[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/comparativa/vpn-tradicional-vs-ztna":3,"prev-/blog/comparativa/vpn-tradicional-vs-ztna":507,"next-/blog/comparativa/vpn-tradicional-vs-ztna":486,"related-/blog/comparativa/vpn-tradicional-vs-ztna":510,"author-Diego Herrera":531},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":461,"cta":462,"date":468,"dateModified":468,"description":469,"draft":470,"extension":471,"faq":472,"featured":485,"howto":486,"image":487,"imageAlt":488,"intent":489,"keywords":490,"meta":495,"navigation":485,"path":496,"publishedTime":486,"readingTime":497,"seo":498,"seoTitle":499,"stem":500,"tags":501,"__hash__":506},"blog/blog/comparativa/vpn-tradicional-vs-ztna.md","VPN tradicional vs. Zero Trust (ZTNA): cómo dar acceso remoto seguro en 2026","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":448},"minimark",[11,20,23,28,57,61,64,70,82,92,96,248,252,258,267,273,290,293,297,300,332,336,339,342,362,369,372,376,379,411,414,418,424,430,436,439],[12,13,14,15,19],"p",{},"Durante quince años la respuesta a \"necesito entrar a los sistemas desde fuera\" fue una sola: ",[16,17,18],"strong",{},"VPN",". Funcionaba, era barata y todo el mundo entendía la metáfora — un túnel seguro hasta la oficina.",[12,21,22],{},"La metáfora sigue siendo correcta, y ahí está el problema.",[24,25,27],"h2",{"id":26},"la-diferencia-en-una-imagen","La diferencia en una imagen",[29,30,33,44,54],"callout",{"icon":31,"title":32},"i-lucide-door-closed","La llave del edificio vs. la puerta de una oficina",[12,34,35,38,39,43],{},[16,36,37],{},"La VPN te mete a la red."," Una vez conectado, tu equipo está ",[40,41,42],"em",{},"dentro",": puede ver los servidores, las impresoras, los recursos compartidos y todo lo que la red permita, aunque hayas entrado solo a consultar una aplicación.",[12,45,46,49,50,53],{},[16,47,48],{},"El acceso de confianza cero (ZTNA) no te mete a ninguna red."," Te conecta ",[16,51,52],{},"a una aplicación concreta",", y vuelve a verificar en cada intento quién eres, desde qué equipo, en qué estado está ese equipo y si esa combinación tiene permiso.",[12,55,56],{},"Es la diferencia entre darle a alguien la llave del edificio o abrirle únicamente la puerta de la oficina a la que va.",[24,58,60],{"id":59},"por-qué-esto-dejó-de-ser-un-debate-académico","Por qué esto dejó de ser un debate académico",[12,62,63],{},"Por tres cambios concretos de los últimos años:",[12,65,66,69],{},[16,67,68],{},"1. El perímetro se disolvió."," Los sistemas ya no están todos en la oficina. Están en la nube, en casa de la gente, en una app y en el servidor del rincón. Un túnel hacia \"la red de la empresa\" protege un lugar que cada vez contiene menos cosas.",[12,71,72,75,76,81],{},[16,73,74],{},"2. Los proveedores entran a diario."," El contador, la agencia, el soporte del ERP, el técnico del sistema de nómina. Cada uno con su VPN, cada uno viendo más red de la que necesita. El mes pasado quedó claro por qué importa, cuando ",[77,78,80],"a",{"href":79},"/blog/noticias/n-able-n-central-cve-2026-86218-rmm","se reveló una falla crítica en la consola con la que los proveedores de TI administran los equipos de sus clientes",".",[12,83,84,87,88,91],{},[16,85,86],{},"3. El movimiento lateral es la técnica estándar."," Un atacante ya no busca llegar directo al servidor de la base de datos. Busca ",[16,89,90],{},"cualquier"," credencial válida, entra por donde puede y se mueve dentro. La VPN, por diseño, le facilita el segundo paso.",[24,93,95],{"id":94},"comparación-directa","Comparación directa",[97,98,99,114],"table",{},[100,101,102],"thead",{},[103,104,105,108,111],"tr",{},[106,107],"th",{},[106,109,110],{},"VPN tradicional",[106,112,113],{},"ZTNA",[115,116,117,131,144,157,170,183,196,209,222,235],"tbody",{},[103,118,119,125,128],{},[120,121,122],"td",{},[16,123,124],{},"Qué otorga",[120,126,127],{},"Acceso a la red",[120,129,130],{},"Acceso a una aplicación",[103,132,133,138,141],{},[120,134,135],{},[16,136,137],{},"Qué ve el usuario conectado",[120,139,140],{},"Todo lo que la red permita",[120,142,143],{},"Solo lo autorizado, el resto ni existe",[103,145,146,151,154],{},[120,147,148],{},[16,149,150],{},"Verificación",[120,152,153],{},"Al conectarse",[120,155,156],{},"En cada acceso, de forma continua",[103,158,159,164,167],{},[120,160,161],{},[16,162,163],{},"Toma en cuenta el estado del equipo",[120,165,166],{},"No",[120,168,169],{},"Sí (parches, antivirus, cifrado)",[103,171,172,177,180],{},[120,173,174],{},[16,175,176],{},"Movimiento lateral si hay compromiso",[120,178,179],{},"Fácil",[120,181,182],{},"Muy limitado",[103,184,185,190,193],{},[120,186,187],{},[16,188,189],{},"Acceso de proveedores externos",[120,191,192],{},"Incómodo y excesivo",[120,194,195],{},"Es su caso de uso natural",[103,197,198,203,206],{},[120,199,200],{},[16,201,202],{},"Sistemas antiguos que no hablan web",[120,204,205],{},"Funciona bien",[120,207,208],{},"Suele requerir conector o quedarse en VPN",[103,210,211,216,219],{},[120,212,213],{},[16,214,215],{},"Unir dos oficinas",[120,217,218],{},"Es la herramienta correcta",[120,220,221],{},"No es para eso",[103,223,224,229,232],{},[120,225,226],{},[16,227,228],{},"Costo",[120,230,231],{},"Bajo (suele venir en el firewall)",[120,233,234],{},"Por usuario al mes",[103,236,237,242,245],{},[120,238,239],{},[16,240,241],{},"Complejidad inicial",[120,243,244],{},"Baja",[120,246,247],{},"Media: exige inventario previo",[24,249,251],{"id":250},"lo-que-ztna-hace-y-la-vpn-no-puede","Lo que ZTNA hace y la VPN no puede",[12,253,254,257],{},[16,255,256],{},"Verificar el estado del equipo."," No solo quién eres: si tu laptop tiene el sistema actualizado, el antivirus activo y el disco cifrado. Un equipo que no cumple no entra, aunque la contraseña sea correcta.",[12,259,260,263,264,81],{},[16,261,262],{},"Acotar por aplicación."," El proveedor que da soporte al ERP ve el ERP. No ve el servidor de archivos, ni la carpeta de nómina, ni las cámaras. Y no porque haya una regla que se lo prohíba: porque para él ",[16,265,266],{},"no existen",[12,268,269,272],{},[16,270,271],{},"Registrar con detalle útil."," Quién entró, a qué aplicación, desde dónde, cuándo. Cuando hay un incidente, la diferencia entre \"alguien se conectó por VPN a las 3 a.m.\" y \"esta cuenta abrió estas tres aplicaciones desde esta ubicación\" es la diferencia entre investigar y adivinar.",[12,274,275,278,279,285,286,289],{},[16,276,277],{},"Reducir la superficie expuesta."," El concentrador de VPN está publicado en internet por definición, y los equipos perimetrales de acceso remoto han seguido sumando vulnerabilidades explotadas al ",[77,280,284],{"href":281,"rel":282},"https://www.cisa.gov/known-exploited-vulnerabilities-catalog",[283],"nofollow","catálogo KEV de CISA"," durante 2026. En los esquemas de confianza cero, las aplicaciones no se publican: se alcanzan a través de un conector que ",[16,287,288],{},"inicia la conexión hacia afuera",", sin puertos abiertos que escanear.",[291,292],"ad-banner",{},[24,294,296],{"id":295},"dónde-la-vpn-sigue-ganando","Dónde la VPN sigue ganando",[12,298,299],{},"Conviene decirlo con claridad, porque hay mucho discurso de \"la VPN murió\" que no ayuda a decidir:",[301,302,303,314,320,326],"ul",{},[304,305,306,309,310,81],"li",{},[16,307,308],{},"Unir dos oficinas."," Es exactamente su trabajo y lo hace bien. La comparación técnica entre protocolos está en ",[77,311,313],{"href":312},"/blog/comparativa/wireguard-vs-openvpn","WireGuard vs. OpenVPN",[304,315,316,319],{},[16,317,318],{},"Sistemas antiguos que no hablan por web."," Aplicaciones de escritorio contra un servidor propio, impresoras de red, equipos industriales. ZTNA los cubre con conectores, pero no siempre vale el esfuerzo.",[304,321,322,325],{},[16,323,324],{},"Equipos pequeños con acceso homogéneo."," Diez personas que necesitan lo mismo. Ahí la granularidad de ZTNA no resuelve un problema que no tienes.",[304,327,328,331],{},[16,329,330],{},"Presupuesto muy ajustado."," La VPN suele venir incluida en el firewall que ya compraste. Bien configurada y con doble factor, es mucho mejor que no tener nada.",[24,333,335],{"id":334},"el-trabajo-previo-que-es-el-verdadero-proyecto","El trabajo previo, que es el verdadero proyecto",[12,337,338],{},"Aquí está la parte que las presentaciones comerciales omiten.",[12,340,341],{},"Migrar a ZTNA exige responder tres preguntas que casi ninguna empresa mediana tiene contestadas:",[343,344,345,351,357],"ol",{},[304,346,347,350],{},[16,348,349],{},"¿Qué aplicaciones existen?"," Todas. Incluidas las que montó un proveedor hace cuatro años y siguen corriendo.",[304,352,353,356],{},[16,354,355],{},"¿Quién necesita cada una?"," Por puesto, no por persona.",[304,358,359],{},[16,360,361],{},"¿Con qué nivel de permiso?",[12,363,364,365,368],{},"Ese inventario es la mayor parte del esfuerzo. Y es también ",[16,366,367],{},"el mayor beneficio del proyecto",", independientemente de la tecnología que termines eligiendo: casi siempre aparece gente con acceso a sistemas que ya no usa, proveedores dados de baja hace años con cuentas vivas y aplicaciones que nadie sabía que seguían encendidas.",[12,370,371],{},"Si el ejercicio se detuviera ahí y no migraras nada, la empresa ya estaría más segura.",[24,373,375],{"id":374},"la-ruta-realista-para-una-pyme","La ruta realista para una PyME",[12,377,378],{},"No es \"apagar la VPN el viernes\". Es por etapas:",[343,380,381,387,393,399,405],{},[304,382,383,386],{},[16,384,385],{},"Asegura lo que ya tienes."," Doble factor obligatorio en la VPN, concentrador parchado, cuentas de gente que ya no está eliminadas. Barato e inmediato.",[304,388,389,392],{},[16,390,391],{},"Haz el inventario de aplicaciones y accesos."," Una semana de trabajo, valor permanente.",[304,394,395,398],{},[16,396,397],{},"Mueve primero lo de mayor riesgo."," Proveedores externos y personal remoto con acceso a sistemas críticos. Es donde ZTNA rinde más y donde el cambio se nota.",[304,400,401,404],{},[16,402,403],{},"Migra las aplicaciones web."," Son las que menos fricción dan.",[304,406,407,410],{},[16,408,409],{},"Deja la VPN para lo que le toca:"," unión entre oficinas y sistemas antiguos. Con fecha de revisión, no indefinidamente.",[12,412,413],{},"Convivir las dos cosas durante la transición es normal. Lo que no conviene es quedarse a medias sin fecha de cierre, porque entonces se paga por las dos y se administra mal ambas.",[24,415,417],{"id":416},"el-resumen-para-dirección","El resumen para dirección",[12,419,420,423],{},[16,421,422],{},"VPN:"," barata, conocida, correcta para unir oficinas y sistemas antiguos. Expone la red completa a quien entra y publica un servicio en internet que ha sido objetivo constante este año.",[12,425,426,429],{},[16,427,428],{},"ZTNA:"," acceso por aplicación, verificación continua, nada publicado en internet, registro útil. Cuesta por usuario y exige un inventario previo que casi nadie tiene.",[12,431,432,433],{},"La pregunta que ordena la decisión no es cuál tecnología es mejor. Es esta: ",[16,434,435],{},"si mañana se roban la credencial VPN de tu proveedor de contabilidad, ¿qué alcanzaría a ver?",[12,437,438],{},"Si la respuesta es \"casi todo\", el tema ya no es de presupuesto.",[440,441],"call-to-action",{"description":442,"eyebrow":443,"icon":444,"label":445,"title":446,"to":447},"Levantamos el mapa de accesos remotos, incluidos los de terceros, y te proponemos el esquema que corresponde a tu operación.","Acceso remoto","i-lucide-map","Solicitar diagnóstico","¿Qué vería alguien que entrara con la credencial de un proveedor?","/contacto",{"title":449,"searchDepth":450,"depth":451,"links":452},"",2,3,[453,454,455,456,457,458,459,460],{"id":26,"depth":450,"text":27},{"id":59,"depth":450,"text":60},{"id":94,"depth":450,"text":95},{"id":250,"depth":450,"text":251},{"id":295,"depth":450,"text":296},{"id":334,"depth":450,"text":335},{"id":374,"depth":450,"text":375},{"id":416,"depth":450,"text":417},"comparativa",{"title":463,"description":464,"label":465,"to":466,"icon":467},"¿Quién puede entrar a tus sistemas desde fuera?","Levantamos el mapa real de accesos remotos de tu empresa —incluidos los de proveedores— y te proponemos el esquema que corresponde.","Ver infraestructura","/servicios/infraestructura","i-lucide-lock-keyhole","2026-10-13","Diferencias reales entre una VPN y el acceso de confianza cero: qué expone cada una, qué cuesta, qué exige operar y cuándo conviene migrar a una PyME mexicana.",false,"md",[473,476,479,482],{"question":474,"answer":475},"¿Cuál es la diferencia de fondo entre VPN y ZTNA?","La VPN te mete a la red: una vez conectado, tu equipo está dentro y puede ver todo lo que la red permita, aunque solo necesitaras una aplicación. El acceso de confianza cero no te mete a ninguna red: te conecta a una aplicación concreta, verificando en cada intento quién eres, desde qué equipo y en qué condiciones. Es la diferencia entre darle a alguien la llave del edificio o abrirle únicamente la puerta de la oficina a la que va.",{"question":477,"answer":478},"¿Entonces la VPN ya no sirve?","Sí sirve, y sigue siendo la opción correcta en varios escenarios: unir dos oficinas, dar acceso a sistemas antiguos que no hablan por web, o cubrir a un equipo pequeño donde todos necesitan prácticamente los mismos recursos. Lo que dejó de ser cierto es que la VPN sea suficiente por sí sola cuando hay proveedores externos, muchos perfiles distintos de acceso o sistemas críticos expuestos.",{"question":480,"answer":481},"¿Qué tan caro es migrar a ZTNA?","El costo de licencia se cobra por usuario al mes y varias plataformas tienen planes accesibles para empresas pequeñas, con opciones gratuitas para pocos usuarios (por ejemplo, Twingate es gratuito hasta 5 usuarios y Cloudflare Zero Trust hasta 50, según sus planes publicados en 2026). El costo real está en el trabajo previo: hay que inventariar qué aplicaciones existen, quién necesita cada una y con qué permisos. Ese inventario es el que casi ninguna empresa tiene, y es también el mayor beneficio del proyecto, independientemente de la tecnología que se elija.",{"question":483,"answer":484},"¿Puedo tener las dos cosas a la vez?","Sí, y es lo habitual en empresas medianas durante la transición. Lo habitual es mover primero a ZTNA los accesos de mayor riesgo —proveedores externos, personal remoto, aplicaciones web críticas— y dejar la VPN para la unión entre oficinas y los sistemas antiguos. Convivir es normal; lo que no conviene es quedarse a medias sin fecha de cierre.",true,null,"/images/blog/comparativa/vpn-tradicional-vs-ztna.jpg","Acceso remoto a los sistemas de una empresa desde distintas ubicaciones y dispositivos","commercial",[491,492,493,494],"vpn vs ztna","acceso remoto seguro empresa","zero trust network access","alternativa a vpn empresarial",{},"/blog/comparativa/vpn-tradicional-vs-ztna",11,{"title":5,"description":469},"VPN vs. ZTNA: cuál conviene a tu empresa","blog/comparativa/vpn-tradicional-vs-ztna",[502,503,504,505],"ciberseguridad","redes","trabajo-remoto","zero-trust","31AorTx98RWXqXdrP0609ipWQ3_0KlpYD7BTQgasvQg",{"path":508,"title":509},"/blog/comparativa/edr-vs-antivirus","EDR vs. antivirus: qué protege de verdad los equipos de tu empresa",[511,516,523],{"path":508,"title":509,"description":512,"date":513,"category":461,"image":514,"imageAlt":515,"readingTime":497},"Diferencias reales entre un antivirus y un EDR: qué detecta cada uno, qué cuesta, qué exige operar y cuándo una PyME mexicana necesita dar el salto (y cuándo no).","2026-10-06","/images/blog/comparativa/edr-vs-antivirus.jpg","Consola de seguridad mostrando la actividad de los equipos de una empresa en tiempo real",{"path":517,"title":518,"description":519,"date":520,"category":461,"image":521,"imageAlt":522,"readingTime":497},"/blog/comparativa/soporte-ti-interno-vs-administrado","TI interno vs. servicios administrados: los números reales para decidir","Comparativa con números reales entre tener personal de TI interno y contratar servicios administrados: costo total, cobertura, riesgos y el modelo híbrido que suele ganar.","2026-10-02","/images/blog/comparativa/soporte-ti-interno-vs-administrado.jpg","Comparación entre un equipo de sistemas interno y un proveedor de servicios administrados de tecnología",{"path":524,"title":525,"description":526,"date":527,"category":461,"image":528,"imageAlt":529,"readingTime":530},"/blog/comparativa/facturar-gratis-sat-vs-sistema","Facturar gratis con el SAT vs. usar un sistema: cuándo conviene cambiar","Comparativa honesta entre el facturador gratuito del SAT y un sistema de facturación de paga: qué hace cada uno, cuánto cuesta de verdad y cuándo el gratis sale caro.","2026-09-29","/images/blog/comparativa/facturar-gratis-sat-vs-sistema.jpg","Comparación entre facturar en el portal del SAT y hacerlo desde un sistema empresarial integrado",10,{"id":532,"avatar":486,"bio":533,"entityType":534,"expertise":535,"extension":536,"meta":537,"name":6,"role":538,"slug":539,"social":486,"stem":540,"url":7,"__hash__":541},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]