Segmentación de red y microsegmentación: qué son y cómo se planifican

En una red sin segmentar, todos los equipos se ven entre sí: el portátil de recepción, el servidor de facturación, la impresora y las cámaras. Si un atacante entra en uno, desde ahí puede buscar los demás. Segmentar es poner paredes dentro de la red y puertas con control entre ellas.

Qué es segmentar la red

CISA, la agencia de ciberseguridad de Estados Unidos, lo define así en su guía de microsegmentación de 2025: dividir la red, de forma física o virtual, en varias partes distintas, llamadas segmentos, que agrupan recursos relacionados, como infraestructura, aplicaciones, datos o servicios. Cada segmento actúa como una red propia, y lo que entra y sale de él pasa por un punto de control.

El Esquema Nacional de Seguridad (ENS) explica para qué sirve en una frase: la segmentación acota el acceso a la información y, con ello, la propagación de los incidentes, que quedan restringidos al entorno donde ocurren. Es lo que se llama frenar el movimiento lateral, el salto de un equipo comprometido a otro.

La forma más común de hacerlo son las VLAN, unidas por un cortafuegos que decide qué tráfico pasa de una a otra. Cómo se configuran está en la guía de VLAN, y la zona para los servidores que se ven desde internet, en la de la DMZ. Aquí va el paso siguiente: cuánto dividir y cómo planificarlo.

Macrosegmentación y microsegmentación

CISA distingue dos niveles:

• Macrosegmentación: la división clásica de la red interna en pocos trozos grandes, según las necesidades del negocio. Sus usos típicos, según CISA, son separar desarrollo y producción, la DMZ, la red de usuarios y la de aplicaciones.
• Microsegmentación: divide esos trozos en segmentos mucho más pequeños. El ejemplo de CISA: una red tradicional pone todos los servidores del centro de datos en un mismo segmento, al alcance de cualquier equipo comprometido; con microsegmentación, cada servidor solo puede hablar con los servidores que necesita para su función.

INCIBE lo resume con la dirección del tráfico. Las defensas tradicionales, como el cortafuegos de perímetro o la VPN, vigilan el tráfico norte-sur, el que entra y sale de la red. La microsegmentación se ocupa del este-oeste, el que va de un equipo interno a otro, y por eso INCIBE la propone como defensa contra el ransomware: si un correo infecta un ordenador, el daño se queda en su segmento y no alcanza al resto de departamentos.

Hay una diferencia más de fondo. En la segmentación tradicional, las reglas se escriben con direcciones IP y puertos. NIST, el instituto de normas de Estados Unidos, describe también una microsegmentación basada en la identidad, donde la regla dice qué servicio puede hablar con cuál («el pedido puede consultar el inventario») en lugar de qué subred con qué dirección. CISA añade que, dentro de una arquitectura de confianza cero, la decisión de dejar pasar puede tener en cuenta el usuario, el equipo desde el que se conecta, su estado y la hora.

Con qué se hace

CISA advierte que casi ninguna organización podrá hacerlo todo con una sola solución, y resume los tipos que existen:

Para una red de oficina, el primer tipo es el habitual, y en él el cortafuegos es el punto de control entre segmentos. NIST explica que, en la segmentación por segmentos, cada uno queda protegido por un equipo de paso, como un switch o router inteligente o un NGFW, que vigila el tráfico, para las amenazas y aplica el control de acceso al tráfico este-oeste. NIST también señala su punto débil: hay que mantener al día qué aplicación está en qué segmento, y eso cambia con el tiempo.

Esto es criterio de esta web: si el tráfico entre segmentos va a pasar por el cortafuegos, conviene mirar su rendimiento con los servicios de seguridad activos y que tenga puertos o VLAN de sobra, porque deja de cargar solo con la conexión a internet y pasa a llevar también el tráfico interno. Dos equipos de la misma red se hablan por el switch sin pasar por el cortafuegos; separarlos en VLAN es lo que obliga a que pasen por él, como se explica en la guía de switch, router y cortafuegos.

Cómo se planifica: las cuatro fases de CISA

CISA recomienda no hacerlo de golpe, sino por partes: una aplicación, un flujo de trabajo o un entorno cada vez, y repetir. Propone cuatro fases:

1. Elegir qué segmentar. Repasar aplicaciones, datos, equipos y entornos, y ordenar los candidatos. Al principio puede convenir empezar por lo más fácil y, con experiencia, pasar a lo más crítico.
2. Ver de qué depende. Anotar con qué otros sistemas habla cada candidato, en los dos sentidos. Si ya está funcionando, la lista sale de observar sus comunicaciones, y hay que comprobar que no falta nada.
3. Decidir las reglas. Elegir qué se permite, contando con los usuarios. CISA recuerda el equilibrio: los segmentos pequeños frenan más, pero cuestan más de crear y mantener; los grandes son más fáciles, pero necesitan más vigilancia.
4. Probar y aplicar. Poner primero las reglas en modo permisivo, que solo avisa de lo que bloquearía, para descubrir dependencias olvidadas. Después aplicarlas, vigilar el resultado, tener forma de volver atrás y un canal para que los usuarios avisen.

CISA añade dos casos difíciles. Los portátiles que salen de la oficina, que pueden necesitar segmentación con agente porque fuera no pasan por el cortafuegos. Y los equipos de OT, IoT o antiguos, donde muchas veces no se puede instalar nada y la separación tiene que hacerse en la red.

Qué exigen el ENS y NIS2

En el Esquema Nacional de Seguridad es la medida mp.com.4, separación de flujos de información en la red. Sus requisitos base: que cada equipo solo tenga acceso a la información que necesita y que la red inalámbrica vaya en un segmento aparte. No aplica a la categoría básica; en la media hay que cumplir uno de los tres primeros refuerzos, y en la alta, el segundo o el tercero más el cuarto.

Para las empresas digitales sujetas a NIS2, el punto 6.8 del Reglamento de Ejecución 2024/2690 pide segmentar según la evaluación de riesgos y, entre otras cosas: separar los sistemas propios de los de terceros, tener una DMZ, limitar la comunicación entre zonas y dentro de ellas a lo necesario, separar la red de administración y su tráfico del resto, y separar producción de desarrollo y pruebas. También pide revisar la segmentación periódicamente y tras un incidente o un cambio importante.

En los casos más críticos, la guía conjunta de CISA y otras agencias sobre acceso a la red cita una segmentación reforzada por hardware, con diodos de datos que solo dejan pasar la información en un sentido. Es para redes donde un ataque pone en riesgo la seguridad pública, no para una oficina.

Por dónde empezar en una pyme

Esto es criterio de esta web, a partir de las fuentes anteriores. La macrosegmentación es lo que más rinde con menos esfuerzo: separar la wifi de invitados, las cámaras y otros aparatos IoT, los servidores y la administración de los equipos. Eso ya lo hace casi cualquier cortafuegos con VLAN. La microsegmentación tiene sentido después, cuando hay servidores o aplicaciones que merecen su propio segmento, y siguiendo las fases de CISA: de uno en uno, probando antes de bloquear. Para quien necesita controlar quién se conecta a cada puerto del switch, está la guía de 802.1X y RADIUS.