Una empresa puede tener un buen firewall perimetral y seguir estando lejos de cumplir las exigencias de ciberseguridad que plantea NIS2. La directiva europea obliga a las entidades afectadas a gestionar el riesgo con medidas técnicas, operativas y organizativas que incluyen continuidad de negocio, control de accesos, gestión de vulnerabilidades y seguridad de las comunicaciones. La segmentación de red encaja en ese modelo como una medida especialmente útil para impedir que una intrusión inicial termine extendiéndose por toda la organización.

Las claves de NIS2 y la segmentación de red en 30 segundos

• NIS2 exige a las entidades afectadas medidas de gestión del riesgo proporcionadas a sus circunstancias y exposición.
• La directiva no establece literalmente que toda empresa deba implantar una arquitectura concreta de segmentación.
• Sí exige proteger redes y sistemas, gestionar incidentes, vulnerabilidades, accesos y continuidad de negocio.
• Separar usuarios, servidores, invitados, administración y sistemas críticos limita el movimiento lateral de un atacante.
• Firewall, VPN y segmentación deben formar parte de una arquitectura de seguridad más amplia.

La diferencia es importante. Presentar la segmentación como una obligación textual y universal de NIS2 sería simplificar demasiado la norma. La Directiva (UE) 2022/2555 establece objetivos y categorías de medidas de seguridad, mientras que su aplicación concreta depende del riesgo, el tamaño, los costes, la exposición y la importancia de los sistemas de cada entidad.

Pero también resulta difícil justificar una red completamente plana cuando una organización gestiona sistemas críticos, proveedores externos, dispositivos de empleados, servicios cloud y accesos remotos.

NIS2 no dice qué firewall comprar, pero sí qué riesgos hay que controlar

El artículo 21 de NIS2 constituye uno de los puntos principales para entender qué cambia.

Las entidades esenciales e importantes afectadas deben adoptar medidas técnicas, operativas y organizativas apropiadas y proporcionadas para gestionar los riesgos que amenazan la seguridad de sus redes y sistemas de información.

La norma enumera diferentes ámbitos que deben cubrirse.

Entre ellos aparecen el análisis de riesgos y las políticas de seguridad, gestión de incidentes, continuidad de negocio, copias de seguridad y recuperación ante desastres, seguridad de la cadena de suministro, adquisición y mantenimiento seguro de sistemas, gestión de vulnerabilidades, evaluación de la eficacia de las medidas adoptadas, higiene básica de ciberseguridad y formación.

También contempla políticas sobre criptografía, control de acceso, gestión de activos y, cuando proceda, autenticación multifactor o soluciones de autenticación continua.

Por tanto, NIS2 no puede reducirse a instalar un firewall o comprar un producto de seguridad determinado.

La organización tiene que demostrar que conoce sus riesgos y ha establecido controles razonables para reducir tanto la probabilidad de un incidente como sus consecuencias.

Aquí aparece la segmentación.

Si un ordenador de un empleado resulta comprometido mediante phishing, el incidente será muy diferente dependiendo de si ese equipo puede comunicarse libremente con servidores, copias de seguridad, interfaces de administración y bases de datos o si existen barreras entre esas zonas.

La primera situación proporciona al atacante muchas más oportunidades para desplazarse lateralmente.

Una red plana puede convertir un equipo comprometido en un problema mayor

Durante años muchas redes empresariales siguieron una estructura relativamente sencilla: Internet quedaba fuera y los sistemas corporativos permanecían dentro.

El firewall protegía la frontera.

Ese modelo resulta cada vez menos representativo de cómo trabajan las organizaciones. Los empleados utilizan portátiles fuera de la oficina, aplicaciones SaaS, almacenamiento cloud, conexiones VPN y dispositivos móviles. Al mismo tiempo, proveedores y técnicos externos pueden necesitar acceso a determinados sistemas.

La frontera entre «dentro» y «fuera» es mucho menos clara.

La segmentación busca dividir la infraestructura en zonas y establecer qué comunicaciones están permitidas entre ellas.

Una empresa podría separar, por ejemplo, los equipos de los empleados de los servidores de producción. El WiFi de invitados debería permanecer aislado de los recursos corporativos. Los sistemas de administración pueden situarse en otra zona y las copias de seguridad recibir restricciones específicas.

Los entornos industriales, dispositivos de Internet de las Cosas (IoT) o sistemas especialmente sensibles pueden necesitar todavía más separación.

Las VLAN pueden formar parte de esta arquitectura, pero crear varias VLAN no equivale por sí mismo a disponer de una segmentación de seguridad eficaz. Es necesario controlar el tráfico que atraviesa los segmentos, definir políticas, revisar las excepciones y comprobar periódicamente que las reglas siguen respondiendo a las necesidades reales.

Este último punto suele convertirse en uno de los mayores problemas.

Una red puede estar correctamente segmentada cuando se diseña y terminar prácticamente plana años después. Cada nueva aplicación, servidor o proveedor introduce excepciones. Si esas reglas se acumulan sin revisión, las fronteras terminan perdiendo eficacia.

Firewall, VPN y WiFi también forman parte del problema

El firewall sigue siendo necesario. Lo que cambia es la expectativa sobre lo que puede resolver por sí solo.

Un firewall situado entre Internet y la organización controla una frontera determinada. No evita necesariamente que un ordenador ya comprometido ataque otro sistema situado en su misma zona de confianza.

Por eso los firewalls también pueden utilizarse internamente para controlar comunicaciones entre diferentes segmentos.

Las capacidades necesarias dependerán de cada organización. En algunos escenarios bastará con reglas de red correctamente mantenidas. En otros pueden utilizarse firewalls de nueva generación capaces de incorporar información sobre aplicaciones, usuarios y contenido del tráfico.

El acceso remoto necesita una evaluación similar.

Una red privada virtual (VPN) cifra la comunicación entre un dispositivo remoto y la infraestructura corporativa, pero una VPN no convierte automáticamente ese dispositivo en confiable. Si el portátil está comprometido, concederle acceso indiscriminado a toda la red puede proporcionar al atacante un canal cifrado hacia los sistemas internos.

Las organizaciones pueden limitar qué recursos están disponibles dependiendo del usuario, dispositivo o función.

El WiFi plantea otro escenario habitual. Las redes para empleados y visitantes deberían mantenerse separadas cuando estas últimas no necesitan acceder a recursos internos.

Los mecanismos de autenticación y cifrado también deben mantenerse actualizados. WPA3 aporta mejoras respecto a generaciones anteriores, aunque utilizar un estándar moderno tampoco sustituye una arquitectura adecuada de separación y control.

NIS2 obliga además a pensar qué ocurre después de un incidente.

La continuidad de negocio, recuperación ante desastres, gestión de crisis y copias de seguridad aparecen expresamente entre las áreas contempladas por la directiva.

Esto obliga a pasar de una pregunta, «¿cómo se evita que entren?», a otra igualmente necesaria: «¿qué puede ocurrir si consiguen entrar?»

La segmentación ayuda precisamente en esa segunda parte. Puede reducir el número de sistemas alcanzables desde un equipo comprometido y dificultar que un atacante llegue a infraestructura de administración o copias de seguridad.

No elimina el riesgo y tampoco sustituye controles de identidad, monitorización, gestión de vulnerabilidades o copias aisladas.

La seguridad depende además de que esas medidas se prueben.

Un plan de recuperación que nunca se ha ejecutado puede fallar cuando sea necesario. Una copia de seguridad que nadie ha restaurado no garantiza que los datos sean recuperables. Una segmentación que únicamente existe en un diagrama tampoco demuestra que el tráfico esté realmente restringido.

Para las empresas afectadas por NIS2, ese es uno de los cambios relevantes: la ciberseguridad deja de poder tratarse únicamente como una barrera perimetral y pasa a formar parte de la gestión continua del riesgo empresarial.

Preguntas frecuentes

¿NIS2 obliga expresamente a segmentar la red?

NIS2 exige medidas técnicas, operativas y organizativas apropiadas y proporcionadas para gestionar los riesgos de seguridad. No establece una arquitectura de segmentación idéntica para todas las empresas, por lo que las medidas concretas deben justificarse según los riesgos de cada organización.

¿Tener un firewall es suficiente para cumplir NIS2?

No. La directiva contempla gestión de riesgos e incidentes, continuidad de negocio, cadena de suministro, vulnerabilidades, control de accesos, formación, criptografía y otras medidas además de la protección de red.

¿Para qué sirve segmentar una red empresarial?

Permite separar sistemas con diferentes niveles de confianza y limitar las comunicaciones entre ellos. Si un equipo resulta comprometido, una segmentación correctamente aplicada puede dificultar el movimiento lateral hacia servidores, sistemas administrativos o copias de seguridad.

¿Una VPN garantiza un acceso remoto seguro?

Una VPN protege la comunicación, pero no garantiza que el dispositivo conectado sea seguro ni que deba acceder a toda la infraestructura. Conviene combinarla con autenticación adecuada, control de accesos, actualización de dispositivos y restricciones sobre los recursos disponibles.