Seguridad de la Información y Firewall en São Leopoldo - RS

Entornos diferentes, políticas diferentes

La salida es no tener una política, sino cuatro — una por naturaleza de entorno, con reglas propias y sin camino entre ellas salvo lo explícitamente necesario.

El administrativo es el más restrictivo: sistema de gestión, dato financiero, dato personal, con acceso por perfil y registro. El de desarrollo e investigación es permisivo por dentro y contenido por fuera — libertad para instalar, probar y levantar servicios, sin alcance al administrativo. El de laboratorio alberga equipos que rara vez se actualizan y dependen del aislamiento. Y el de visitantes, alumnos o dispositivos personales queda separado de todo, con acceso a internet y nada más.

Definidas así, las cuatro conviven sin competir. La investigación deja de tener motivos para esquivar la política, porque la política no la estorba — y la administración deja de depender del buen comportamiento de un entorno experimental.

El dispositivo personal es un caso previsto, no una excepción

En un entorno con rotación alta y cultura técnica, la gente trae equipo propio. Tratar eso como una violación a combatir no funciona; tratarlo como caso previsto, sí.

El diseño que lo resuelve es un segmento para dispositivos personales con acceso a internet y a los servicios publicados que la persona necesita usar, sin alcance a la red interna. Así la necesidad legítima se atiende por un camino controlado, en lugar de por un improviso que nadie ve.

Ciclo de vida del acceso: el mismo problema de siempre

El otro lado de la rotación alta es el acceso que sobra. El pasante que se fue, el becario cuyo proyecto terminó, el contratado por plazo, el investigador visitante — cada uno recibió credenciales y, en la mayoría de los entornos, ninguno las perdió.

La respuesta es credencial individual por persona, permisos asignados por rol en lugar de copiados de alguien parecido, segundo factor donde sea posible, y plazo de validez en los vínculos con fin conocido. El acceso que expira y se renueva si hace falta invierte el patrón de error.

Y vale la pena la revisión periódica: una verificación recurrente que responde si todavía existe una credencial activa de quien no debería tenerla. En cualquier relevamiento inicial, esa lista existe y sorprende.

El servicio publicado exige un cuidado propio

Un entorno de tecnología e investigación publica cosas: un sistema accesible desde fuera, un portal, un ambiente de pruebas que alguien dejó disponible para que un socio lo viera.

Cada publicación es una puerta, y el riesgo no está en publicar — está en publicar y olvidar. El ambiente de pruebas expuesto tiende a tener contraseña simple, versión desactualizada y datos reales copiados del sistema de producción "solo para probar".

El tratamiento es inventariar lo que está publicado, exigir autenticación en todo lo que no es intencionalmente público, y revisar periódicamente si cada publicación todavía tiene propósito. También aquí vale el plazo de validez.

SD-WAN y unidades distribuidas

El perfil registrado para la ciudad incluye unidades distribuidas y redes mixtas. Cuando el sistema y el servicio corren en una dirección o en la nube y se usan desde otra, el enlace pasa a ser parte de la aplicación.

El camino secundario no necesita replicar al principal — sostiene lo esencial: sistema de gestión, autenticación, telefonía y lo que la operación no puede perder. Y vale más si es de una tecnología distinta, porque falla por otro motivo.

Con dos caminos, el SD-WAN elige continuamente midiendo latencia, pérdida y variación, y cambia cuando uno se degrada. La priorización importa en un entorno con investigación: una transferencia grande de datos experimentales no debe competir en igualdad con la autenticación y la telefonía — ella tolera esperas de minutos, ellas no.

Los sectores que más demandan en São Leopoldo

Servicios, industria, tecnología y educación componen el perfil de la ciudad. Tecnología y educación concentran la separación de entornos descrita más arriba y el ciclo de vida del acceso. La industria trae equipos que no se actualizan, tratados por aislamiento. Los servicios pesan en confidencialidad y registro de accesos.

Cómo se conduce la implantación

Comienza por el relevamiento: enlaces, equipo de borde, reglas heredadas, accesos remotos activos, servicios publicados, credenciales existentes y el tráfico real. El inventario de accesos y de publicaciones es la parte más reveladora.

Después viene el diseño — los segmentos por naturaleza de entorno, la política por segmento, la estructura de credenciales individuales por rol con plazo, y la clasificación del tráfico crítico.

La activación se agenda, porque una intervención en el borde interrumpe la conexión por algunos minutos. En la secuencia, las reglas se ajustan con el tráfico observado y pasan a existir dos rutinas recurrentes: la revisión de accesos y la revisión de lo que está publicado.