"Zero Trust Network Access" suena a término de folleto hasta que alguien lo usa. En la práctica, el cambio es concreto y se siente distinto del primer día, tanto para quien se conecta como para quien administra el acceso. Si todavía estás decidiendo si esto te conviene, el marco de decisión completo está en ¿Reparar el VPN o reemplazarlo?; este artículo asume que ya quieres saber qué cambia en el día a día.
¿Qué cambia para el usuario final?
Con una VPN tradicional, conectarse es un evento: abres el cliente, te autenticas, esperas a que el túnel levante, y a partir de ahí "estás dentro de la red". Con ZTNA, no hay ese momento de "estar dentro": cada aplicación se conecta por su cuenta, autenticando de forma continua, sin que el usuario tenga que pensar en si está "conectado a la VPN" o no.
Ejemplo concreto: un vendedor que usa su laptop personal para revisar el CRM de la empresa desde un café. Con VPN tradicional, necesita el cliente instalado, conectarse, y desde ahí tiene una ruta -aunque sea restringida por política- hacia la red interna. Con ZTNA, abre el CRM directamente, se autentica para esa aplicación específica, y nunca tiene una ruta hacia nada más de la red -ni la tiene técnicamente disponible, aunque quisiera-.
¿Qué cambia para quien administra?
La diferencia más operativa:
| Aspecto | VPN tradicional | ZTNA |
|---|---|---|
| Nivel de la política | Red (subredes, puertos) | Aplicación e identidad |
| Pregunta que responde la política | ¿A qué segmento entra este grupo? | ¿A qué aplicación entra esta persona, con este dispositivo? |
| Visibilidad | Túnel arriba o caído | Qué aplicación usa cada quien, en tiempo real |
| Granularidad | Por grupo o segmento | Por usuario, dispositivo y aplicación |
Eso significa más granularidad, pero también un cambio de cómo se piensa el acceso: ya no es "¿a qué segmento de red entra este grupo?", es "¿a qué aplicación entra esta persona, con este dispositivo, en este momento?".
¿Qué gana la empresa con una plataforma como Forcepoint ONE?
Con Forcepoint ONE, la capa de identidad y aplicación convive con CASB y DLP en el mismo panel:
- ZTNA: acceso Zero Trust a aplicaciones específicas, sin exponer la red.
- CASB: visibilidad de qué aplicaciones en la nube usa tu gente -incluidas las que nadie autorizó formalmente-.
- DLP: prevención de fuga de datos desde el mismo punto de control, no como herramienta separada.
Esto es algo que una VPN, por diseño, no ve en absoluto: una VPN sabe si el túnel está arriba, no qué aplicación de la nube está usando el usuario del otro lado ni si está a punto de subir un archivo con datos sensibles a un servicio no autorizado.
¿Qué NO cambia con ZTNA?
ZTNA no elimina la necesidad de gestionar identidades, dispositivos y políticas -al contrario, las hace más explícitas-. No es "menos trabajo de administración", es trabajo distinto: menos tiempo troubleshooteando túneles caídos, más tiempo definiendo con precisión quién debería llegar a qué.
¿Cuánto tarda adaptarse al cambio?
Para el usuario final, la curva es corta: el flujo de "abrir la aplicación y autenticarse" es más simple que "conectar la VPN primero", no más complejo. Para quien administra, la curva es más de mapear políticas de red existentes a políticas de aplicación -un ejercicio de una sola vez al desplegar, no una carga continua-.
Si después de esto decides que prefieres resolver la urgencia inmediata con una migración a IPsec y evaluar ZTNA con más calma, el paso a paso está en Migrar de SSL-VPN a IPsec en FortiGate.
¿Cómo se ve una implementación real, en cifras?
| Métrica | Con VPN tradicional | Con ZTNA |
|---|---|---|
| Aplicaciones visibles para un usuario conectado | Todas las que la política de red no bloquee explícitamente | Solo la aplicación específica autorizada |
| Tiempo de alta de un contratista nuevo | Requiere perfil de VPN + política de red dedicada | Requiere solo la asignación de la aplicación puntual |
| Tiempo de baja de acceso | Revocar perfil de VPN, verificar que no queden rutas abiertas | Revocar el acceso a esa aplicación específica, sin rastros en la red |
| Visibilidad de shadow IT (apps no autorizadas) | Nula -fuera del alcance de una VPN- | Sí, vía CASB |
La fila que más pesa en la práctica es la de alta y baja de contratistas: en una VPN tradicional, dar de baja a alguien correctamente -sin dejar rutas de red abiertas por error- depende de que el administrador recuerde revisar todo el perfil. En ZTNA, revocar el acceso a una aplicación específica es una operación acotada, sin superficie oculta que verificar después.
¿Vale la pena para una empresa pequeña, o es solo para grandes corporativos?
No es una cuestión de tamaño de empresa, es una cuestión de cuántas personas ajenas a tu nómina directa tocan tu red remotamente. Una empresa de 20 personas con 3 contratistas externos rotando cada trimestre tiene más exposición real que un corporativo de 500 empleados con un equipo remoto estable y conocido. El tamaño de la empresa no es la variable que importa aquí.
Preguntas frecuentes
help ¿Qué es lo que más cambia para el usuario final con ZTNA?
Deja de existir el "momento de conectarse a la VPN": cada aplicación autentica por su cuenta de forma continua, y el usuario nunca tiene una ruta técnica hacia el resto de la red, solo hacia la aplicación específica que usa.
help ¿ZTNA facilita o complica la administración del acceso?
Es trabajo distinto, no necesariamente menos: la política se define a nivel de aplicación e identidad en lugar de red, lo que da más granularidad a cambio de pensar el acceso de forma distinta a como se piensa una VPN tradicional.
help ¿Qué agrega Forcepoint ONE sobre un ZTNA genérico?
CASB y DLP integrados en el mismo panel: visibilidad de qué aplicaciones en la nube usa tu gente, y prevención de fuga de datos, algo que una VPN tradicional no ve en absoluto.
help ¿Cuánto tarda adaptarse a ZTNA?
Para el usuario final la curva es corta -el flujo es más simple que conectar una VPN-. Para quien administra, es principalmente un ejercicio de mapear políticas de red existentes a políticas de aplicación, una sola vez al desplegar.
Rubén Espinoza es fundador y Director Técnico de IT Experts de México. Trabaja en la industria de TI desde 1998: diseña y opera soluciones de infraestructura, ciberseguridad, continuidad, automatización y tecnología OT para entornos empresariales e industriales. Escribe desde proyectos reales y sistemas en producción.
Ver perfil y todos sus artículos →