La seguridad de red se explica casi siempre como una lista de productos, y por eso casi todas las redes que probamos están llenas de productos y se recorren enteras en una tarde. Aquí va cómo se organiza de verdad, qué cambia con la segmentación y el Zero Trust, y por dónde se rompe cuando alguien lo intenta en serio.
La seguridad de red es el conjunto de medidas que protegen una red y lo que circula por ella. El objetivo se resume en tres palabras que conviene no repetir de memoria porque cada una implica trabajo distinto: confidencialidad (que solo lo lea quien debe), integridad (que nadie lo altere por el camino) y disponibilidad (que siga estando cuando hace falta).
Lo que casi ninguna definición dice es que la seguridad de red nació con un supuesto debajo: que hay un dentro y un fuera, que fuera está el peligro y dentro está la gente de casa. Ese supuesto sostiene el cortafuegos, la VPN y buena parte de lo que se compra. Y es exactamente el supuesto que se cae en cuanto alguien entra, que es lo que pasa siempre.
Sirve pensarlo en tres bloques, porque cada uno responde a una pregunta y ninguno cubre la de los otros.
La pregunta útil no es cuál de las tres tienes, sino cuál es la más débil. Un atacante no te ataca por la media.
Esta es la parte que faltaba en la versión anterior de este artículo y es la que más cambia el resultado de un ataque real.
La segmentación de red consiste en dividir la red en zonas que no se hablan salvo donde hace falta. Suena obvio y es lo que menos veces nos encontramos: la red plana, en la que un portátil de administración llega al servidor de producción, a la impresora y a la máquina del taller, sigue siendo lo normal. En una red plana, comprometer un puesto cualquiera es comprometer el alcance de ese puesto, que es todo.
La microsegmentación lleva la idea hasta la carga de trabajo: no zonas grandes, sino permitir servidor a servidor solo lo que de verdad se usa. Cuesta más porque exige saber qué habla con qué, y ese inventario casi nunca existe. Pero es justo el trabajo que convierte una intrusión en un problema local.
Y Zero Trust no es un producto, aunque se venda como si lo fuera. Es tirar el supuesto del principio: dejar de conceder confianza por estar dentro de la red y pasar a comprobar identidad, estado del dispositivo y permiso en cada acceso. Su forma concreta de acceso remoto es ZTNA, que a diferencia de una VPN clásica no te mete en la red: te da acceso a una aplicación concreta y a nada más. Esa diferencia es la que decide qué pasa el día que un portátil de casa aparece con un ladrón de credenciales dentro.
La versión anterior de este artículo recomendaba cifrar la red inalámbrica con "WEP, WPA o WPA2". Eso estaba mal y lo corregimos aquí, en la misma página, en vez de borrarlo sin decir nada.
Cómo se prueba todo esto en la práctica lo contamos en cómo funciona un pentest wifi.
Cuando probamos una red desde dentro, con permiso, los hallazgos se repiten tanto que casi se pueden escribir antes de ir. No son vulnerabilidades exóticas: son decisiones que se tomaron una vez y nadie volvió a mirar.
La forma de comprobar esto no es auditar la configuración, es recorrerla. Un pentest de red interna arranca desde dentro y mide hasta dónde llega alguien que ya entró, que es la pregunta que la seguridad de red existe para responder. Está contado paso a paso en cómo funciona un pentest de red interna. Lo que expones hacia fuera se mira aparte, con un pentest de red externa, y el aire con un pentest wifi, porque el perímetro inalámbrico se sale del edificio y no lo controla ningún cortafuegos.
Tres cosas que se pueden mirar sin contratar nada y que ordenan el resto.
Primero, coge tu diagrama de red y pregunta si alguien lo ha comprobado contra la realidad este año. Si la respuesta es que no, el diagrama es una hipótesis. Segundo, elige el sistema que más te dolería perder y pregunta cuántos saltos hay desde el portátil de una persona cualquiera hasta él. Si nadie sabe la respuesta, es que no hay segmentación real, la haya en el papel o no. Y tercero, mira el wifi: qué protocolo, quién sabe la contraseña y cuándo se cambió por última vez.
Ninguna de las tres necesita presupuesto. Las tres dan un número, y con un número se puede decidir. Sin él, la seguridad de red se convierte en una lista de compras.
Última revisión: 3 de agosto de 2026. Publicada originalmente el 26 de noviembre de 2023.
Qué es el ciclo de vida de desarrollo seguro, qué se hace en cada fase, qué aportan SAST, DAST y SCA, y por dónde empezar si hoy no tenéis nada montado.
Qué riesgos trae la IA generativa en empresa, por qué la inyección de prompts no es el problema real y qué se prueba en un pentest de IA.
Qué es un pentest, qué fases tiene, qué recibes al final, cuánto dura y en qué se diferencia de un análisis de vulnerabilidades.
Si algo de aquí se parece a un problema que llevas encima, media hora de llamada para acotarlo con un pentester vale más que leer otro artículo.
Hablar con un pentesterElige la hora que mejor te venga. Nos cuentas qué necesitas y en qué punto estás, y te explicamos cómo trabajamos y de qué forma podemos ayudarte.
Al reservar, tratamos tus datos para gestionar la reunión y su seguimiento comercial. Más información en nuestra Política de Privacidad.
