En 2020 casi todas las empresas resolvieron el teletrabajo de la misma manera: una VPN en el cortafuegos, un usuario y una contraseña por colaborador, y todo el mundo pasó a “estar en la oficina” desde casa. Funcionó —y exactamente ese es el problema—. Una VPN clásica conecta el ordenador remoto a la red de la empresa como si estuviera físicamente allí: con acceso a servidores, carpetas compartidas, impresoras y a todo lo que la red tiene. Quien entra con credenciales robadas entra con el mismo acceso. Este artículo explica por qué la VPN, por sí sola, dejó de ser una respuesta suficiente y qué la sustituye o complementa en una PYME.
Lo que una VPN hace bien — y lo que no hace
Una VPN hace una cosa bien: cifra la conexión entre el ordenador remoto y la empresa, para que nadie en la cafetería o en el hotel consiga leer el tráfico. Lo que no hace es verificar quién está al otro lado además de la contraseña, qué estado tiene el ordenador que se conecta (¿actualizado? ¿con antivirus? ¿personal o de la empresa?) ni limitar lo que ese ordenador puede alcanzar después de conectado. Es una puerta con una buena cerradura que da a toda la casa.
Los tres riesgos reales
- Credenciales robadasla mayoría de los ataques a empresas portuguesas comienza con un correo electrónico de phishing que lleva a alguien a escribir la contraseña en un sitio web falso. Si esa contraseña también abre la VPN, el atacante está dentro de la red sin forzar nada.
- Computador personal comprometidoun portátil de casa, compartido con la familia, sin actualizaciones, se conecta a la VPN y trae consigo lo que haya cogido. La red de la empresa lo trata como un puesto interno.
- Movimiento lateral: una vez dentro, el atacante busca el servidor de archivos, el software de gestión y las copias de seguridad. En una red plana llega a todo en minutos. Así es como la mayoría de los casos de ransomware en pymes que conocemos comenzó.
Primer paso, hoy: MFA en la VPN
Si tu VPN solo acepta usuario y contraseña, la medida más urgente es añadir un segundo factor — un código en la aplicación del teléfono móvil o una notificación para aprobar. Casi todos los cortafuegos empresariales soportan esto sin coste adicional de licencia, o con una integración con Microsoft 365. Con MFA, una contraseña robada deja de ser suficiente. Explicamos cómo se implementa en el artículo sobre autenticación multifactor en la empresa.
Segundo paso: verificar el equipo, no solo la persona
El acceso remoto debe depender también del ordenador. La regla más simple: solo equipos de la empresa, gestionados y con protección activa, acceden a la red interna. Los equipos personales acceden al correo electrónico y a los archivos en Microsoft 365 a través del navegador, con acceso condicional, sin entrar en la red. Esto separa dos mundos que la VPN clásica mezcla: trabajar con los datos de la empresa y estar dentro de la infraestructura de la empresa.
Tercer paso: acceso por aplicación en vez de acceso a la red
La mayor parte de las personas en teletrabajo necesita tres o cuatro cosas: correo electrónico, archivos, el software de gestión y tal vez un entorno de escritorio remoto. Ninguna de ellas exige estar “en la red”. El correo electrónico y los archivos ya están en Microsoft 365. El software de gestión puede ser publicado a través de un portal o de un entorno de escritorio remoto con autenticación fuerte. Cada acceso es a una aplicación específica, registrado, y no abre camino para el resto. La VPN queda reservada para quien realmente necesita administrar servidores o equipos —normalmente el equipo de informática— y aun así esta con MFA y a partir de equipos gestionados.
Cuarto paso: segmentar lo que la VPN alcanza
Mientras la VPN exista, el segmento donde aterrizan los usuarios remotos no debe tener acceso directo a servidores de copias de seguridad, cámaras, equipos industriales o a la red de gestión. Esto se hace con VLANs y reglas en el cortafuegos — el mismo trabajo que describimos en VLANs y segmentación de red e no artigo sobre Cero Confianza para PYME. Si un ordenador portátil remoto es comprometido, el daño queda contenido.
¿Y los proveedores externos?
El proveedor del software de gestión, el técnico del TPA, el instalador de las cámaras: todos piden “un acceso VPN” y casi nunca lo devuelven. Cada uno debe tener una cuenta propia, con MFA, con acceso únicamente al servidor o equipo que soporta, activa solo durante la intervención y registrada. En las auditorías que hacemos, los accesos de proveedores olvidados son uno de los hallazgos más frecuentes.
Cómo queda en la práctica en una PYME
Un escenario típico con 40 puestos y 10 personas en teletrabajo regular: Microsoft 365 con MFA y acceso condicional para correo electrónico y archivos; software de gestión publicado en un entorno de escritorio remoto con MFA; VPN mantenida solo para dos administradores, con MFA, aterrizando en una VLAN de gestión; accesos de proveedores creados por intervención. Costo en licencias: poco o nada por encima de lo que la empresa ya paga. Lo que cambia es la arquitectura y quién la gestiona. En los contratos IT Unlimited este dibujo forma parte del servicio y el cortafuegos es administrada y vigilada por nosotros, con las alertas gestionadas por personas.
Preguntas frecuentes
¿Debo desconectar la VPN?
No de inmediato. Primero agregue MFA y limite lo que alcanza. Después vaya moviendo los accesos hacia aplicaciones publicadas. Al final, la VPN queda para quien administra sistemas — pocas personas, bien identificadas.
¿Es seguro el acceso remoto al entorno de trabajo?
Sí, si estás detrás de una autenticación fuerte y no expuesto directamente a Internet. Un servidor de escritorio remoto con el puerto abierto al mundo y solo con contraseña es uno de los blancos preferidos de ataques automatizados.
¿Puedo permitir equipos personales?
Para correo electrónico y archivos en el navegador, con acceso condicional y sin transferencia local, sí. Para entrar en la red interna, no. Es la separación entre trabajar con los datos y estar dentro de la infraestructura.
¿Esto exige comprar una solución nueva?
En la mayoría de las pymes, no. Exige configurar mejor el cortafuegos y el Microsoft 365 que ya existen y, sobre todo, alguien que gestione los accesos de forma continua.
¿Desea revisar el acceso remoto de su empresa?
Analizamos quién entra, con qué credenciales y a qué llega, y entregamos un plano por escrito para cerrar las puertas que sobran. Vea las nuestras cortafuegos gestionados para empresas o llame al 211 459 950.
