La adopción de la nube, las aplicaciones SaaS, el trabajo híbrido y las infraestructuras cada vez más distribuidas están transformando los fundamentos de la ciberseguridad empresarial. Los usuarios, los dispositivos y las cargas de trabajo ya no operan exclusivamente dentro de una red corporativa claramente definida, por lo que los modelos de seguridad tradicionales centrados en el perímetro ya no son suficientes por sí solos.
Una estrategia de seguridad empresarial moderna debe responder a este cambio, extendiendo la protección, la visibilidad y las políticas de seguridad allí donde operen los usuarios.
En este artículo analizaremos por qué está evolucionando el perímetro corporativo tradicional, cómo pueden los principios de Zero Trust reforzar la seguridad en entornos distribuidos, por qué el acceso seguro a Internet se está convirtiendo en un control estratégico y qué papel puede desempeñar la seguridad DNS en la protección de los usuarios más allá de la red corporativa. Por último, presentaremos cinco principios para crear políticas de seguridad capaces de adaptarse a una empresa cada vez más distribuida.
¿Qué es una estrategia de seguridad empresarial?
Una estrategia de seguridad empresarial es un enfoque coordinado para proteger a los usuarios, los datos, las aplicaciones, los dispositivos y la infraestructura de una organización frente a los riesgos cibernéticos, al tiempo que respalda las operaciones y el crecimiento del negocio.
Vincula las decisiones de ciberseguridad con prioridades empresariales más amplias, como la continuidad del negocio, el cumplimiento normativo, la eficiencia operativa y la transformación digital.
Por tanto, una estrategia de seguridad empresarial madura va más allá de la implementación de tecnologías de seguridad aisladas. Coordina múltiples capas de protección, entre ellas:
- gestión de identidades y accesos (IAM);
- seguridad de los endpoints;
- seguridad de red;
- seguridad en la nube;
- prevención de amenazas;
- protección de datos;
- políticas de seguridad y controles de acceso;
- monitorización y detección de amenazas;
- respuesta a incidentes.
El objetivo no consiste simplemente en aumentar el número de controles de seguridad.
Se trata de crear una arquitectura en la que dichos controles trabajen de forma conjunta para reducir el riesgo cibernético y, al mismo tiempo, permitir que los usuarios y los procesos empresariales operen con eficacia.
Esta necesidad cobra cada vez más importancia a medida que la infraestructura empresarial se distribuye. Las aplicaciones migran a la nube. Los empleados trabajan de forma remota. Las oficinas y sucursales acceden directamente a plataformas SaaS. Los dispositivos móviles se conectan desde redes que la organización no controla.
En consecuencia, resulta cada vez más difícil sostener la premisa de que los activos corporativos operan principalmente dentro de una red de confianza.
Por qué el perímetro de seguridad tradicional ya no es suficiente
Durante muchos años, las arquitecturas de ciberseguridad empresarial se construyeron en torno a un concepto relativamente sencillo: proteger la red corporativa.
Los usuarios, las aplicaciones y los datos se encontraban en gran medida dentro de la infraestructura de la organización. Los firewalls, los proxies y otras tecnologías de seguridad controlaban el tráfico que entraba y salía de ese entorno.
La distinción era clara:
dentro de la red = entorno de confianza
fuera de la red = entorno no confiable
La empresa actual es muy diferente.
Una misma organización puede operar simultáneamente con:
- sedes centrales y sucursales;
- cargas de trabajo en nubes públicas y privadas;
- aplicaciones SaaS;
- empleados remotos;
- dispositivos móviles;
- accesos de terceros y partners;
- dispositivos IoT;
- entornos BYOD.
La transición puede resumirse de la siguiente manera:
TI centrada en la oficina → Empresa híbrida → Empresa distribuida
Las implicaciones para la seguridad son importantes.
Un usuario que trabaja de forma remota puede acceder a Microsoft 365, una plataforma CRM, servicios de almacenamiento en la nube y múltiples aplicaciones web sin que su tráfico pase en ningún momento por la red corporativa tradicional.
Al mismo tiempo, las organizaciones necesitan mantener políticas de seguridad coherentes sin generar fricciones innecesarias para los empleados ni ralentizar los procesos empresariales.
Por tanto, el perímetro corporativo no ha desaparecido sin más: se ha distribuido. Como señala ICT Security Magazine, el trabajo remoto, los entornos cloud y las interacciones en la cadena de suministro han ampliado el perímetro empresarial más allá de los límites físicos tradicionalmente protegidos por el firewall.
Este es uno de los cambios fundamentales que debe abordar una estrategia de seguridad empresarial moderna.
El nuevo perímetro de seguridad empresarial es el usuario
Cuando los usuarios y las aplicaciones pueden operar prácticamente desde cualquier lugar, la ubicación física en la red pasa a ser solo uno de los elementos que intervienen en las decisiones de seguridad.
La identidad, el estado de seguridad del dispositivo, el recurso solicitado, el contexto y el nivel de riesgo adquieren una relevancia cada vez mayor.
Este es uno de los principios en los que se basa la seguridad Zero Trust.
En lugar de confiar implícitamente en un usuario o dispositivo por el mero hecho de operar dentro de una red determinada, un enfoque Zero Trust exige que las decisiones de acceso se evalúen de acuerdo con las políticas y la información contextual disponible.
El paso de la seguridad empresarial tradicional a un modelo distribuido cambia la forma en que las organizaciones definen y aplican la protección.
En un modelo tradicional, la seguridad se centra principalmente en proteger la red corporativa, y la ubicación en la red suele desempeñar un papel importante a la hora de determinar el nivel de confianza. Los usuarios y los recursos se encuentran principalmente centralizados, mientras que las aplicaciones y la infraestructura operan sobre todo on-premises y dentro de un perímetro corporativo claramente definido.
Una empresa distribuida requiere un enfoque diferente. La seguridad debe centrarse cada vez más en proteger a los usuarios, los dispositivos y los recursos con independencia de su ubicación. La confianza no puede basarse únicamente en si una conexión se origina dentro de la red corporativa, sino que debe evaluarse de forma continua en función de la identidad, el estado de seguridad del dispositivo, el contexto y el riesgo.
Al mismo tiempo, la propia infraestructura ha evolucionado desde un modelo centrado en la oficina hacia un entorno que combina sistemas on-premises, servicios cloud y aplicaciones SaaS, mientras los empleados operan desde oficinas corporativas, sucursales, redes domésticas y entornos móviles.
El resultado es un cambio fundamental: se pasa de proteger un perímetro de red definido a aplicar controles de seguridad coherentes en toda una empresa distribuida.
Esta evolución resulta especialmente evidente en los entornos de trabajo remoto. Como destaca Dark Reading, los equipos de seguridad empresarial tienen menos visibilidad sobre el estado de seguridad de los dispositivos y las redes que utilizan los trabajadores remotos, por lo que la verificación de la identidad y de los dispositivos adquiere una importancia creciente.
Esto no elimina la seguridad de red. Más bien, modifica su función dentro de una estrategia más amplia de defensa en profundidad (Defense-in-Depth).
El NIST vincula los controles de seguridad de red con las arquitecturas Zero Trust y de defensa en profundidad, reforzando la necesidad de contar con múltiples capas de seguridad complementarias.
Por tanto, para una empresa cambia la pregunta estratégica.
Ya no se trata simplemente de:
¿Cómo protegemos nuestra red?
Sino de:
¿Cómo mantenemos una protección coherente cuando los usuarios, los dispositivos y las cargas de trabajo operan en redes y entornos diferentes?
Esta distinción tiene importantes implicaciones en la forma de proteger el acceso a Internet.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
Por qué el acceso a Internet se convierte en un control de seguridad estratégico
Independientemente de dónde trabaje un empleado, hay una actividad que permanece constante: el acceso a recursos de Internet.
Los usuarios resuelven dominios y se conectan a aplicaciones SaaS, sitios web, API, plataformas cloud y servicios externos. Los actores maliciosos aprovechan esa misma infraestructura mediante sitios de phishing, plataformas de distribución de malware, dominios maliciosos e infraestructuras de comando y control (C2).
Si los usuarios pueden conectarse desde cualquier lugar, ¿dónde se puede aplicar una protección coherente?
Una respuesta consiste en aplicar controles de seguridad directamente sobre los mecanismos que utilizan los usuarios para acceder a los recursos de Internet.
Esto convierte el acceso seguro a Internet en un componente importante de una estrategia de seguridad empresarial distribuida.
El objetivo no es limitarse a monitorizar el tráfico después de que ya se haya establecido una conexión potencialmente maliciosa. Siempre que sea posible, las organizaciones deben impedir las conexiones a destinos maliciosos conocidos o sospechosos antes de que puedan dar lugar a un incidente de seguridad de mayor alcance.
La guía #StopRansomware de la CISA, por ejemplo, recomienda el DNS de protección (Protective DNS) como medida de seguridad frente a amenazas como el malware, el ransomware, el phishing y los sitios web maliciosos.
Esto incorpora directamente a la estrategia de seguridad empresarial uno de los protocolos fundamentales de Internet: el sistema de nombres de dominio.
Seguridad DNS: una capa de protección que acompaña al usuario
El sistema de nombres de dominio (DNS) traduce los nombres de dominio en las direcciones IP necesarias para las comunicaciones de red. Dado que la resolución DNS suele producirse antes de establecer una conexión con un destino de Internet, también puede convertirse en un control de seguridad estratégico.
El NIST identifica el DNS como un componente esencial de la arquitectura de red empresarial y describe el DNS de protección como una capa de seguridad adicional dentro de los enfoques Zero Trust y de defensa en profundidad.
El principio en el que se basan la seguridad DNS y el filtrado DNS puede resumirse así:
Usuario → Solicitud DNS → Política de seguridad → Evaluación del dominio → Permitir/Bloquear
Si el dominio solicitado se identifica como malicioso o infringe las políticas de la organización, el acceso puede bloquearse durante la resolución DNS, antes de que se establezca la conexión prevista.
Esto resulta especialmente valioso en una empresa distribuida. Con una arquitectura adecuada en la nube y en los endpoints, las políticas de seguridad DNS pueden extenderse más allá de la sede central para proteger a usuarios remotos, dispositivos en movilidad y sucursales, reduciendo la dependencia de la red corporativa física.
La seguridad DNS como parte de Zero Trust
La seguridad DNS no sustituye a Zero Trust, ni tampoco a las soluciones EDR, los firewalls, la gestión de identidades y accesos (IAM) u otros controles de seguridad.
En cambio, proporciona una capa complementaria de aplicación de políticas y visibilidad.
Los controles de identidad ayudan a determinar quién solicita el acceso. La seguridad de los endpoints evalúa qué dispositivo está implicado. La seguridad DNS puede ayudar a determinar a qué destino intenta conectarse ese dispositivo.
Por este motivo, el NIST identifica el DNS como un posible punto de aplicación de políticas (Policy Enforcement Point, PEP) dentro de una arquitectura de seguridad más amplia.
Las soluciones modernas de filtrado DNS pueden combinar políticas de seguridad, inteligencia de amenazas y análisis automatizado de dominios para impedir las conexiones a destinos maliciosos. FlashStart, por ejemplo, utiliza inteligencia artificial y machine learning para identificar y clasificar dominios sospechosos, extendiendo la protección del filtrado DNS a entornos distribuidos.
Por tanto, el valor estratégico no reside en el filtrado DNS de forma aislada, sino en la capacidad de añadir una capa de seguridad preventiva que acompañe a los usuarios más allá del perímetro corporativo tradicional.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
Cómo crear políticas de seguridad para una empresa distribuida
La tecnología por sí sola no crea una estrategia de seguridad empresarial eficaz.
Las organizaciones también necesitan políticas de seguridad capaces de adaptarse a un modelo operativo distribuido.
Un marco práctico puede estructurarse en torno a cinco principios.
1. Identificar
El primer paso es comprender qué se debe proteger.
Hay que identificar y mapear los usuarios, endpoints, dispositivos móviles, cargas de trabajo, aplicaciones SaaS, sucursales y entornos cloud.
El objetivo no es solo saber dónde se encuentran los activos, sino también cómo acceden a los recursos corporativos y de Internet.
2. Definir
Las políticas de seguridad deben reflejar los roles empresariales, los perfiles de riesgo y las necesidades operativas.
Cada usuario puede necesitar distintos niveles de acceso a Internet, disponibilidad de aplicaciones y restricciones de contenido.
Un departamento financiero, un administrador de TI y un proveedor externo no tienen necesariamente el mismo perfil de riesgo ni los mismos requisitos de acceso.
Las políticas deben reflejar estas diferencias sin generar una complejidad innecesaria.
3. Proteger
Los controles deben operar allí donde realmente se encuentran los usuarios y los recursos.
Esto exige combinar la seguridad de las identidades, los endpoints, la red, la nube e Internet, en lugar de depender de un único perímetro defensivo.
En lo que respecta al acceso a Internet, la seguridad DNS puede proporcionar una capa preventiva adicional mediante la aplicación de políticas durante la resolución de los dominios.
4. Monitorizar
Un entorno distribuido requiere visibilidad.
Los equipos de seguridad necesitan telemetría que les ayude a identificar actividades sospechosas, comprender los patrones de acceso e investigar eventos de seguridad en distintos entornos.
Los datos DNS pueden contribuir a esta visibilidad, ya que las solicitudes de dominios pueden revelar intentos de conexión a destinos maliciosos o anómalos.
El objetivo no es recopilar más datos porque sí.
Se trata de transformar la telemetría de seguridad en información procesable que mejore la gestión del riesgo y la respuesta a incidentes.
5. Adaptar
La infraestructura empresarial cambia continuamente.
Se adoptan nuevas aplicaciones SaaS. Los empleados cambian de función. Los dispositivos se conectan desde nuevas ubicaciones. Surgen nuevas amenazas y dominios maliciosos.
Por tanto, las políticas de seguridad no pueden permanecer estáticas.
Una estrategia de seguridad empresarial eficaz requiere una adaptación continua basada en la inteligencia de amenazas, las necesidades del negocio y los cambios en la superficie de ataque de la organización.
El resultado es una arquitectura de seguridad capaz de respaldar la transformación digital sin obligar a la empresa a volver a operar dentro de un perímetro que ya no refleja cómo trabajan realmente las personas.
Cómo construir una estrategia de seguridad empresarial más allá del perímetro
El perímetro empresarial no ha desaparecido.
Se ha distribuido.
Los usuarios trabajan de forma remota. Las aplicaciones operan en múltiples nubes. Los procesos empresariales dependen de plataformas SaaS. Los dispositivos se desplazan continuamente entre redes corporativas y externas.
La ciberseguridad empresarial debe evolucionar en consecuencia.
Por tanto, una estrategia moderna de seguridad empresarial debe combinar controles de seguridad de identidades, endpoints, redes, nube e Internet para mantener la protección, la visibilidad y la aplicación de políticas con independencia de la ubicación del usuario.
La seguridad DNS desempeña un papel específico dentro de esta arquitectura. Dado que el DNS sigue siendo un punto de control común en las comunicaciones de Internet, puede proporcionar una capa preventiva adicional capaz de identificar y bloquear el acceso a destinos maliciosos antes de que se establezca la comunicación.
Para las organizaciones distribuidas, esto significa extender las políticas de seguridad más allá de la red corporativa física. FlashStart aplica este principio en la capa DNS, combinando políticas de filtrado, inteligencia de amenazas, inteligencia artificial y machine learning para proteger el acceso a Internet tanto en entornos corporativos como remotos.
El objetivo no es reconstruir el perímetro tradicional alrededor de cada usuario.
Consiste en crear una estrategia de seguridad que deje de depender del perímetro desde el principio.
Protección DNS de última generación, totalmente basada en la nube y en la inteligencia artificial, y fácil de activar.
