El trabajo remoto dejó de ser una excepción hace años. Hoy los empleados se conectan desde casa, desde clientes, desde aeropuertos, usando portátiles corporativos, dispositivos personales y redes que no controla nadie de su empresa. El modelo de seguridad que diseñamos para una oficina con un perímetro claro ya no encaja con esa realidad.
La VPN fue la respuesta durante décadas. Zero Trust es la alternativa que lleva años ganando terreno. Pero ninguna de las dos es universalmente mejor: son herramientas distintas que resuelven problemas distintos, y la elección correcta depende de cómo trabaja su empresa, qué sistemas protege y qué recursos tiene para gestionarlo.
Cómo funciona cada modelo
VPN · Red Privada Virtual
- Crea un túnel cifrado entre el dispositivo del usuario y la red corporativa
- Una vez conectado, el usuario tiene acceso a toda la red (o a un segmento amplio)
- La verificación ocurre en el momento de la conexión: usuario + contraseña (y a veces MFA)
- El servidor VPN vive en su infraestructura o en la nube
- El modelo asume que todo lo que está dentro de la red es de confianza
Zero Trust · Confianza Cero
- No existe una "red de confianza": cada acceso se verifica individualmente
- El acceso se concede recurso a recurso, no a toda la red
- Verifica continuamente: identidad, dispositivo, ubicación y comportamiento
- Funciona igual para recursos en oficina, cloud o SaaS
- El principio es: nunca confíes, verifica siempre
La diferencia fundamental es el alcance del acceso tras autenticarse. Con una VPN, conectarse equivale a entrar al edificio: una vez dentro, puede moverse con bastante libertad. Con Zero Trust, cada puerta del edificio tiene su propio control de acceso y se verifica cada vez que la cruza.
El problema real de las VPNs en 2026
Las VPNs no son inseguras por diseño, pero tienen limitaciones que se vuelven más evidentes a medida que las empresas adoptan más servicios en la nube y el trabajo remoto se consolida:
Acceso demasiado amplio
El modelo VPN típico conecta al usuario a un segmento de red completo. Si un atacante compromete las credenciales de cualquier empleado, tiene acceso a todo lo que ese empleado puede ver desde la VPN. En entornos donde los recursos críticos están todos en la misma red, el radio de impacto de un compromiso es muy grande.
No fue diseñada para la nube
Si sus aplicaciones están en AWS, Google Workspace, Microsoft 365 o cualquier SaaS, el tráfico de sus empleados hace un recorrido innecesario: del dispositivo al servidor VPN, del servidor VPN al servicio cloud, y de vuelta. Ese desvío introduce latencia y no añade seguridad cuando el destino final está fuera de su red de todas formas.
Escalabilidad y rendimiento
El servidor VPN es un cuello de botella. Con muchos usuarios conectados simultáneamente, la capacidad del concentrador VPN limita el rendimiento de toda la organización. Escalar implica comprar más hardware o más capacidad en la nube.
Dispositivos no gestionados
Una VPN autentica usuarios, no dispositivos. Si un empleado se conecta desde su ordenador personal con software desactualizado o malware, ese dispositivo tiene el mismo acceso que uno corporativo bien configurado.
Dato relevante: según varios informes de ciberseguridad de 2026, más del 60% de los incidentes de acceso no autorizado en PYMEs europeas se produjeron a través de credenciales VPN comprometidas, no por vulnerabilidades técnicas del servidor VPN en sí.
Qué es Zero Trust en la práctica
Zero Trust es un principio de seguridad, no un producto concreto. Se implementa a través de una combinación de herramientas que juntas garantizan que cada acceso se verifica en función de múltiples factores:
- Identidad verificada: autenticación multifactor obligatoria, siempre
- Estado del dispositivo: solo acceden dispositivos que cumplen las políticas de seguridad (actualizaciones al día, antivirus activo, cifrado de disco)
- Contexto del acceso: la ubicación, la hora y el comportamiento habitual del usuario influyen en si se concede o se requiere verificación adicional
- Mínimo privilegio: cada usuario accede solo a los recursos que necesita para su trabajo, nada más
- Microsegmentación: los recursos están aislados entre sí; comprometer uno no da acceso al resto
La implementación práctica más común en PYMEs se conoce como ZTNA (Zero Trust Network Access) y es el componente de acceso remoto del modelo Zero Trust: reemplaza la VPN para el acceso a aplicaciones específicas sin necesidad de conectar el dispositivo a toda la red.
Comparativa directa
| Criterio | VPN tradicional | Zero Trust / ZTNA |
|---|---|---|
| Granularidad del acceso | Acceso a red o segmento | Acceso por aplicación/recurso |
| Visibilidad de dispositivos | Limitada | Completa (postura del dispositivo) |
| Experiencia de usuario | Variable, a veces lenta | Transparente, acceso directo |
| Compatibilidad con SaaS/cloud | Deficiente (tráfico desviado) | Nativa |
| Complejidad de configuración inicial | Baja-media | Media-alta |
| Coste para equipos pequeños | Bajo (soluciones open source gratuitas) | Medio (desde ~5-10 €/usuario/mes) |
| Escalabilidad | Limitada por el concentrador | Alta (infraestructura distribuida) |
| Protección ante credenciales robadas | Baja si no hay MFA + segmentación | Alta (verifica dispositivo + contexto) |
Escenarios concretos: qué usar en cada caso
Si sus aplicaciones son todas SaaS (Microsoft 365, Google Workspace, CRM en la nube, ERP cloud), una VPN no aporta valor real: no hay red interna que proteger. Lo que necesita es gestión de identidad robusta con MFA, políticas de acceso condicional y control del estado de los dispositivos. Herramientas como Cloudflare Access o Tailscale cubren esto con un coste muy accesible.
Si tiene un servidor de archivos, un ERP local o aplicaciones internas que no están en la nube, necesita acceso remoto a esa infraestructura. Una VPN bien configurada con MFA sigue siendo una solución válida y económica. Si además maneja datos sensibles o tiene muchos usuarios remotos, ZTNA (por ejemplo con Tailscale o Cloudflare Tunnel) da más control sin mucho más coste.
Con equipos distribuidos geográficamente, la latencia de enrutar todo el tráfico por un concentrador VPN central se vuelve un problema operativo. ZTNA permite que cada usuario acceda directamente al recurso que necesita desde el punto de presencia más cercano, sin pasar por una sede central.
Los entornos OT/IT con equipos industriales, PLCs o sistemas SCADA raramente tienen capacidad de integrarse con soluciones ZTNA modernas. Una VPN con segmentación de red estricta (acceso solo al segmento industrial, no a toda la red) sigue siendo el modelo más práctico y seguro para estos entornos.
Dar acceso VPN a terceros significa darles acceso a su red. Con ZTNA puede dar acceso únicamente a la aplicación específica que necesitan, durante el tiempo que necesitan, con verificación del dispositivo. Es mucho más seguro y fácil de revocar.
Herramientas: qué existe y cuánto cuesta
VPN
El protocolo VPN moderno por excelencia. Más rápido, más ligero y más fácil de auditar que OpenVPN o IPSec. Puede instalarse en cualquier servidor Linux en cuestión de minutos. Ideal para empresas con capacidad técnica interna que quieren control total sin coste de licencias. Existe también en versión gestionada a través de herramientas como Headscale (open source) o como base de Tailscale.
El estándar histórico de VPN corporativa. Maduro, bien soportado y con clientes para todos los sistemas operativos. La versión Community es gratuita; OpenVPN Access Server (versión comercial) cobra por usuarios adicionales. Adecuado cuando necesita compatibilidad con dispositivos o sistemas más antiguos.
Zero Trust / ZTNA
La opción más accesible para empezar con Zero Trust. Construido sobre WireGuard, crea una red mesh cifrada entre todos los dispositivos autorizados. No requiere abrir puertos ni configurar firewalls. Cada dispositivo se autentica con una cuenta de identidad (Google, Microsoft, GitHub). La consola de administración permite definir qué dispositivos pueden acceder a qué recursos. Para equipos pequeños, el tier gratuito puede ser suficiente.
Parte del ecosistema Cloudflare Zero Trust. Permite publicar aplicaciones internas (incluso en servidores sin IP pública) detrás de un proxy de Cloudflare, con políticas de acceso basadas en identidad, dispositivo y contexto. El tier gratuito es muy generoso para PYMEs. Se integra con cualquier proveedor de identidad (Google Workspace, Azure AD, Okta).
Solución enterprise de referencia en el mercado ZTNA. Pensada para organizaciones con cientos o miles de usuarios, múltiples sedes y requisitos de cumplimiento complejos. Ofrece visibilidad completa del tráfico, integración con SIEM y gestión centralizada. Fuera del alcance de la mayoría de PYMEs por coste y complejidad, pero relevante si la empresa está en crecimiento acelerado hacia ese tamaño.
¿Puedo tener los dos a la vez?
Sí, y es más común de lo que parece. Muchas empresas mantienen una VPN para el acceso a sistemas legacy o industriales donde ZTNA no es viable, y usan Zero Trust para el resto de accesos remotos: aplicaciones web, recursos cloud, herramientas SaaS. No son excluyentes.
La estrategia más habitual en PYMEs en transición es mantener la VPN existente mientras se implementa ZTNA para los nuevos casos de uso, y migrar progresivamente a medida que se valida que el nuevo modelo cubre las necesidades.
Por dónde empezar si está evaluando el cambio
Si actualmente usa VPN y quiere evaluar si Zero Trust tiene sentido para su empresa, el punto de partida es responder tres preguntas:
- ¿Dónde están sus aplicaciones? Si la mayoría son cloud o SaaS, Zero Trust aporta más valor inmediato.
- ¿Cuántos usuarios externos (freelancers, proveedores) necesitan acceso? A más externos, más sentido tiene Zero Trust.
- ¿Ha tenido incidentes de seguridad relacionados con acceso remoto? Si la respuesta es sí, es el argumento más directo para revisar el modelo actual.
No existe una respuesta universal. Lo que sí existe es una evaluación honesta de qué protege, cómo trabaja su equipo y qué recursos tiene para gestionar el sistema elegido.
En EstructuraBit auditamos la infraestructura de acceso remoto de PYMEs y diseñamos el modelo que mejor encaja con su realidad: desde reforzar la VPN existente con MFA y segmentación, hasta implementar una solución ZTNA completa. Si quiere revisar cómo está protegido hoy el acceso remoto a sus sistemas, escríbanos.
Volver al blog