Separación de flujos de información en la red

Qué exige, en claro

Dividir la red en segmentos según función y nivel de seguridad — usuarios, servidores, administración, dispositivos (mp.eq.4), invitados — de modo que los flujos entre segmentos estén controlados y justificados, no abiertos por defecto.

Separar con especial cuidado los flujos de administración de los de servicio (la gestión de sistemas nunca viaja mezclada con el tráfico de usuarios) y documentar la segmentación en la arquitectura (op.pl.2). En cloud: VPC/redes virtuales, subredes y grupos de seguridad por capa.

Cuándo aplica y cómo escala

La exigencia formal crece con la categoría del sistema — confírmalo en la valoración formal; como práctica de contención, segmentar es rentable en cualquier categoría (el ransomware que no puede moverse lateralmente es un incidente pequeño).

Ejemplos de implementación

• Cloud por capas: subred pública solo con el balanceador, subred privada de aplicación, subred aislada de datos; administración exclusivamente por VPN a una subred de gestión.
• Sede con VLANs de usuarios, servidores, VoIP, impresoras/IoT e invitados, con reglas entre VLANs de mínimo necesario y la wifi de invitados sin ruta alguna al resto.

Errores habituales

• Red plana total: cualquier portátil ve la base de datos de producción.
• La wifi de invitados en la misma red que los servidores.
• Segmentar y luego permitir «cualquiera→cualquiera» entre segmentos: teatro de VLANs.
• Administrar servidores desde la red de usuarios, sin segmento ni acceso dedicado.
• Diagramas de red que no se parecen a la red real desde hace tres años.

Evidencias que suele ser razonable preparar

• Diagrama de segmentación actualizado (parte de la arquitectura op.pl.2).
• Reglas de flujo entre segmentos con su justificación.
• Comprobación práctica (desde el segmento X no se alcanza Y — probado, no supuesto).
• Segmento o vía dedicada para administración.

Preguntas que debería hacerse el responsable

• Si comprometen un portátil de usuario, ¿hasta dónde llega el atacante?
• ¿Qué separa a la wifi de invitados de tus servidores?
• ¿La administración de sistemas viaja por su propio camino?
• ¿Cuándo se comprobó de verdad que los segmentos no se alcanzan entre sí?

Fuente oficial: Anexo II del Real Decreto 311/2022 y Guía CCN-STIC 804 · Implantación del ENS (CCN-CERT). Ficha elaborada por Roberto Mickel, fundador y CTO de ENSFácil; revisada el 25 de agosto de 2026: la aplicabilidad exacta y los refuerzos dependen de la categoría y valoración de tu sistema — verifica siempre la versión vigente de la norma y de las guías.