Zero Trust vs VPN: el costo real del cambio

El discurso comercial de Zero Trust casi invariablemente incluye la promesa de que será más barato que una VPN. A veces es cierto, pero no en los primeros dos años, no para equipos pequeños y no sin considerar los costos de migración que rara vez aparecen en las hojas de cálculo iniciales. Hacer un análisis honesto requiere separar el costo de la licencia del costo operativo total y el costo operativo recurrente del costo único de transición.

Lo que realmente cuesta la VPN tradicional

El coste de una VPN corporativa bien mantenida tiene tres componentes que rara vez se suman. El primero es el hardware concentrador VPN o VM: los dispositivos Cisco ASA o Palo Alto GlobalProtect Gateway para entornos medianos cuestan entre R$ 25.000 y R$ 250.000, amortizados en 3 a 5 años. El segundo es la licencia para el cliente: Cisco AnyConnect y GlobalProtect cobran entre 15 y 25 dólares por usuario al año; para 200 usuarios, eso supone entre 3.000 y 5.000 dólares al año sólo en software cliente.

El tercero, y a menudo subestimado, es el costo operativo. La VPN requiere rotación de certificados, administración de versiones de clientes en dispositivos heterogéneos, mantenimiento de reglas de túnel dividido cuando se crean nuevos servicios internos y administración de la capacidad del concentrador cuando aumenta el número de sesiones simultáneas. Para un equipo de 100 usuarios, estimaciones conservadoras sitúan esta sobrecarga entre 10 y 15 horas de ingeniería por mes. Para 100 usuarios, el TCO de una VPN bien operada está entre $15 000 y $25 000 por año, considerando el hardware amortizado, las licencias y el tiempo de ingeniería.

Lo que realmente cuesta Cloudflare Zero Trust

El plan Team de Cloudflare Zero Trust cuesta $7 por usuario al mes. Para 100 usuarios, eso equivale a $8400 por año de licencia, por debajo del TCO de VPN incluso sin contar el tiempo de ingeniería ahorrado. Para 500 usuarios, eso equivale a 42.000 dólares al año, con la posibilidad de negociar por menos de 7 dólares en volúmenes superiores a 200. El plan incluye Access, Tunnel, WARP y Gateway con registros, sin hardware que amortizar.

El costo de implementación inicial cambia la ecuación en el primer año. Una implementación de complejidad media (de tres a ocho aplicaciones internas, integración con Okta o Azure AD, implementación WARP a través de MDM en 100 dispositivos) requiere entre 40 y 80 horas de ingeniería. Sumando la implementación a la licencia del primer año, el costo total para 100 usuarios está entre $14 000 y $22 000, comparable al TCO de una VPN. A partir del segundo año, sin costes de implementación y con menores gastos operativos, la ventaja financiera de Zero Trust se vuelve concreta.

Los costos ocultos de la migración

La migración de VPN a Zero Trust tiene costos que los diseños optimistas omiten. El período de operación paralela es el primero: durante la migración, la antigua VPN continúa ejecutándose mientras las aplicaciones se migran una por una a Access. Para organizaciones con muchas aplicaciones internas, este período puede durar seis meses o más, pagando por VPN y Cloudflare simultáneamente.

El segundo costo son las aplicaciones que dependen de la lista de IP permitidas. Cualquier servicio que acepte conexiones solo desde rangos de IP específicos (bases de datos configuradas para aceptar solo la IP del concentrador VPN, API internas que verifican la IP de origen) rompe el modelo Zero Trust, donde la IP de origen es el borde de Cloudflare. La corrección implica actualizar la lista de permitidos o implementar tokens de servicio. Hacer un inventario de estas dependencias antes de iniciar la migración es esencial; descubrirlas durante el proceso es costoso.

El tercer coste es la formación. Los usuarios que llaman al soporte preguntando "la VPN no funciona" después de la migración no es un problema de TI; es una señal de que la comunicación del cambio ha fallado. Es necesario presupuestar el esfuerzo de documentación y comunicación para los usuarios finales, especialmente en organizaciones con usuarios no técnicos.

Cuando la migración no tiene sentido

Para equipos con menos de 20 personas y una configuración de VPN simple y estable (túnel dividido básico, pocos servicios internos, hardware ya pagado), el esfuerzo de migrar a Zero Trust rara vez se justifica por el retorno financiero. La ganancia en seguridad es real, pero el costo de implementación distribuido entre unos pocos usuarios y la baja complejidad del entorno hacen que el retorno de la inversión sea negativo en un horizonte de dos a tres años.

La migración tampoco está justificada para organizaciones con una gran cantidad de aplicaciones cliente pesadas que requieren acceso a subredes internas específicas y no pueden refactorizarse a un modelo de acceso de nombre de host. Los sistemas ERP heredados y las herramientas de ingeniería que acceden a los equipos a través de IP directamente continúan requiriendo acceso a la red que el modelo por aplicación Zero Trust no puede reemplazar sin cambios significativos en la aplicación.

El argumento de la seguridad con valor financiero real

El coste de un incidente por credencial VPN comprometida es la variable que transforma el análisis. La VPN otorga acceso a la red después de la autenticación: la credencial robada significa acceso lateral sin restricciones a la red interna. Zero Trust otorga acceso por aplicación: las credenciales comprometidas solo llegan a las aplicaciones autorizadas explícitamente para esa identidad, con la verificación de la postura del dispositivo como control adicional.

Para fines de auditoría (SOC 2, ISO 27001, HIPAA), los registros de acceso son cualitativamente superiores a los registros de conexión VPN. Cada evento registra usuario, aplicación específica, marca de tiempo, IP, dispositivo y decisión tomada. Los registros de VPN registran que se estableció una conexión y cuándo se cerró; lo que sucedió dentro no aparece. La diferencia tiene un impacto concreto en el tiempo y el costo de las auditorías externas.

Qué decidir antes de aprobar el proyecto

El análisis del TCO es necesario pero no suficiente para tomar la decisión de migrar. La pregunta más importante es sobre el perfil de riesgo actual: ¿cuántas aplicaciones internas con datos confidenciales son accesibles para cualquier usuario con una VPN activa? Si la respuesta es "No sé exactamente a qué datos se puede acceder a través de VPN", eso en sí mismo es un argumento para migrar, no por el costo, sino por el control.

La implementación comienza con las dos o tres aplicaciones con mayor sensibilidad de datos y mayor riesgo de exposición. El patrón de configuración probado en ellos (políticas de acceso de grupo, duración de la sesión, postura del dispositivo) se replica para el resto. Lo que genera la primera aplicación migrada no es sólo una mayor seguridad para ese servicio; es evidencia operativa de que el modelo funciona en el contexto de la organización.