Segmentación de red para pymes: cómo limitar un incidente sin rediseñar toda la oficina

En muchas pymes todo comparte la misma red: portátiles de usuarios, impresoras, NAS, cámaras, WiFi de visitas, servidores, TPV y equipos de administración. Funciona hasta que un portátil infectado, una contraseña robada o un dispositivo olvidado permite moverse lateralmente sin apenas barreras. La segmentación no evita todos los ataques, pero reduce el radio de impacto y da más tiempo para detectar y contener.

El objetivo no es diseñar una arquitectura de gran empresa con decenas de zonas y reglas imposibles de mantener. Para una pyme suele bastar con separar lo que tiene distinto nivel de riesgo, documentar flujos necesarios y bloquear el resto. Menos comunicación por defecto significa menos caminos para ransomware, robo de credenciales y abuso de herramientas administrativas.

• Usuarios corporativos con acceso a correo, ERP, CRM y carpetas compartidas
• Servidores, NAS, copias de seguridad, virtualización y aplicaciones internas
• Administración IT: equipos desde los que se gestionan firewall, cloud, dominio y proveedores
• WiFi de invitados y dispositivos personales sin acceso a recursos internos
• IoT, cámaras, control horario, impresoras y dispositivos difíciles de actualizar
• Entornos de desarrollo o pruebas separados de producción y datos reales

• Crear muchas redes sin responsable ni documentación
• Permitir todo temporalmente y no cerrar nunca las reglas
• Dejar el WiFi de invitados con visibilidad hacia impresoras, NAS o paneles internos
• Olvidar accesos de proveedores, VPN y herramientas de soporte remoto
• No probar restauración de copias desde una red aislada
• No monitorizar tráfico bloqueado para detectar dependencias ocultas

La primera semana conviene inventariar activos y mapear servicios críticos. La segunda, separar invitados e IoT y validar que no acceden a recursos internos. La tercera, aislar servidores, copias y administración con reglas explícitas. La cuarta, revisar logs, documentar excepciones y definir un procedimiento para altas futuras. La clave es convertir la segmentación en una práctica mantenible, no en una foto puntual.