Uno de los errores de ciberseguridad más extendidos en pequeñas y medianas empresas es operar con una red plana: un único router donde conviven en el mismo segmento IP las computadoras de contabilidad, las terminales de cobro, los teléfonos del personal, las cámaras de seguridad IP, los sensores IoT y la red Wi-Fi que se le comparte a los clientes.
El peligro de las redes planas: Movimiento lateral
En una red plana, si un atacante compromete un dispositivo vulnerable de bajo costo —como una cámara de seguridad económica con firmware desactualizado o un sensor inteligente con credenciales por defecto— tiene acceso directo para escanear y atacar el servidor central de la empresa o las computadoras de administración. Este fenómeno se conoce como movimiento lateral.
El informe de ciberamenazas industriales de 2025 reveló que más del 65% de los incidentes de ransomware en corporaciones comenzaron comprometiendo un dispositivo secundario o periférico conectado a la red principal sin segmentación.
Arquitectura de segmentación con VLANs (IEEE 802.1Q)
Una VLAN (Virtual Local Area Network) permite dividir un switch físico en múltiples redes lógicas completamente aisladas entre sí a nivel de enlace de datos (Capa 2). Para una empresa promedio, la estructura mínima recomendada comprende 4 VLANs:
- VLAN 10 — Administración y Servidores (Subred 192.168.10.0/24): Servidores locales, almacenamiento NAS, bases de datos y equipos de gerencia.
- VLAN 20 — Estaciones de Trabajo (Subred 192.168.20.0/24): Laptops y ordenadores de uso diario del personal administrativo y operativo.
- VLAN 30 — Dispositivos IoT y CCTV (Subred 192.168.30.0/24): Cámaras de videovigilancia, sensores, controladores de acceso, impresoras de red y termostatos.
- VLAN 40 — Invitados / Visitantes (Subred 192.168.40.0/24): Acceso inalámbrico para clientes y proveedores con aislamiento de clientes (Client Isolation) activado.
WPA2-Personal vs WPA3-Enterprise (802.1X)
La seguridad del protocolo inalámbrico determina qué tan vulnerable es la clave de acceso a ataques de fuerza bruta:
- WPA2-Personal (Pre-Shared Key): Todos los usuarios y dispositivos comparten la misma contraseña. Si un empleado renuncia o un hacker captura el handshake de cuatro vías (4-way handshake), puede descifrar la clave mediante tablas rainbow o ataques de diccionario offline.
- WPA3-Enterprise (IEEE 802.1X): Utiliza autenticación individual basada en servidor RADIUS (como FreeRADIUS o Microsoft Network Policy Server). Cada usuario se identifica con sus propias credenciales de dominio o certificados digitales personales. Incluye cifrado de 192 bits (Suite B) y confidencialidad directa perfecta (PFS).
Políticas de filtrado entre VLANs (Capa 3)
Separar las redes en VLANs no sirve de nada si el router permite que cualquier paquete viaje libremente entre ellas. Es imprescindible configurar un Firewall Inter-VLAN con las siguientes reglas estrictas:
| Origen | Destino | Acción | Justificación |
|---|---|---|---|
| VLAN Invitados (40) | Cualquier VLAN Interna (10, 20, 30) | DROP / REJECT | Los visitantes jamás deben ver recursos internos. Solo tienen salida a Internet (puertos 80, 443). |
| VLAN IoT (30) | VLAN Servidores / Admin (10, 20) | DROP | Si una cámara o sensor es hackeado, el atacante queda atrapado en esa subred aislada. |
| VLAN Admin (10) | VLAN IoT (30) | ALLOW | Los administradores sí pueden acceder a las cámaras o sensores para configurarlos. |
| VLAN IoT (30) | Broker MQTT específico (IP puntual) | ALLOW (Puerto 8883) | Los sensores solo pueden comunicarse con el broker autorizado usando TLS. |
Buenas prácticas específicas para hardware IoT
- Aislamiento de clientes en Wi-Fi (Client Isolation): Evita que dos dispositivos en la misma red Wi-Fi se vean o comuniquen entre sí directamente.
- Desactivación de UPnP (Universal Plug and Play): UPnP permite que dispositivos abran puertos automáticamente en el router hacia internet, lo que ha sido vector de entrada para botnets como Mirai.
- Filtrado por dirección MAC estricto y DHCP estático: Asignar IPs fijas a dispositivos conocidos y alertar si una dirección MAC desconocida se conecta a la VLAN IoT.
- DNS seguro y filtrado de contenido: Configurar DNS con filtrado de malware (como Cloudflare 1.1.1.2 o Quad9) para bloquear intentos de comunicación de dispositivos zombis con servidores de comando y control (C2).
Checklist de auditoría rápida para tu empresa
- ¿Los dispositivos IoT están en una red Wi-Fi con SSID y contraseña distintos al de las computadoras?
- ¿La red de invitados tiene bloqueado el acceso a las direcciones IP 192.168.x.x internas?
- ¿Las cámaras de seguridad tienen cambiada la contraseña por defecto de fábrica?
- ¿Tu router principal tiene el firmware actualizado a la versión más reciente?