Firewalls para Empresas: Qué Hacen, Qué No Hacen y Cómo Elegir

3 min de lectura DataRoad

Pocas piezas de equipo se compran con tanta convicción y se configuran con tan poca atención como un cortafuegos. Se instala, se enciende, y se asume que la empresa ha quedado protegida. En la práctica, la protección que da un cortafuegos depende casi por completo de cómo fue configurado y de quién lo mira después.

Qué hace un cortafuegos

Un cortafuegos controla el tráfico que entra y sale de la red de la empresa, decidiendo lo que pasa y lo que es bloqueado. En un cortafuegos empresarial moderno, ese control va bastante más allá de abrir y cerrar puertos:

• Segmentación de la red — separar la red de invitados de la red interna, o los equipos de producción de los puestos de oficina, para que un problema en un sitio no alcance al resto.
• Inspección de contenido — analizar el tráfico en busca de patrones conocidos de ataque.
• Filtrado de navegación — bloquear categorías de sitios y dominios recién creados, que son un vector clásico de fraude.
• Acceso remoto seguro — dar entrada controlada a quien está fuera, sin exponer los sistemas internos a internet.
• Registro — saber lo que ocurrió, lo que vale oro después de un incidente.

Lo que no hace

Esta parte es tan importante como la anterior, porque explica la mayor parte de las falsas sensaciones de seguridad.

Un cortafuegos no impide que alguien abra un archivo adjunto malicioso recibido por correo electrónico. No impide que una contraseña reutilizada sea usada por otra persona. No protege los portátiles cuando salen de la oficina. Y no recupera nada —si los datos son cifrados por ransomware, quien los trae de vuelta es la copia de seguridad, no el cortafuegos.

Porque el router del operador no llega

El equipo que el operador instala hace filtrado básico y cumple su papel en una casa. En una empresa, le faltan las cosas que interesan: segmentación, políticas por usuario o por grupo, registro utilizable, actualizaciones regulares y capacidad de acceso remoto controlado.

Todavía hay un detalle que pasa desapercibido: el router del operador está gestionado por el operador. Las reglas pueden cambiar en una actualización remota sin que nadie avise, lo cual es aceptable en casa y no lo es en una infraestructura empresarial.

Acceso remoto: donde todo se decide

Si hay un punto donde vale la pena concentrar la atención, es este. La forma en que las personas acceden a los sistemas desde fuera determina gran parte del riesgo real de la empresa.

Tres reglas que evitan la mayoría de los problemas:

• Ningún servicio interno expuesto directamente a internet. Entornos de trabajo remoto y paneles de administración accesibles desde cualquier lugar son blanco de intentos automatizados permanentes.
• Autenticación en dos pasos, siempre. Es la medida aislada con mejor relación entre esfuerzo y protección. Una contraseña robada deja de ser suficiente.
• Accesos que caducan. Los proveedores externos y excolaboradores mantienen accesos activos durante años con una frecuencia que sorprende a quienes realizan la revisión por primera vez.

Cómo dimensionar y elegir

Dos variables dominan el dimensionamiento: el número de usuarios simultáneos y la ancho de banda con inspección activa. Esta segunda es la que genera sorpresas: muchos equipos anuncian caudales que solo se alcanzan con las funciones de seguridad apagadas. Con la inspección encendida, el rendimiento real puede ser una fracción de eso.

También conviene confirmar el modelo de licenciamiento. Las funciones que dan valor a un cortafuegos moderno —filtrado, inspección, actualizaciones de suscripciones— dependen de suscripciones anuales. Cuando esas suscripciones expiran, el equipo sigue encendiéndose y deja de proteger, sin que nada visible suceda.

Errores frecuentes

• Instalar y nunca más tocar. Las reglas se acumulan, quedan obsoletas y nadie las retira. Una revisión anual de las reglas es higiene básica.
• Dejar expirar la suscripción. Es el error más silencioso de esta lista.
• No segmentar. Invitados, equipos de producción, cámaras de videovigilancia y puestos de trabajo en la misma red plana significan que un problema llega a todo.
• Nadie lee las alertas. Un equipo para registrar incidentes que nadie consulta sirve para reconstituir lo que salió mal — no para evitarlo.
• Reglas temporales que se quedan. Aquella puerta abierta para un proveedor un sábado suele seguir abierta dos años después.

Un cortafuegos es una capa, no una solución. Funciona bien cuando va acompañado de copias de seguridad probadas, actualizaciones al día, autenticación en dos pasos y personas que saben reconocer un intento de fraude.

DataRoad implementa y gestiona cortafuegos y seguridad informática para empresas, integradas en gestión de TI y con supervisión continua de las alertas.