Firewall: ¿qué necesita proteger realmente una pequeña empresa?

Muchas pequeñas empresas tienen un firewall (cortafuegos) y no lo saben. Está dentro del router que entregó el operador de telecomunicaciones, en el sistema operativo de los equipos o en el dispositivo instalado por el proveedor de TI. La cuestión rara vez es tener o no un firewall. Es saber qué está protegiendo, cómo está configurado y quién se ocupa de él.

Qué hace un firewall, en términos sencillos

El firewall analiza las conexiones de red y decide cuáles pueden pasar. Sigue reglas: permitir el acceso a sitios web desde los equipos internos, por ejemplo, y bloquear los intentos de conexión iniciados por desconocidos en internet.

Para una pyme, la función más importante del firewall es reducir la superficie de ataque, es decir, el conjunto de servicios de la empresa que quedan visibles y accesibles desde fuera. Todo lo que no necesita estar expuesto debe permanecer cerrado. Cada puerto abierto sin necesidad es un punto más que un atacante puede probar.

Firewall perimetral y firewall en el dispositivo

Hay dos tipos que suelen estar presentes en una pequeña empresa:

Firewall perimetral

Se sitúa entre la red de la oficina e internet. Puede ser el propio router o un dispositivo dedicado. Protege a la vez a todos los dispositivos conectados a esa red.

Firewall de software

Viene integrado en el sistema operativo de los equipos de sobremesa y portátiles. Es el que protege el equipo cuando está fuera de la oficina: en casa, en un hotel o en una red pública. Con el trabajo remoto e híbrido, ha pasado a tener un papel aún más relevante, porque muchas veces el portátil ni siquiera pasa por la red de la empresa.

El esquema británico Cyber Essentials contempla ambos tipos y exige que todo dispositivo incluido en el alcance esté protegido por un firewall correctamente configurado, ya sea el perimetral o el del propio equipo.

Lo que realmente hay que configurar

Un firewall mal configurado puede dar una falsa sensación de protección. Los puntos esenciales son pocos y verificables:

Contraseña de administración robusta y exclusiva. La contraseña predeterminada del dispositivo debe cambiarse. Las contraseñas de fábrica se encuentran fácilmente en internet.
Bloqueo por defecto de las conexiones entrantes. No debe aceptarse nada que provenga de internet, salvo que exista una regla específica y justificada.
Reglas documentadas. Cada excepción debe tener un motivo registrado y un responsable. Las reglas antiguas, creadas para un sistema que ya no existe, deben eliminarse.
Panel de administración protegido. La interfaz de gestión no debe estar accesible desde internet. Si realmente fuera necesario, debe contar con autenticación multifactor o quedar restringida a direcciones específicas.
Firmware actualizado. El propio dispositivo recibe correcciones de seguridad, y deben aplicarse como en cualquier otro sistema. Consulte por qué mantener los sistemas actualizados es una medida de seguridad.

En la práctica: si nadie en la empresa sabe decir qué puertos están abiertos en el router y por qué, ese es el primer punto que hay que resolver. Pida al proveedor de TI una lista de las reglas de entrada activas, con la justificación de cada una.

Situaciones habituales que merecen atención

Algunos escenarios aparecen con frecuencia en las pequeñas empresas y suelen pasar desapercibidos:

Acceso remoto abierto directamente a internet. Habilitar el escritorio remoto de un servidor para que el personal se conecte desde casa es práctico, pero expone el servicio a intentos constantes de intrusión. Las soluciones con VPN o con acceso intermediado por un servicio seguro, con autenticación multifactor, reducen considerablemente este riesgo.
Cámaras y grabadores accesibles desde fuera. Los sistemas de videovigilancia abren con frecuencia puertos en el router para permitir la visualización desde el móvil, muchas veces con contraseñas predeterminadas.
Reglas temporales que se quedaron. Una excepción creada para un soporte puntual y nunca revertida.
Red de invitados mezclada con la red interna. Separar la red wifi de invitados de la red donde están los equipos y servidores es una medida sencilla y eficaz.

El límite del firewall

El firewall es una capa importante, pero no lo resuelve todo. No impide que un empleado abra un adjunto malicioso, no corrige una contraseña débil y no protege un servicio en la nube al que se accede directamente desde internet. Por eso forma parte de un conjunto, junto con la configuración segura, las actualizaciones, el control de acceso y la protección contra malware, como se describe en los cinco controles básicos de ciberseguridad.

Para una pyme, el objetivo es que el firewall esté activo, configurado con criterio y revisado periódicamente. Eso ya reduce de forma notable la exposición de la empresa.

Lista de comprobación rápida

Se ha cambiado la contraseña predeterminada del router o del firewall.
Las conexiones entrantes procedentes de internet se bloquean por defecto.
Existe una lista de las reglas de excepción, con su motivo y su responsable.
El panel de administración no está expuesto a internet sin protección adicional.
El firewall de software está activo en todos los portátiles y equipos.
El firmware del dispositivo está actualizado.