Si las cámaras, la impresora, el Wi-Fi de visitas y el servidor de gestión están en la misma red, un equipo comprometido llega a todos. Qué es segmentar, con un ejemplo de tres redes.

En la mayoría de las oficinas todo está enchufado al mismo switch: las PCs, el servidor, las cámaras de seguridad, la impresora, el portón, la Smart TV de la sala de reuniones y el Wi-Fi que usan las visitas. Funciona, porque todo se ve con todo. Y ese es exactamente el problema.

Qué pasa cuando todo se ve con todo

Las cámaras, los portones y las TV son computadoras chicas que casi nunca se actualizan y que suelen tener la clave de fábrica. Son lo más fácil de tomar de toda la red. Si alguien entra por una cámara y la cámara está en la misma red que el servidor de gestión, ya llegó al servidor. Lo mismo con el celular de una visita conectada al Wi-Fi, o con la notebook de un proveedor que vino a hacer un trabajo.

Segmentar es poner paredes adentro de la red: cada grupo de equipos en su propia zona, y el firewall decidiendo qué puede pasar de una zona a otra.

Un ejemplo con tres redes

Para una empresa típica de 20 a 80 puestos alcanza con empezar por tres:

Red	Qué hay	Qué puede hacer
Trabajo	PCs, notebooks de empleados, impresoras, servidor	Llega al servidor y a las impresoras. Sale a internet según reglas.
Dispositivos	Cámaras, portones, TV, sensores, aire acondicionado	No llegan a la red de trabajo. Sólo hablan con lo que necesitan (por ejemplo, el grabador de cámaras). Salen a internet sólo si hace falta.
Visitas	Celulares y notebooks de gente de afuera	Salen a internet y nada más. No ven ningún equipo de la empresa.

Con el tiempo se agregan otras: una para los servidores separada de las PCs, una para administración, una para el home office. Pero con estas tres, un equipo comprometido deja de tener el camino libre.

Qué cambia en el firewall

El firewall pasa a tener una regla por cada cruce entre zonas. "Trabajo puede llegar al grabador de cámaras para ver las imágenes. Las cámaras no pueden iniciar nada hacia Trabajo." Esas reglas son pocas, se entienden y se revisan. Y cuando algo intenta cruzar donde no debe, queda registrado: es la primera señal de que hay un problema.

Qué necesitás

Un firewall que maneje varias redes, switches que soporten separarlas (la mayoría de los de empresa lo hacen) y un relevamiento de qué hay conectado. Muchas veces el relevamiento es la parte más reveladora: aparecen equipos que nadie sabía que estaban.

Si en tu oficina hay cámaras, visitas y un servidor, y todo va al mismo switch, este es un buen tema para la próxima conversación.