Durante quince años la respuesta a "necesito entrar a los sistemas desde fuera" fue una sola: VPN. Funcionaba, era barata y todo el mundo entendía la metáfora — un túnel seguro hasta la oficina.
La metáfora sigue siendo correcta, y ahí está el problema.
La diferencia en una imagen
Por qué esto dejó de ser un debate académico
Por tres cambios concretos de los últimos años:
1. El perímetro se disolvió. Los sistemas ya no están todos en la oficina. Están en la nube, en casa de la gente, en una app y en el servidor del rincón. Un túnel hacia "la red de la empresa" protege un lugar que cada vez contiene menos cosas.
2. Los proveedores entran a diario. El contador, la agencia, el soporte del ERP, el técnico del sistema de nómina. Cada uno con su VPN, cada uno viendo más red de la que necesita. El mes pasado quedó claro por qué importa, cuando se reveló una falla crítica en la consola con la que los proveedores de TI administran los equipos de sus clientes.
3. El movimiento lateral es la técnica estándar. Un atacante ya no busca llegar directo al servidor de la base de datos. Busca cualquier credencial válida, entra por donde puede y se mueve dentro. La VPN, por diseño, le facilita el segundo paso.
Comparación directa
| VPN tradicional | ZTNA | |
|---|---|---|
| Qué otorga | Acceso a la red | Acceso a una aplicación |
| Qué ve el usuario conectado | Todo lo que la red permita | Solo lo autorizado, el resto ni existe |
| Verificación | Al conectarse | En cada acceso, de forma continua |
| Toma en cuenta el estado del equipo | No | Sí (parches, antivirus, cifrado) |
| Movimiento lateral si hay compromiso | Fácil | Muy limitado |
| Acceso de proveedores externos | Incómodo y excesivo | Es su caso de uso natural |
| Sistemas antiguos que no hablan web | Funciona bien | Suele requerir conector o quedarse en VPN |
| Unir dos oficinas | Es la herramienta correcta | No es para eso |
| Costo | Bajo (suele venir en el firewall) | Por usuario al mes |
| Complejidad inicial | Baja | Media: exige inventario previo |
Lo que ZTNA hace y la VPN no puede
Verificar el estado del equipo. No solo quién eres: si tu laptop tiene el sistema actualizado, el antivirus activo y el disco cifrado. Un equipo que no cumple no entra, aunque la contraseña sea correcta.
Acotar por aplicación. El proveedor que da soporte al ERP ve el ERP. No ve el servidor de archivos, ni la carpeta de nómina, ni las cámaras. Y no porque haya una regla que se lo prohíba: porque para él no existen.
Registrar con detalle útil. Quién entró, a qué aplicación, desde dónde, cuándo. Cuando hay un incidente, la diferencia entre "alguien se conectó por VPN a las 3 a.m." y "esta cuenta abrió estas tres aplicaciones desde esta ubicación" es la diferencia entre investigar y adivinar.
Reducir la superficie expuesta. El concentrador de VPN está publicado en internet por definición, y los equipos perimetrales de acceso remoto han seguido sumando vulnerabilidades explotadas al catálogo KEV de CISA durante 2026. En los esquemas de confianza cero, las aplicaciones no se publican: se alcanzan a través de un conector que inicia la conexión hacia afuera, sin puertos abiertos que escanear.
Dónde la VPN sigue ganando
Conviene decirlo con claridad, porque hay mucho discurso de "la VPN murió" que no ayuda a decidir:
- Unir dos oficinas. Es exactamente su trabajo y lo hace bien. La comparación técnica entre protocolos está en WireGuard vs. OpenVPN.
- Sistemas antiguos que no hablan por web. Aplicaciones de escritorio contra un servidor propio, impresoras de red, equipos industriales. ZTNA los cubre con conectores, pero no siempre vale el esfuerzo.
- Equipos pequeños con acceso homogéneo. Diez personas que necesitan lo mismo. Ahí la granularidad de ZTNA no resuelve un problema que no tienes.
- Presupuesto muy ajustado. La VPN suele venir incluida en el firewall que ya compraste. Bien configurada y con doble factor, es mucho mejor que no tener nada.
El trabajo previo, que es el verdadero proyecto
Aquí está la parte que las presentaciones comerciales omiten.
Migrar a ZTNA exige responder tres preguntas que casi ninguna empresa mediana tiene contestadas:
- ¿Qué aplicaciones existen? Todas. Incluidas las que montó un proveedor hace cuatro años y siguen corriendo.
- ¿Quién necesita cada una? Por puesto, no por persona.
- ¿Con qué nivel de permiso?
Ese inventario es la mayor parte del esfuerzo. Y es también el mayor beneficio del proyecto, independientemente de la tecnología que termines eligiendo: casi siempre aparece gente con acceso a sistemas que ya no usa, proveedores dados de baja hace años con cuentas vivas y aplicaciones que nadie sabía que seguían encendidas.
Si el ejercicio se detuviera ahí y no migraras nada, la empresa ya estaría más segura.
La ruta realista para una PyME
No es "apagar la VPN el viernes". Es por etapas:
- Asegura lo que ya tienes. Doble factor obligatorio en la VPN, concentrador parchado, cuentas de gente que ya no está eliminadas. Barato e inmediato.
- Haz el inventario de aplicaciones y accesos. Una semana de trabajo, valor permanente.
- Mueve primero lo de mayor riesgo. Proveedores externos y personal remoto con acceso a sistemas críticos. Es donde ZTNA rinde más y donde el cambio se nota.
- Migra las aplicaciones web. Son las que menos fricción dan.
- Deja la VPN para lo que le toca: unión entre oficinas y sistemas antiguos. Con fecha de revisión, no indefinidamente.
Convivir las dos cosas durante la transición es normal. Lo que no conviene es quedarse a medias sin fecha de cierre, porque entonces se paga por las dos y se administra mal ambas.
El resumen para dirección
VPN: barata, conocida, correcta para unir oficinas y sistemas antiguos. Expone la red completa a quien entra y publica un servicio en internet que ha sido objetivo constante este año.
ZTNA: acceso por aplicación, verificación continua, nada publicado en internet, registro útil. Cuesta por usuario y exige un inventario previo que casi nadie tiene.
La pregunta que ordena la decisión no es cuál tecnología es mejor. Es esta: si mañana se roban la credencial VPN de tu proveedor de contabilidad, ¿qué alcanzaría a ver?
Si la respuesta es "casi todo", el tema ya no es de presupuesto.
Acceso remoto
¿Qué vería alguien que entrara con la credencial de un proveedor?
Levantamos el mapa de accesos remotos, incluidos los de terceros, y te proponemos el esquema que corresponde a tu operación.
