{"id":25749,"date":"2026-10-23T07:00:00","date_gmt":"2026-10-23T07:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=25749"},"modified":"2026-11-03T09:21:51","modified_gmt":"2026-11-03T09:21:51","slug":"google-tardo-anos-en-sentar-las-bases-de-zero-trust","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/10\/23\/google-tardo-anos-en-sentar-las-bases-de-zero-trust\/","title":{"rendered":"Google tard\u00f3 a\u00f1os en sentar las bases de Zero Trust"},"content":{"rendered":"<p><strong>Google necesit\u00f3 varios a\u00f1os para sentar la mayor parte de los cimientos de BeyondCorp, un modelo de seguridad que decide los accesos seg\u00fan el usuario y el dispositivo. En junio de 2019, la empresa segu\u00eda mejorando su implementaci\u00f3n. Google aconsej\u00f3 a otras organizaciones empezar a peque\u00f1a escala y ampliar solo tras comprobar la&nbsp;fiabilidad.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">Lo esencial en breve<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Google necesit\u00f3 varios a\u00f1os para sentar la mayor\u00eda de las bases de BeyondCorp.<\/strong> En diciembre de 2014 la migraci\u00f3n segu\u00eda en marcha y en junio de 2019 Google a\u00fan mejoraba su&nbsp;implementaci\u00f3n.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">El despliegue creci\u00f3 por etapas a partir de un proyecto piloto local.<\/strong> En los meses previos al verano de 2017, el 0,3 por ciento de todos los problemas atendidos por el soporte t\u00e9cnico de Google correspond\u00eda a&nbsp;BeyondCorp.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">Los datos poco fiables de empleados y dispositivos pod\u00edan provocar decisiones de acceso err\u00f3neas.<\/strong> Google depur\u00f3 sus datos antes de introducir cambios de&nbsp;calado.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">Relacionado:<\/strong> <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/10\/22\/black-october-ataques-que-llevaban-meses-en-marcha\/\" target=\"_blank\" rel=\"noopener\">Black October: muchos ataques llevaban meses en&nbsp;marcha<\/a><\/p>\n<h2>La situaci\u00f3n inicial en&nbsp;Google<\/h2>\n<p>Antes de BeyondCorp, Google proteg\u00eda sus sistemas internos mediante un per\u00edmetro de red. Se trata del aislamiento cl\u00e1sico en el que la red corporativa se considera una zona de confianza y los empleados acceden desde fuera por VPN, es decir, mediante un t\u00fanel cifrado hacia la red&nbsp;corporativa.<\/p>\n<p>En retrospectiva, Google justific\u00f3 el cambio <a href=\"https:\/\/security.googleblog.com\/2019\/06\/how-google-adopted-beyondcorp.html\" target=\"_blank\" rel=\"noopener\">en junio de 2019<\/a> por los problemas de productividad del acceso por VPN, el creciente uso de la nube y los dispositivos vulnerables o comprometidos dentro del per\u00edmetro. La respuesta fue BeyondCorp, la implementaci\u00f3n de Zero Trust de Google. El t\u00e9rmino designa un modelo que no concede confianza autom\u00e1tica a la red&nbsp;interna.<\/p>\n<p>Seg\u00fan el estado descrito en <a href=\"https:\/\/www.usenix.org\/system\/files\/login\/articles\/login_dec14_02_ward.pdf\" target=\"_blank\" rel=\"noopener\">diciembre de 2014<\/a>, BeyondCorp autenticaba, autorizaba y cifraba los accesos corporativos seg\u00fan el estado del dispositivo y las credenciales del usuario. La ubicaci\u00f3n en la red, en la que se basa el per\u00edmetro, era irrelevante para esa&nbsp;decisi\u00f3n.<\/p>\n<div data-element=\"definition_box\" style=\"background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;padding:20px 24px;margin:32px 0;box-shadow:0 2px 10px rgba(0,0,0,0.22);\">\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\"><strong>\u00bfQu\u00e9 es Zero Trust?<\/strong> Zero Trust es un modelo de seguridad que no permite el acceso a los sistemas corporativos solo porque proceda de la red interna. Cada decisi\u00f3n de acceso se basa en factores como la identidad del usuario y el estado de su dispositivo. En diciembre de 2014, BeyondCorp de Google aplicaba este principio mediante comprobaciones del estado del dispositivo y de las credenciales del&nbsp;usuario.<\/p>\n<\/div>\n<h2>Cronolog\u00eda de la&nbsp;transici\u00f3n<\/h2>\n<p>En diciembre de 2014 la migraci\u00f3n segu\u00eda en marcha. El reto pendiente eran las aplicaciones de cliente pesado con protocolos propietarios. Son programas instalados localmente que se comunican con sus servidores a trav\u00e9s de canales propios del fabricante. Google las incluy\u00f3 en una larga lista de flujos de trabajo&nbsp;pendientes.<\/p>\n<p><a href=\"https:\/\/www.usenix.org\/system\/files\/login\/articles\/login_summer17_10_peck.pdf\" target=\"_blank\" rel=\"noopener\">En el verano de 2017<\/a>, Google describi\u00f3 el despliegue como una secuencia de etapas. Comenz\u00f3 con un proyecto piloto local y se extendi\u00f3 a flujos de trabajo m\u00e1s arriesgados y ubicaciones remotas. Google migr\u00f3 los procesos cr\u00edticos para el negocio solo despu\u00e9s de que las etapas anteriores concluyeran con&nbsp;\u00e9xito.<\/p>\n<p>En junio de 2019, Google hizo balance. La empresa hab\u00eda necesitado varios a\u00f1os para sentar la mayor\u00eda de las bases. En ese momento, Google segu\u00eda mejorando la&nbsp;implementaci\u00f3n.<\/p>\n<h2>Decisiones y apoyo de la&nbsp;direcci\u00f3n<\/h2>\n<p>Al principio del proyecto, Google consigui\u00f3 el apoyo de su direcci\u00f3n. La empresa revis\u00f3 continuamente ese respaldo durante el resto del&nbsp;proceso.<\/p>\n<p>Una segunda decisi\u00f3n afect\u00f3 a los datos de partida. Los datos poco fiables de empleados y dispositivos pod\u00edan provocar decisiones de acceso err\u00f3neas en BeyondCorp y aumentar la vulnerabilidad. Google depur\u00f3 sus datos antes de introducir cambios de&nbsp;calado.<\/p>\n<p>Seg\u00fan inform\u00f3 InformationWeek en <a href=\"https:\/\/www.informationweek.com\/cyber-resilience\/google-beyondcorp-breaks-with-enterprise-security-tradition\" target=\"_blank\" rel=\"noopener\">abril de 2016<\/a>, Google tuvo problemas con identificadores de dispositivos incorrectos y con datos de inventario que quedaban desactualizados tras las reparaciones. Los datos de inventario son los registros del cat\u00e1logo de dispositivos de una empresa. Google respondi\u00f3 con mejores flujos de trabajo, comprobaciones automatizadas de las entradas y un registro doble inspirado en la contabilidad por partida&nbsp;doble.<\/p>\n<h2>Resultados y consecuencias&nbsp;operativas<\/h2>\n<p>En los meses previos al verano de 2017, el 0,3 por ciento de todos los problemas atendidos por el soporte t\u00e9cnico de Google correspond\u00eda a BeyondCorp. La larga implantaci\u00f3n se combin\u00f3 as\u00ed con una ampliaci\u00f3n gradual y una proporci\u00f3n limitada de casos de soporte relacionados con la migraci\u00f3n.<\/p>\n<p>Con el modelo creci\u00f3 la importancia de la infraestructura central. Como cada solicitud pasaba por estos servicios, los sistemas centrales de BeyondCorp de Google deb\u00edan funcionar de forma fiable y resistente a fallos en todo el mundo. Las interrupciones afectaban a la productividad de los&nbsp;empleados.<\/p>\n<h2>Conclusiones para los CISO de la regi\u00f3n&nbsp;DACH<\/h2>\n<p>La experiencia de Google y las recomendaciones de Google y NIST permiten extraer cuatro conclusiones para los responsables de seguridad de Alemania, Austria y&nbsp;Suiza.<\/p>\n<ul style=\"padding-left:1.4em;\">\n<li><strong>Horizonte de planificaci\u00f3n.<\/strong> Google necesit\u00f3 varios a\u00f1os para sentar la mayor\u00eda de las bases. A la luz de esta experiencia, un programa de Zero Trust debe figurar en el presupuesto y la hoja de ruta como una iniciativa&nbsp;plurianual.<\/li>\n<li><strong>Apoyo de la direcci\u00f3n.<\/strong> Google obtuvo pronto el apoyo de la direcci\u00f3n y lo revis\u00f3 continuamente. En una iniciativa de esta duraci\u00f3n, conviene incluir ese respaldo como punto de revisi\u00f3n peri\u00f3dico del&nbsp;programa.<\/li>\n<li><strong>Inventario antes que reglas.<\/strong> Seg\u00fan la recomendaci\u00f3n del Instituto Nacional de Est\u00e1ndares y Tecnolog\u00eda de Estados Unidos, National Institute of Standards and Technology (NIST), de <a href=\"https:\/\/nvlpubs.nist.gov\/nistpubs\/SpecialPublications\/NIST.SP.800-207.pdf\" target=\"_blank\" rel=\"noopener\">agosto de 2020<\/a>, antes de implantar Zero Trust hay que hacer un inventario del entorno propio. Esta recomendaci\u00f3n y la experiencia de Google con datos poco fiables de empleados y dispositivos apuntan a depurar el inventario y los datos de identidad antes de basar en ellos las reglas de&nbsp;acceso.<\/li>\n<li><strong>Empezar a peque\u00f1a escala.<\/strong> Google recomend\u00f3 comenzar con pocos recursos, aplicaciones, usuarios y dispositivos, y ampliar solo despu\u00e9s de confirmar la fiabilidad. En su propio despliegue, los procesos cr\u00edticos para el negocio llegaron despu\u00e9s de completar con \u00e9xito las etapas previas, un patr\u00f3n aplicable a los programas de la regi\u00f3n&nbsp;DACH.<\/li>\n<\/ul>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 cerrada. Con un toque se desbloquea la&nbsp;respuesta.<\/p>\n<details>\n<summary><strong>\u00bfC\u00f3mo gestion\u00f3 Google los flujos de trabajo que a\u00fan no eran compatibles con&nbsp;BeyondCorp?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Para diciembre de 2014, Google hab\u00eda establecido un proceso de excepciones temporales a la migraci\u00f3n. A trav\u00e9s de \u00e9l, los usuarios pod\u00edan presentar flujos de trabajo a\u00fan incompatibles con BeyondCorp. Para ello necesitaban la&nbsp;aprobaci\u00f3n correspondiente.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 debe incluir el inventario previo a Zero&nbsp;Trust?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Seg\u00fan la recomendaci\u00f3n de NIST de agosto de 2020, las organizaciones deben identificar y catalogar previamente los dispositivos y otros recursos, usuarios, procesos de negocio, flujos de tr\u00e1fico y dependencias. Seg\u00fan NIST, este registro constituye una capacidad b\u00e1sica antes de la&nbsp;implantaci\u00f3n.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfSustituye Zero Trust por completo al per\u00edmetro&nbsp;cl\u00e1sico?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Seg\u00fan la previsi\u00f3n de NIST de agosto de 2020, la mayor\u00eda de las empresas trabajar\u00e1n durante un tiempo indefinido con un modelo h\u00edbrido que combine Zero Trust y m\u00e9todos basados en per\u00edmetros. NIST recomienda que la implantaci\u00f3n sea&nbsp;gradual.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=es--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Fuente de la imagen: generada con IA (noviembre de 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Google necesit\u00f3 varios a\u00f1os para sentar la mayor\u00eda de las bases de BeyondCorp. El despliegue comenz\u00f3 con un proyecto piloto local.","protected":false},"author":10,"featured_media":25505,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Google BeyondCorp","_yoast_wpseo_title":"BeyondCorp: a\u00f1os para crear las bases de Zero Trust","_yoast_wpseo_metadesc":"Google tard\u00f3 varios a\u00f1os en sentar la mayor parte de los cimientos de BeyondCorp. El despliegue comenz\u00f3 con un proyecto piloto local.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/11\/cover-hero-15.jpg","_yoast_wpseo_opengraph-image-id":25505,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/11\/cover-hero-15.jpg","_yoast_wpseo_twitter-image-id":25505,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[223],"tags":[],"class_list":["post-25749","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-case-studies"],"evm_reading_time_minutes":7,"wpml_language":"es","wpml_translation_of":25477,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25749","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=25749"}],"version-history":[{"count":12,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25749\/revisions"}],"predecessor-version":[{"id":25916,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25749\/revisions\/25916"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/25505"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=25749"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=25749"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=25749"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}