SoftwareOne plantea abordar la implantación de Zero Trust como un programa gradual de transformación del puesto de trabajo, basado en los riesgos y en la capacidad operativa de cada organización. El enfoque prioriza entender cómo acceden los usuarios, qué aplicaciones sostienen el negocio y dónde se encuentra la información sensible antes de introducir nuevos controles, una secuencia destinada a evitar que la complejidad paralice los proyectos de seguridad.
La compañía identifica esa parálisis como una barrera más relevante que la falta de presupuesto o de herramientas. Muchas empresas ya disponen de tecnologías de identidad, gestión de dispositivos y protección de datos, pero carecen de una estrategia que las conecte. El problema pasa entonces por decidir qué relaciones de confianza deben revisarse primero y cuánto cambio pueden asumir los equipos sin alterar procesos esenciales.
Empezar por el funcionamiento real del puesto de trabajo
El punto de partida propuesto consiste en observar el entorno tal como funciona, incluidos sus accesos habituales, dependencias y excepciones. Ese diagnóstico debe localizar dónde se mantiene una confianza implícita por costumbre: usuarios que conservan permisos, dispositivos aceptados sin verificaciones suficientes o aplicaciones que acceden a información sensible bajo criterios que han dejado de responder a la realidad de la empresa.
Este planteamiento desplaza el foco desde un despliegue tecnológico general hacia una sucesión de decisiones ligadas al riesgo. La organización puede comenzar por las identidades y los accesos más críticos, continuar con el control de los dispositivos y extender después la protección a los datos utilizados en espacios colaborativos. El orden concreto dependerá de las prioridades empresariales y de los recursos disponibles para operar cada control.
SoftwareOne sostiene que los proyectos que pretenden modificar todos los componentes al mismo tiempo pueden generar más problemas de los que resuelven. Una transformación simultánea multiplica las dependencias, dificulta identificar el origen de las incidencias y obliga a usuarios y administradores a asimilar demasiados cambios. La alternativa es dividir el programa en mejoras pequeñas cuyo impacto pueda medirse y corregirse antes de avanzar.
Jorge Rodriguez, Solution Sales Senior Consultant DWP de SoftwareOne, resume este criterio desde la fase inicial: «Si mañana tuviera que empezar una iniciativa de este tipo desde cero, probablemente no empezaría hablando de Zero Trust«. Su recomendación consiste en reunir primero a quienes conocen el funcionamiento cotidiano del puesto de trabajo y utilizar ese conocimiento para detectar las relaciones de confianza que ya no están justificadas.
Seguridad, experiencia de usuario y carga operativa
La aplicación progresiva también permite gestionar dos efectos que pueden condicionar el resultado. Reforzar la autenticación y el control de accesos mejora la protección, aunque puede añadir pasos o interrupciones para el empleado. Aumentar la supervisión de los dispositivos ofrece más visibilidad al área de seguridad, pero incrementa las tareas de configuración, soporte y mantenimiento que recaen sobre el equipo de IT.
Estos equilibrios convierten Zero Trust en una cuestión organizativa además de técnica. Seguridad debe priorizar los riesgos; IT necesita conocer la carga que generará cada medida; y los responsables del puesto de trabajo tienen que anticipar cómo afectará a la actividad diaria. Si esas perspectivas se incorporan desde el diseño, la empresa puede ajustar los controles según el tipo de usuario, dispositivo, aplicación o dato implicado.
El objetivo operativo es eliminar la concesión automática de confianza y sustituirla por comprobaciones justificadas, sin aplicar el mismo nivel de exigencia de forma indiscriminada. La propuesta no aporta métricas concretas sobre reducción de incidentes o tiempos de despliegue, por lo que su utilidad reside principalmente en ordenar el proyecto: identificar activos y flujos relevantes, priorizar exposiciones y asignar capacidad de gestión antes de ampliar el alcance.
De marco conceptual a implementaciones reproducibles
El planteamiento de SoftwareOne no constituye un marco nuevo de septiembre de 2026. La empresa ya había desarrollado la misma tesis y secuencia de implantación en una hoja de ruta publicada en marzo de 2026. Su recuperación mantiene interés para las organizaciones que todavía tratan Zero Trust como una iniciativa integral difícil de acotar, pero debe entenderse como continuidad de ese enfoque previo.
La evolución hacia modelos aplicables también aparece en referencias independientes. El National Institute of Standards and Technology publicó en junio de 2025 la guía NIST SP 1800-35, que reúne 19 implementaciones de ejemplo desarrolladas con 24 colaboradores. La guía incorpora modelos técnicos, prácticas y lecciones aprendidas basadas en tecnologías comerciales y casos de uso habituales, con el propósito de facilitar arquitecturas que otras organizaciones puedan reproducir y adaptar.
Estas aproximaciones reflejan una transición desde los principios generales hacia planes ejecutables, aunque ninguna arquitectura de referencia sustituye el análisis interno. Una empresa necesita determinar qué aplicaciones son críticas, quién debe acceder a ellas, desde qué dispositivos y bajo qué condiciones. También debe establecer responsables para operar las políticas y atender las incidencias derivadas de controles más estrictos.
La consecuencia práctica es que el avance puede comenzar sin esperar a rediseñar todo el entorno corporativo. Inventariar los accesos con mayor impacto, revisar la confianza heredada y desplegar un primer conjunto acotado de controles permite comprobar la fricción introducida y la carga asumida por IT. Ese aprendizaje proporciona una base operativa para extender Zero Trust a nuevos usuarios, dispositivos y datos sin convertir su implantación en un programa inmanejable.
