El trabajo híbrido, la colaboración con terceros y la proliferación de dispositivos personales han convertido en norma algo que hace unos años era la excepción: dar acceso a aplicaciones corporativas a personas y equipos que la organización no controla. ¿Cómo se concede ese acceso de forma segura cuando no se puede o no se quiere instalar nada en el dispositivo del usuario? La seguridad perimetral clásica, pensada para un usuario sentado dentro de la oficina, encaja mal con esta realidad. Esta pregunta está detrás del auge del ZTNA Agentless, el acceso Zero Trust Network Access sin agente.

Durante años, la respuesta fue la VPN. Una vez autenticado, el usuario quedaba dentro de la red y podía ver mucho más de lo que necesitaba. El modelo Zero Trust invierte esa lógica. La publicación NIST SP 800-207 (Zero Trust Architecture) lo resume en una máxima: «nunca confíes y verifica siempre». De ese principio nace el Zero Trust Network Access (ZTNA), que no da acceso a la red sino a una aplicación concreta, verificando identidad y contexto en cada sesión.

El ZTNA clásico, sin embargo, suele apoyarse en un agente instalado en el dispositivo. Y ahí aparece la brecha: hay escenarios en los que ese agente simplemente no es viable. El mercado lo confirma. Según MarketsandMarkets, el mercado de ZTNA pasará de 1.340 millones de dólares en 2025 a 4.180 millones en 2030, con un crecimiento anual compuesto del 25,5 %. Dentro de esa cifra, el segmento sin agente es el que más rápido crece, y buena parte de los casos de uso que empujan la adopción, el acceso de terceros y el BYOD, exigen precisamente un enfoque agentless.

¿Qué es el ZTNA Agentless?

El ZTNA Agentless es el acceso Zero Trust entregado directamente desde el navegador, sin ningún cliente instalado en el equipo. El usuario abre una URL, se autentica y accede únicamente a la aplicación que tiene autorizada. Todo lo demás permanece invisible.

¿Cómo funciona?

En lugar de abrir un túnel hacia la red, el acceso se intermedia a través de un broker o proxy inverso. Cuando el usuario solicita una aplicación, la plataforma verifica su identidad y el contexto de la conexión, y solo entonces establece la sesión hacia el recurso autorizado. Esa verificación no es un trámite de entrada único: se reevalúa en cada sesión, en línea con los principios de Zero Trust.

Y no se limita a las aplicaciones web. Desde el propio navegador es posible publicar de forma segura protocolos muy diversos: HTTPS para aplicaciones web mediante proxy inverso, RDP para escritorio remoto, VNC para soporte en vivo (útil en quioscos o interfaces industriales HMI), SSH para administración en texto y SFTP o SMB para transferencia de ficheros. Nada de ello requiere software adicional en el lado del usuario.

¿Qué problemas resuelve?

El acceso sin agente elimina la fricción de despliegue allí donde instalar un cliente es imposible o poco práctico. Es la respuesta natural para el acceso de terceros y contratistas, proveedores externos que necesitan una aplicación puntual sin que el equipo de TI tenga que gestionar ni aprovisionar su dispositivo. También encaja en escenarios BYOD, con empleados que trabajan desde equipos personales no gestionados, y en la infraestructura crítica (OT, ICS/SCADA), servidores y sistemas industriales que nunca deberían publicarse en Internet pero que requieren un acceso remoto seguro y controlado. A ello se suma un onboarding inmediato: el usuario abre una URL y entra, con un time-to-value instantáneo que resulta idóneo para pilotos y para rotaciones frecuentes de personal.

Hay, además, dos ventajas que cierran el caso. En modo proxy, las credenciales de la aplicación quedan protegidas y no se entregan al usuario final. Y la movilidad es total: se accede desde cualquier equipo o sistema operativo que disponga de un navegador compatible.

¿Por qué supera al modelo tradicional?

Frente a la VPN, el ZTNA Agentless no publica puertos ni direcciones IP, de modo que la red queda oculta a Internet y desaparece la superficie de exposición que los atacantes rastrean. Al conceder acceso por aplicación y no por red, se frena el movimiento lateral ante una eventual brecha, y la misma política de acceso acompaña al usuario esté donde esté, sin duplicar reglas entre la oficina y el trabajo remoto. Tampoco hay que mantener y parchear un concentrador VPN heredado, uno de los blancos preferidos de los atacantes cada vez que se publica una nueva vulnerabilidad.

Conviene matizar un punto: el modo agentless no sustituye al modo con agente, lo complementa. El agente aporta una visión completa de la postura del dispositivo (salud, telemetría, certificados) y es idóneo para los equipos que la organización gestiona. El modo sin agente brilla exactamente donde el agente no llega. Un planteamiento de ZTNA universal, capaz de combinar ambos, cubre el perímetro completo sin dejar huecos.

Conclusión

El acceso sin agente ha dejado de ser una función marginal para convertirse en un requisito de entrada. Allí donde la VPN exponía y donde el agente no podía instalarse, el ZTNA Agentless ofrece un acceso seguro, por aplicación y verificado en cada sesión, para terceros, BYOD y entornos OT. Es, en definitiva, la pieza que faltaba para extender Zero Trust a todo el perímetro.

En Teldat abordamos este reto con be.Safe Pro ZTNA Agentless, nuestra plataforma de ciberseguridad que ofrece ZTNA universal, desplegable on-premise o en modo híbrido y orquestada desde una interfaz guiada. Si desea ver cómo aplicarlo a su organización, contacte con nuestro equipo.