Beyond Zero: cinco ideas de seguridad que una pyme sí puede copiar

Durante años, muchas empresas protegieron la entrada: una contraseña abría la aplicación y después el usuario podía hacer casi todo. El 27 de julio de 2026, Google presentó Beyond Zero. Es un paradigma que lleva la autorización hasta cada acción y recurso, tanto para personas como para agentes de IA. Google describe cinco principios y reconoce que la adopción amplia de este enfoque sigue en una etapa temprana. No es una caja que toda pyme deba comprar. Sí es una forma útil de pensar. En lugar de preguntar solo “¿quién entró?”, pregunta “¿qué intenta hacer, con qué dato, desde qué contexto y qué validación necesita?”.

Idea uno: autoriza la acción, no toda la aplicación

Una persona puede necesitar ver facturas sin poder cambiar la cuenta bancaria. Un agente de IA puede redactar una respuesta sin enviarla. Beyond Zero propone evaluar acciones específicas sobre recursos específicos. NIST definió zero trust como un modelo sin confianza implícita por ubicación o propiedad del dispositivo. La autorización ocurre antes del acceso al recurso. Para una pyme, la traducción es dividir permisos. Separa ver, crear, editar, aprobar, exportar y borrar. Empieza por dinero, datos personales y configuraciones. Si una herramienta solo ofrece “usuario” o “administrador”, compensa con aprobación humana y límites del proceso.

Idea dos: combina reglas fijas con señales del momento

Una regla fija dice que solo finanzas puede cambiar una cuenta de pago. Una señal dinámica pregunta si el cambio llega desde un equipo nuevo, fuera de horario o después de muchos intentos fallidos. Google propone combinar políticas estáticas con controles más fuertes en situaciones riesgosas. No necesitas construir un motor avanzado. Puedes activar alertas de inicio de sesión, limitar países, exigir doble factor y pedir una segunda aprobación para cambios delicados. La regla debe ser simple y verificable. Demasiadas excepciones hacen que todos busquen atajos. Empieza con tres acciones cuyo abuso tendría el mayor impacto.

Idea tres: agrega contexto útil

El contexto no debe convertirse en vigilancia sin límites. Solo debe ayudar a decidir. Puede incluir rol, dispositivo administrado, ubicación aproximada, sensibilidad del dato, horario y tarea asignada. Google plantea enriquecer la decisión con información sobre la persona, la acción, el dato y las medidas disponibles. CISA organiza su modelo de madurez de zero trust en pilares y capacidades transversales. Para una pyme, el primer paso es saber qué acciones son normales para cada puesto. Documenta quién puede descargar la base completa, cambiar permisos o conectar una aplicación. Después configura alertas para lo extraordinario.

Idea cuatro: investiga señales antes de bloquear todo

Una actividad extraña no siempre es un ataque. Puede ser una persona viajando o un proceso nuevo. Beyond Zero contempla investigaciones automáticas que reúnen señales y disparan una respuesta. Una pyme puede hacerlo de forma sencilla. Cuando aparece un inicio de sesión raro, revisa usuario, hora, dispositivo, cambios y acciones posteriores. Mantén una lista de contactos para confirmar. No borres registros durante la investigación. Define cuándo aislar una cuenta y cuándo solo pedir verificación. La velocidad importa, pero también evitar que una reacción detenga ventas sin motivo.

Idea cinco: desafía o contiene según el riesgo

Un desafío pide más evidencia: volver a autenticarse, usar una llave o conseguir aprobación. La contención reduce el daño: suspender una sesión, impedir exportaciones o quitar un permiso temporalmente. Google los presenta como respuestas ligadas a políticas. Diseña escalones. Una señal baja genera aviso. Dos señales piden doble factor. Una acción crítica desde un contexto desconocido se detiene. Siempre incluye una ruta para que una persona legítima recupere el trabajo. Un control sin soporte puede empujar al equipo a compartir cuentas, justo lo contrario de lo buscado.

Empieza por un recorrido crítico

Elige un recorrido, como alta de proveedor, devolución o exportación de clientes. Dibuja pasos, personas, sistemas y datos. Marca qué acciones requieren autorización. Agrega una regla fija, una señal de riesgo, un desafío y una forma de contener. Prueba casos normales y una excepción legítima. Mide fraude evitado, errores, tiempo y bloqueos incorrectos. No afirmes que adoptaste Beyond Zero por activar doble factor. Estás tomando principios para mejorar un proceso. El anuncio de Google es una visión con prototipos internos, no un estándar terminado ni una garantía para productos ajenos.

Evita usar este concepto como etiqueta comercial. Pide al proveedor que muestre la acción exacta, la señal evaluada y el registro producido. Una frase como “seguridad con IA” no demuestra autorización continua. Comprueba qué ocurre cuando el servicio pierde conexión o recibe una señal equivocada. Define quién puede anular un bloqueo y cómo queda documentado. Si el control depende de una licencia superior, inclúyelo en el costo. La meta no es copiar la arquitectura de Google. Es reducir permisos amplios y hacer que cada acción sensible tenga una decisión visible.