VPN vs Zero Trust: por qué la VPN tradicional está quedando obsoleta

La VPN tradicional da acceso a toda la red a quien logra conectarse, y su servidor está expuesto a internet, por eso se considera una tecnología que está quedando obsoleta. Zero Trust, y en particular ZTNA, verifica identidad y dispositivo en cada acceso y entrega solo la aplicación que el usuario necesita. Para una empresa en Panamá con personal remoto, sucursales o proveedores externos, es la alternativa a la VPN que respaldan las guías de NIST y CISA.

Qué hizo bien la VPN y por qué ya no alcanza

La VPN nació para un mundo simple: las aplicaciones vivían en la oficina, los empleados estaban dentro de ella y la red interna era el lugar de confianza. Cuando alguien trabajaba desde casa, la VPN extendía esa red hasta su laptop mediante un túnel cifrado. Durante años funcionó bien para eso.

Hoy las aplicaciones están repartidas entre Microsoft 365, plataformas SaaS, nubes públicas y servidores propios. Los usuarios se conectan desde casa, un café o un aeropuerto, y con ellos entran proveedores y contratistas. Una VPN que conecta a cada persona a toda la red interna sigue asumiendo que quien está dentro es confiable, y esa suposición es justo lo que los atacantes aprovechan.

Hablar de VPN vs Zero Trust no es una moda de marketing. Es la diferencia entre dar una llave maestra del edificio y abrir, caso por caso, la puerta de la oficina que la persona necesita.

Para una pyme panameña, el punto práctico es este: cada oficina, cada persona en teletrabajo y cada proveedor con acceso remoto es un camino hacia la red. Si ese camino depende de un solo equipo expuesto, una falla o una contraseña robada pueden costar días de operación. Reducir esa dependencia es una decisión de continuidad del negocio, no solo de tecnología.

Los tres problemas de fondo de la VPN tradicional

Primero, el acceso es demasiado amplio. Una vez autenticado, el usuario suele alcanzar segmentos enteros de la red. Si una credencial se roba, el atacante hereda ese alcance y puede moverse lateralmente hacia servidores y datos que nunca debió ver.

Segundo, el servidor VPN está expuesto a internet. Para que cualquiera se conecte desde afuera, el equipo debe aceptar conexiones en una dirección pública. Eso lo convierte en un objetivo permanente, y cada vulnerabilidad en su software pasa a ser una puerta de entrada si no se actualiza a tiempo.

Tercero, la confianza se evalúa una sola vez. La VPN valida el usuario al conectar y después mira poco: no revisa de nuevo si el dispositivo sigue sano ni si el comportamiento cambió. A esto se suman la experiencia lenta cuando todo el tráfico regresa a la oficina y la dificultad de administrar túneles para decenas de sucursales y terceros.

Estos problemas no dependen de la marca. Son consecuencia del diseño: red interna de confianza, puerta pública y acceso por red en lugar de acceso por aplicación.

Qué dicen los datos sobre VPN y equipos perimetrales

El informe Verizon DBIR 2025 reporta que la explotación de vulnerabilidades como primer paso de un ataque creció 34% y ya representa 20% de las brechas, con foco en vulnerabilidades de día cero sobre equipos perimetrales y VPN.

La Agencia de Ciberseguridad de EE. UU. (CISA) mantiene un catálogo público de vulnerabilidades explotadas activamente (KEV), que a la fecha de esta consulta lista 1,748 entradas. Allí aparecen productos de muchos fabricantes, incluidos servidores VPN y firewalls. En enero de 2024, CISA emitió incluso una directiva de emergencia por la «explotación generalizada y activa» de vulnerabilidades en un producto VPN de Ivanti.

En febrero de 2025, CISA y agencias de Canadá, Australia, Reino Unido y otros países publicaron guías para proteger los equipos perimetrales, que incluyen firewalls, routers y gateways VPN. El mensaje es consistente: los servidores VPN de cualquier marca están expuestos a internet y requieren aplicación disciplinada de parches, monitoreo y un plan para reducir su superficie.

Una advertencia de contexto: estas cifras describen la explotación de vulnerabilidades en general y en equipos perimetrales, no afirman que toda VPN sea insegura. Una VPN con los parches al día y bien segmentada sigue siendo mejor que ningún control, pero su riesgo estructural es mayor que el de un modelo sin puerta pública.

Qué es Zero Trust y qué es ZTNA, según NIST

El estándar de referencia es la publicación NIST SP 800-207, Zero Trust Architecture (agosto de 2020). Define Zero Trust como un conjunto de paradigmas que mueve la defensa desde perímetros de red fijos hacia usuarios, activos y recursos, sin confianza implícita por la ubicación en la red ni por ser dueño del equipo. La autenticación y la autorización de usuario y dispositivo son pasos separados que ocurren antes de abrir cada sesión.

ZTNA (Zero Trust Network Access) es la forma práctica de aplicar ese principio al acceso remoto. En lugar de conectar al usuario a la red, un servicio de acceso verifica quién es, desde qué dispositivo se conecta y si cumple las políticas, y solo entonces lo conecta a una aplicación concreta.

CISA complementa el marco con su Zero Trust Maturity Model 2.0, que tiene cinco pilares y tres capacidades transversales, y sirve para medir en qué punto está una organización y definir los siguientes pasos. No hay que llegar a la perfección: se avanza por etapas.

En términos simples: la VPN pregunta «¿estás conectado?» y Zero Trust pregunta «¿quién eres, desde qué equipo y qué necesitas abrir ahora?».

Comparación práctica: VPN vs ZTNA

Estas son las diferencias que importan al decidir:

• Alcance del acceso: la VPN suele dar acceso a la red o a segmentos amplios; ZTNA da acceso a aplicaciones específicas, con mínimo privilegio.
• Exposición: el servidor VPN escucha conexiones entrantes desde internet; en ZTNA el conector de la aplicación abre conexiones salientes y no necesita puertos de entrada abiertos.
• Verificación: la VPN valida principalmente al conectar; ZTNA evalúa identidad, dispositivo y contexto en cada acceso.
• Movimiento lateral: en la VPN una cuenta comprometida ve mucha red; en ZTNA solo ve lo que su política permite.
• Experiencia: la VPN suele hacer pasar el tráfico por la oficina; ZTNA conecta al usuario con la aplicación por la ruta más corta disponible.
• Terceros: dar acceso a un proveedor por VPN implica abrirle la red; con ZTNA se le concede una sola aplicación y se retira con una política.

Qué ofrece cada plataforma

Existen varios caminos válidos y la elección depende de tu infraestructura, tu equipo y tus licencias. Con Cloudflare, Cloudflare Tunnel conecta tus recursos sin dirección IP pública enrutable: el conector abre una conexión saliente desde tu infraestructura hacia la red de Cloudflare y puedes bloquear todo el tráfico entrante en tu firewall. Sobre eso se aplican políticas de acceso por identidad y dispositivo.

Fortinet ofrece FortiSASE y ZTNA con FortiClient, una buena opción cuando la empresa ya opera FortiGate y quiere extender las mismas políticas al usuario remoto; puedes revisar el detalle en nuestra página de FortiSASE. Palo Alto Networks ofrece Prisma Access, orientado a organizaciones con requisitos de seguridad de red avanzados, descrito en Prisma Access.

Si quieres ver las diferencias lado a lado, preparamos una comparativa de plataformas SASE con criterios de selección. Ninguna es la respuesta universal: un buen punto de partida es entender qué aplicaciones y usuarios tienes.

Cómo migrar de la VPN a Zero Trust sin interrumpir la operación

No necesitas desactivar la VPN el primer día. Una migración ordenada suele seguir estas etapas:

1. Inventario. Lista las aplicaciones internas, quién las usa y desde dónde. Identifica también el acceso de proveedores y contratistas.

2. Identidad primero. Activa MFA (autenticación multifactor) para todos y, donde sea posible, métodos resistentes al phishing. Zero Trust depende de una identidad sólida.

3. Piloto con aplicaciones de bajo riesgo. Publica una o dos aplicaciones mediante ZTNA a un grupo reducido y mide la experiencia.

4. Políticas por aplicación. Define quién entra a qué, con requisitos de estado del dispositivo.

5. Migrar por fases y cerrar la puerta. Cuando los grupos están migrados, retira el acceso VPN y cierra el puerto público del servidor VPN.

Mide el resultado con indicadores simples: cuántos usuarios ya no usan la VPN, cuántas aplicaciones tienen política propia y cuántos puertos públicos siguen abiertos. Un diagnóstico previo evita sorpresas. Si quieres ver cómo lo hacemos en Panamá, conoce nuestro servicio de Zero Trust y SASE: diseñamos el piloto, las políticas y el plan de retiro de la VPN junto con tu equipo.

Preguntas frecuentes

¿Zero Trust reemplaza completamente a la VPN?

En la mayoría de los casos de acceso de usuarios a aplicaciones, sí puede reemplazarla. Algunas cargas específicas, como enlaces entre sedes o equipos antiguos, pueden mantener un túnel durante la transición. La meta es reducir y proteger lo que queda.

¿Qué predijo Gartner sobre ZTNA y la VPN?

Según la cobertura de Data Center Knowledge, Gartner proyectó que para 2025 al menos 70% de las nuevas implementaciones de acceso remoto usarían ZTNA en lugar de servicios VPN. La predicción se refiere a implementaciones nuevas, no a la base instalada de VPN.

¿ZTNA es lo mismo que SASE?

No. ZTNA es el componente de acceso a aplicaciones. SASE combina ZTNA con funciones como secure web gateway, firewall como servicio y conectividad de red en una sola arquitectura en la nube.

¿Una VPN bien configurada deja de ser segura?

No necesariamente. Una VPN con los parches al día, con MFA y segmentación reduce el riesgo. El problema es estructural: un servidor VPN expuesto a internet y un acceso amplio por red. Por eso las guías de seguridad recomiendan reducir esa dependencia.

¿Cuánto tarda una migración a Zero Trust?

Depende del número de aplicaciones y de la madurez de la identidad. Un piloto con las primeras aplicaciones puede estar listo en pocas semanas; la migración completa se planifica por fases según el inventario.

Si quieres saber qué parte de tu acceso remoto puede pasar a Zero Trust, podemos revisarlo contigo y proponerte un piloto. Conoce cómo lo implementamos

Fuentes

1. Data Center Knowledge – Gartner: Zero Trust Will Replace Your VPN by 2025 (2022): Cobertura de la predicción de Gartner: al menos 70% de las nuevas implementaciones de acceso remoto usarían ZTNA en lugar de VPN; alcance limitado a implementaciones nuevas.
2. NIST – SP 800-207 Zero Trust Architecture (2020): Definición de Zero Trust, sin confianza implícita por ubicación de red, autenticación y autorización separadas antes de cada sesión.
3. CISA – Zero Trust Maturity Model Version 2.0: Modelo con cinco pilares y tres capacidades transversales.
4. Verizon – 2025 Data Breach Investigations Report (press release): Explotación de vulnerabilidades creció 34% y representa 20% de las brechas, con foco en equipos perimetrales y VPN.
5. CISA – Known Exploited Vulnerabilities Catalog: Catálogo público de vulnerabilidades explotadas; 1,748 entradas al consultarlo.
6. CISA – Emergency Directive ED 24-01: Ivanti Connect Secure and Policy Secure (2024): Directiva de emergencia de enero de 2024 por explotación generalizada y activa de un producto VPN.
7. CISA – Guidance on securing edge devices (4 Feb 2025): Guías internacionales de febrero de 2025 que cubren firewalls, routers y gateways VPN.
8. Cloudflare Docs – Cloudflare Tunnel: Conexiones salientes sin IP pública enrutable; posibilidad de bloquear el tráfico entrante.