Seguridad de la Información y Firewall: cobertura en Araucária - PR

Segmentar es cuestión de reglas, no de VLANs

Crear la VLAN es la parte fácil y la que da sensación de progreso. El trabajo real está en la política de comunicación entre ellas — y esa es la etapa que suele postergarse, porque exige saber qué necesita la operación y porque equivocarse en ella tumba cosas.

El criterio correcto invierte la lógica habitual: se niega todo por defecto y se libera lo que la operación exige, ítem por ítem. Lo contrario — liberar todo e ir bloqueando lo que uno recuerde — nunca converge, porque nadie logra enumerar todas las cosas que no deberían ocurrir.

En la práctica, eso produce un conjunto pequeño y explicable de reglas: producción habla con el servidor de aplicaciones en los puertos del sistema; los colectores hablan con el servicio específico; el visitante habla con internet y con nada más; la administración de equipos es alcanzable solo desde el segmento de gestión. Si la lista no cabe en una página, probablemente todavía está liberando de más.

Cómo descubrir qué necesita la operación

La objeción legítima es: ¿cómo saber qué liberar sin romper la operación? La respuesta es medir antes de aplicar.

Se pone el entorno en observación por un período, registrando quién conversa con quién, y de ahí sale la lista real de comunicaciones — que normalmente es bastante menor de lo que se temía y contiene dos o tres sorpresas útiles. Después, la política se aplica en modo permisivo con registro, para capturar lo que quedó afuera, y solo entonces pasa a bloquear.

Es más lento que aplicar de una vez, y es lo que evita el lunes en que media planta no funciona.

Dónde la segmentación importa más en esta plaza

Dos segmentos concentran el valor.

El de los equipos que no se actualizan: controlador, lector fijo, báscula, sistema de operación de línea, activo cuya garantía se pierde si alguien lo toca. No se protege por actualización, se protege por aislamiento — comunicación permitida solo con lo que necesita alcanzar, sin navegación, con acceso de proveedor restringido, temporal y registrado.

El de gestión: la interfaz de administración del firewall, del switch, de la virtualización y del storage no debería ser alcanzable desde la red en la que se lee el correo. Con la gestión aislada, una estación comprometida expone una estación; sin eso, expone el panel de control de todo.

Prestadores dentro de la planta

En un entorno industrial con muchos proveedores circulando, la segmentación es también el mecanismo que hace administrable su presencia. Un prestador que necesita acceder a una máquina recibe un camino hacia esa máquina, no hacia la red.

Y vale la pena prever un segmento de trabajo para equipos de terceros — el notebook de mantenimiento, el dispositivo que vino con la máquina, la red provisional de una parada. Sin ese lugar definido, esos equipos terminan conectados en el punto más cercano, que casi siempre es un segmento que debería ser restringido.

Enlace único y el segundo camino

Otro riesgo registrado para la ciudad es la ausencia de redundancia de enlace. La decisión sobre un segundo camino suele tomarse por el precio mensual y debería considerar otro número: cuánto tarda el restablecimiento cuando el problema está en la infraestructura externa.

El camino secundario no necesita replicar al principal — sostiene lo esencial: sistema de producción, despacho, emisión de documentos fiscales, telefonía. Y vale más si es de tecnología distinta, porque falla por otro motivo; dos enlaces sobre la misma infraestructura caen juntos.

Con dos caminos, el SD-WAN elige continuamente midiendo latencia, pérdida y variación, y conmuta cuando uno se degrada — cubriendo la degradación parcial, que es el escenario más común y el más difícil de diagnosticar sin medición.

Sectores que más demandan en Araucária

Industria, logística, servicios y comercio B2B componen el perfil de la ciudad. La industria concentra el equipo que no se actualiza y el acceso de prestadores. La logística depende del enlace para despacho e integración. Servicios y comercio B2B pesan en pedidos y facturación, con integración hacia clientes.

Cómo conducimos la implantación

Comienza por el relevamiento: enlaces, equipo de borde, VLANs existentes y el enrutamiento real entre ellas, reglas heredadas, accesos remotos activos y el tráfico observado. Ese relevamiento suele ser la parte más reveladora, porque muestra la distancia entre el diagrama y el comportamiento.

Después viene el diseño — segmentos, política que niega por defecto, aislamiento de equipos y de gestión, segmento de trabajo para terceros, acceso remoto autenticado.

La aplicación sigue el camino de medir, aplicar en modo permisivo con registro y solo entonces bloquear. La activación del borde se agenda en ventana, porque interrumpe la conexión por algunos minutos. Después, las reglas se ajustan con el tráfico real y el comportamiento de los enlaces pasa a ser acompañado — sin eso, nadie nota cuando el camino secundario deja de funcionar.