Según el informe State of Ransomware 2026, de Sophos —una encuesta global a 2.158 responsables de TI y seguridad en 17 países—, una aplicación o sistema expuesto en internet fue el punto de entrada más común en los ataques de secuestro de datos, presente en el 38% de los casos. El equipo de un empleado representó el 30%, y el propio firewall —el equipo que filtra lo que entra y sale de la red— el 21%. Un dispositivo de internet de las cosas, como una cámara, apareció en el 3%.
Esos números solo describen la puerta usada para entrar. No dicen nada sobre hasta dónde llegó el atacante después, y esa segunda pregunta es la que decide el tamaño del daño. En una red donde la computadora de finanzas, la cámara de seguridad, la impresora, el wifi de visitas, la máquina de producción y la televisión de la recepción comparten el mismo espacio, la puerta usada para entrar casi no importa: una vez dentro, el camino hacia los datos que valen dinero queda abierto.
Por eso la separación interna de la red aparece en casi toda recomendación seria de seguridad, desde la CISA, la agencia estadounidense de infraestructura crítica, hasta el CERT.br, el equipo brasileño de respuesta a incidentes: no como una reforma completa, sino como la diferencia entre un incidente pequeño y uno que detiene a toda la empresa.
Una red que creció sin diseño
En la mayoría de las empresas, nadie decidió que todo estaría en la misma red. Ocurrió por suma: primero llegó el servidor de archivos, después las computadoras, después la impresora en red, después las cámaras de seguridad, después la televisión de la recepción porque "solo hay que conectarla al wifi", después la máquina nueva de producción con un panel que también necesita internet. Cada equipo entró por el camino más fácil, y nadie se detuvo a preguntar si necesitaba ver a los demás.
El técnico de la empresa de cámaras pide un puerto abierto en el equipo que filtra el tráfico, para acceder al sistema de forma remota. Alguien lo abre, porque es más rápido que discutir el pedido. La televisión de la recepción entra en el wifi principal, el mismo que usa la notebook de finanzas, porque configurar una red separada daba más trabajo ese día. Meses después, ya nadie recuerda quién pidió qué, y mucho menos por qué.
El resultado es una red donde cualquier punto débil —el ejemplo más común es una contraseña reutilizada, pero puede ser un equipo desactualizado o una falla sin corregir— se convierte en un camino hacia todo lo demás. El CERT.br describe el mecanismo en términos directos, al recomendar dividir las redes: "dividir la red en segmentos más pequeños y segregados limita el movimiento lateral y la propagación de programas maliciosos". Movimiento lateral es el nombre técnico de exactamente eso: el atacante entra por un punto y camina por la red buscando algo que valga la pena: un servidor de archivos, un sistema financiero, una copia de seguridad.
Dividir la red en segmentos más pequeños y segregados limita el movimiento lateral y la propagación de programas maliciosos.
Vale aclarar que la mayoría de los ataques no empieza por la cámara ni por la televisión: los números de Sophos muestran que sistema expuesto, equipo de empleado y firewall juntos representan casi el 90% de los casos. Pero eso no vuelve inofensivo al equipo periférico: suele ser el destino más fácil una vez que el atacante ya está dentro, justamente porque nadie trató ese rincón de la red como parte de la seguridad de la empresa.
Por qué conectar todo de la misma forma no aguanta
La forma común de organizar la red es no organizarla: todo en el mismo cable, todo en el mismo wifi, con toda la confianza puesta en un único equipo en la entrada, el firewall perimetral. Mientras aguanta, todo parece estar bien. En el momento en que algo lo atraviesa —y los números muestran que algo lo atraviesa, con frecuencia—, no existe una segunda barrera para frenar el avance.
Otra versión del mismo hábito es tratar cada pedido de acceso como un caso aislado, sin preguntarse qué necesita alcanzar realmente ese equipo. Una cámara de seguridad no necesita hablar con el sistema financiero. Una impresora no necesita ver el servidor de archivos de la dirección. Cuando nadie trazó esos límites, la respuesta por defecto a cualquier pedido es "dale, ábrelo", y la red se va pareciendo cada vez más a un salón único, sin paredes internas.
Lo que tiene que existir en la práctica
Separar la red internamente no significa rehacer toda la infraestructura. Significa dividir lo que ya existe en partes que no se ven entre sí por defecto, habilitando solo lo necesario.
Un mapa de quién necesita hablar con quién. Antes de tocar cualquier equipo, conviene listar qué necesita alcanzar realmente cada grupo de dispositivos: el sistema financiero no necesita ver la cámara, y la cámara no necesita ver el financiero.
Divisiones lógicas dentro de la misma red. Con el mismo cableado y el mismo equipo de red, es posible crear partes separadas: una para las computadoras administrativas, otra para cámaras y equipos de seguridad, otra para visitas, otra para producción. Esa división es lo que el área técnica llama segmentación de red.
Un canal único para pedir acceso. En vez de que el técnico del proveedor de cámaras negocie un puerto abierto directamente con quien esté cerca, todo pedido pasa por un responsable que registra qué se habilitó, para quién y por cuánto tiempo.
Control de acceso entre las partes. Un equipo decide qué puede pasar de una parte de la red a otra; sin eso, la división existe solo en el papel.
Revisión periódica de quién tiene acceso a qué. Los accesos habilitados para un proyecto puntual, o para un proveedor que ya no trabaja con la empresa, necesitan eliminarse, no quedar activos hasta que alguien lo note, meses después.
Un plan que ya sabe aislar una parte de la red. Cuando algo se sale de lo normal, la respuesta correcta es apagar solo el segmento afectado, y no toda la red ni una computadora elegida a ciegas.
Así es como trabaja Skills IT: mapeando quién necesita hablar con quién, dividiendo la red en partes que no se ven entre sí, y manteniendo listo un plan para aislar solo la parte afectada cuando algo se sale de lo normal.
La ganancia para quien decide
La ganancia de separar la red aparece justo el día en que algo sale mal. Sin separación, un problema en un solo equipo se convierte en motivo para apagar toda la operación hasta que alguien entienda hasta dónde llega el daño: la producción se detiene, finanzas se detiene, la atención se detiene, todo al mismo tiempo, porque nadie puede decir con seguridad qué quedó expuesto.
Con la red dividida, el mismo problema queda contenido en la parte donde empezó. La producción sigue funcionando mientras la parte afectada se aísla y se revisa. El tiempo de equipo detenido baja, porque no hace falta investigar toda la red, solo el segmento que tuvo el incidente. Y la decisión de apagar o mantener algo encendido deja de ser una apuesta bajo presión, porque el mapa de quién se conecta con quién ya existía antes de que ocurriera el problema.
Ese tipo de ganancia no aparece en la factura de TI del mes. Aparece el día en que la empresa no pierde una semana de facturación por culpa de una cámara o una impresora que nadie recordaba que estaba en la red.
Preguntas para llevar a la próxima reunión
- ¿Existe un mapa de quién necesita hablar con quién en la red? Si la respuesta es "no sé", la red probablemente creció por suma, no por diseño.
- ¿La cámara de seguridad y la computadora de finanzas están en la misma red? Si lo están, un problema en una puede llegar a la otra sin ninguna barrera en el medio.
- ¿Quién aprueba un pedido de puerto abierto para un proveedor? Si la respuesta es "quien esté cerca", no hay control: hay suerte.
- ¿Alguien revisa cada tanto los accesos habilitados para proveedores anteriores? Sin esa revisión, cada proyecto cerrado deja una puerta abierta detrás.
- Si hoy se violara un equipo cualquiera, ¿se lo podría aislar sin apagar todo? Si la respuesta es no, el próximo incidente pequeño va a costar como uno grande.
