Zero Trust en red: microsegmentación práctica para PYMES

Zero Trust no es un producto que se compra; es dejar de asumir que "dentro de la oficina en Hato Rey" significa seguro. NIST SP 800-207 define principios: verificar explícitamente, least privilege, y asumir breach. Para una PYME de 60 personas, eso se traduce en microsegmentación alcanzable, no en despliegue de ZTNA enterprise overnight.

Empiece por VLANs lógicas: invitados, corporativo, servidores, IoT/cámaras. Firewall entre segmentos con reglas default deny. CISA publica guías de segmentación para ransomware defense — un laptop comprometido en recepción no debe alcanzar NAS de contabilidad ni impresoras multifunción con credenciales almacenadas.

Identidad como perímetro: VPN tradicional extendía red plana a casa; reemplace con acceso por aplicación (M365, ERP cloud) con MFA y conditional access. Bruce Schneier ha criticado la fetishización del término Zero Trust, pero los controles subyacentes — no confiar en IP interna — son sanos para PYMES boricuas con trabajo híbrido post-2020.

NAC ligero: 802.1X donde el switch lo permita, o al menos inventario DHCP y bloqueo de puertos no usados. Microsegmentación host con firewall local en estaciones críticas es paso intermedio barato. No necesita Illumio; necesita diagrama de red actualizado y reglas documentadas.

Mida progreso: tabletop donde atacante simulado mueve lateral desde WiFi de visitas. Si llega al domain controller en minutos, su Zero Trust es slide deck. Puerto Rico tiene PYMES en edificios compartidos con WiFi vecino — segmentación no es lujo, es higiene.