Segmentación de redes internas: lo que sí vale la pena en oficinas medianas

Por qué segmentar la red (y por qué a veces no sirve de nada)

En empresas medianas, la pregunta de si segmentar la red interna no es trivial. No es sólo cuestión de seguridad: también afecta rendimiento, presupuesto y hasta la facilidad para operar día a día. La segmentación (crear varias "subredes" separadas, usando VLANs o switches dedicados) puede tener sentido, pero sólo si tienes claro qué quieres lograr y cuánto cuesta mantenerlo. Hacerlo "por moda" o porque lo sugirió el proveedor termina en gasto inútil o complicaciones para el área de sistemas.

Cuándo sí conviene segmentar

Hay escenarios concretos donde separar la red en segmentos tiene lógica:

• Áreas con información sensible o acceso restringido: Por ejemplo, separar administración de ventas, o RH de operativos, usando VLANs. Así, un virus en una máquina de ventas no llega directo a la nómina.
• Tráfico pesado que afecta el resto: Si tienes cámaras IP (CCTV) que mandan video todo el día, es mejor que viajen en su propia VLAN. Si no, pueden saturar la red y hacer lentos los sistemas.
• Proyectos con invitados o externos: Cuando tienes visitantes que necesitan WiFi, una red segmentada evita que vean archivos sensibles o impresoras internas.
• Cumplimiento normativo: En algunos sectores (bancos, salud), la ley puede exigir segmentación.

En estos casos, segmentar puede evitarte problemas serios. Pero hay que medir el impacto: cada segmento bien hecho implica switches administrables, configuración de routers, y tiempo del área de sistemas. No se hace en media hora ni con switches caseros.

Cuándo segmentar sólo complica las cosas

No todo es ganar y no todos los consultores te lo dicen. Hay escenarios donde segmentar la red interna sólo agrega trabajo y no resuelve nada:

• Redes pequeñas (menos de 20 usuarios, sin áreas críticas): Aquí, segmentar suele ser overkill. Es más fácil mantener todo en una sola red, con buen firewall y claves decentes.
• Sin sistemas sensibles ni cámaras: Si sólo compartes internet, impresoras y archivos generales, segmentar es gasto extra en equipo y soporte.
• Sin personal técnico fijo: Cada cambio (nuevo usuario, impresora, etc.) será más lento y caro si dependes de un externo para mover configuraciones.

Segmentar porque "así se ve más pro" termina en frustración. Hay casos donde la seguridad está mejor invertida en capacitar a los usuarios o en renovar firewalls, no en poner más VLANs.

Qué implica segmentar bien (y cuánto cuesta)

Hacerlo bien va más allá de "poner un switch nuevo". El costo y el impacto real incluyen:

• Switches administrables: Olvídate de los de $800 de tienda. Un switch decente para VLANs ronda los $4,000–8,000 MXN por 24 puertos (estimado 2024).
• Router que soporte múltiples VLANs: No todos lo hacen. Un router empresarial básico con soporte VLAN ronda los $6,000–15,000 MXN (estimado 2024).
• Tiempo de configuración: Un proyecto de segmentación para una oficina de 30 a 50 usuarios puede tomar entre 2 y 5 días laborables, entre planeación y pruebas.
• Mantenimiento: Cada segmento es una capa más que hay que saber monitorear y actualizar. Si nadie lo documenta, cuando cambie el técnico, nadie le va a querer meter mano.

Hacerlo mal (segmentar sin plan, sin mapas de red, sin documentación) suele costar el doble cuando hay que arreglarlo después. Si ya te pasó, sabes que no exageramos.

Ejemplo realista: oficina mediana con CCTV y ventas

Pensemos en una empresa de 40 personas, con cámaras IP y un área de ventas que usa sistemas SaaS (por ejemplo, venussoft para punto de venta y contadora.app para administración). Aquí, una segmentación básica puede tener sentido:

• Una VLAN sólo para cámaras: así el video no se mezcla con el tráfico de ventas ni de administración.
• Una VLAN para administración y otra para ventas: cada una con acceso a sus propios recursos, pero con reglas para compartir ciertos archivos.
• Red de invitados separada, sin acceso a nada interno.

Esto requiere switches administrables, un router decente y una pequeña inversión en tiempo de configuración. El beneficio: menos riesgo de que un ataque en ventas afecte la administración o que el tráfico de video vuelva lento el sistema de ventas. Pero si sólo tienes 10 personas y una impresora, esto es puro gasto.

Resumiendo: decide por necesidades, no por moda

La segmentación de red no es ni buena ni mala en sí. Es una herramienta. Ponla sólo donde te va a evitar dolores de cabeza reales y donde haya alguien que pueda darle mantenimiento. Si no, es mejor invertir en otros frentes: cableado decente, firewalls bien puestos y capacitación básica. Cuando haga falta segmentar, hazlo bien y documenta todo. Así de simple.