollar controles difíciles de mantener. Cuando el trabajo se planifica, puede mejorar la seguridad y, al mismo tiempo, simplificar algunos aspectos del entorno.

Si su organización necesita comprender en qué punto se encuentra, prepararse para las expectativas federales en materia de ciberseguridad o convertir las directrices de Zero Trust en una hoja de ruta práctica de implementación, Ridiculous Engineering puede ayudarle. Trabajamos con nuestros clientes para evaluar el estado actual, identificar prioridades realistas, diseñar la arquitectura y pasar del lenguaje de las políticas a sistemas que realmente puedan gestionarse.

Zero Trust no consiste en perseguir una palabra de moda. Consiste en reducir las suposiciones en aquellos lugares donde generan riesgos. Para los contratistas federales, esto se está convirtiendo rápidamente en parte de lo que significa ser un socio tecnológico creíble y fiable.

Fuentes y lecturas adicionales: NSA: Primera entrega de las directrices de implementación de Zero Trust, NSA: Directrices de implementación de Zero Trust: fases uno y dos, CISA: Modelo de madurez de Zero Trust, Memorando M-22-09 de la OMB, Cabrillo Club: Hoja de ruta de Zero Trust para contratistas federales