El gerente de finanzas trabaja desde su casa en Monterrey. Usa la misma red WiFi que sus hijos usan para jugar en línea y que el router de su proveedor de internet administra con la contraseña de fábrica que nunca cambió. Su laptop corporativa tiene acceso directo al ERP, al sistema de nómina y a los archivos compartidos del área. No hay VPN obligatoria porque "ralentizaba demasiado la conexión".
Esa configuración no es un caso extremo. Es más común de lo que los equipos de seguridad quieren admitir.
El perímetro que ya no existe y los controles que no lo saben
Durante décadas, el modelo de seguridad corporativa descansó sobre una premisa simple: lo que está dentro de la red es confiable, lo que está fuera no. El firewall era el guardián del límite. El trabajo remoto masivo rompió esa premisa de forma definitiva. Hoy, los activos más críticos de muchas organizaciones se acceden desde redes que el equipo de seguridad nunca vio, nunca configuró y nunca puede auditar directamente.
El error que cometen muchas organizaciones no es ignorar el problema: es tratarlo con los mismos controles que funcionaban cuando todos estaban en la oficina. Una VPN que los usuarios desactivan porque los hace lentos, una política de seguridad que asume que el endpoint está en un entorno controlado y una estrategia de detección que depende de ver el tráfico de red corporativa son controles diseñados para un mundo que ya no existe.
Los vectores que más se explotan en entornos remotos
El primero es el dispositivo compartido o no gestionado. En entornos de trabajo remoto, es frecuente que la laptop corporativa sea también el dispositivo que los hijos usan para las tareas o que el colaborador usa para actividades personales. Esa mezcla de usos introduce software no auditado, credenciales guardadas en navegadores personales y comportamientos de navegación que ningún control corporativo puede gestionar.
El segundo es la red doméstica sin segmentación. La red WiFi de un hogar promedio conecta el dispositivo de trabajo con el televisor inteligente, los altavoces, las cámaras de seguridad y el termostato, todos con distintos niveles de actualización de firmware y configuraciones de seguridad predeterminadas que nadie revisó. Un atacante que compromete cualquiera de esos dispositivos puede usarlo como punto de entrada para moverse hacia el dispositivo de trabajo.
El tercero es el acceso desde conexiones no protegidas. Cafeterías, aeropuertos, hoteles. El colaborador que se conecta a la VPN desde una red pública sin protección adicional está exponiendo credenciales e información en tránsito a cualquier atacante en la misma red. Y con herramientas de interceptación que ya no requieren conocimiento técnico avanzado para usarse, ese vector es más accesible que nunca para el adversario.
El cuarto es el phishing contextualizado al entorno remoto. Los atacantes saben que los colaboradores remotos tienen menos contacto visual con sus colegas, menos validación informal de solicitudes inusuales y mayor dependencia de canales digitales. Un correo que simula ser del área de TI pidiendo actualizar las credenciales de VPN, o una solicitud de transferencia urgente "del CEO" que llega mientras el colaborador trabaja solo en casa, tiene una tasa de éxito significativamente mayor que el mismo ataque en un entorno de oficina.
¿Qué hacer al respecto?
El primer movimiento es trasladar los controles del perímetro al endpoint y a la identidad. Si el usuario puede trabajar desde cualquier red, la protección tiene que viajar con él: gestión del dispositivo, autenticación fuerte, cifrado de disco, visibilidad sobre comportamiento de la sesión. Eso no requiere implementar zero trust en su versión más compleja de golpe. Requiere empezar por los controles de mayor impacto en el dispositivo y la identidad.
El segundo movimiento es establecer políticas de acceso que consideren el contexto de la conexión. No es lo mismo conectarse desde un dispositivo gestionado con MFA activo que desde un dispositivo personal sin controles. El nivel de acceso debería reflejar ese contexto: acceso completo a sistemas críticos solo cuando el dispositivo y la identidad cumplen condiciones mínimas verificables.
El tercer movimiento es actualizar la capacitación para el entorno remoto. Los riesgos específicos del trabajo en casa —redes compartidas, dispositivos mixtos, menor validación informal de solicitudes— no están cubiertos en los módulos de concienciación estándar. Un colaborador que entiende por qué su red doméstica es un vector de riesgo toma decisiones diferentes que uno que solo sabe que "no debe hacer clic en correos sospechosos".
¿Tu organización tiene hoy visibilidad sobre el estado de seguridad de los dispositivos con los que sus colaboradores acceden a sistemas críticos desde sus casas?
Acciones inmediatas
- Verifica qué porcentaje de los dispositivos con acceso a sistemas críticos está gestionado y tiene controles mínimos activos. Cifrado de disco, bloqueo automático de pantalla, actualización de sistema operativo al corriente. Los que no cumplen esos tres criterios básicos son el punto de entrada más probable en un entorno remoto.
- Revisa si el MFA está habilitado para todos los accesos remotos a sistemas críticos, sin excepción por área o nivel jerárquico. Los ejecutivos son objetivos de alto valor y suelen ser los que más resistencia ponen a controles de autenticación adicionales. Esa excepción es exactamente donde un atacante va a intentar entrar primero.
- Establece una política clara sobre el uso de dispositivos personales para acceso a sistemas corporativos. Si está permitido bajo condiciones, define cuáles. Si no está permitido, comunícalo con claridad y con las razones concretas. Una política ambigua produce comportamientos que el equipo de seguridad no puede predecir ni controlar.
- Incluye en el próximo ciclo de capacitación un módulo específico sobre riesgos del entorno remoto. Segmentación de red doméstica, riesgos de redes públicas, verificación de solicitudes inusuales sin contacto presencial. Esos escenarios son los que los colaboradores remotos enfrentan y los que la capacitación genérica no cubre.
- Revisa si tienes visibilidad sobre sesiones de acceso remoto a sistemas críticos fuera de horario laboral o desde ubicaciones inusuales. Una sesión que inicia a las 2 de la mañana desde una ciudad donde no hay colaboradores debería generar una alerta. Si ese comportamiento no está siendo monitoreado, el atacante que usa credenciales comprometidas tiene tiempo ilimitado para operar sin ser detectado.
Si tu organización quiere evaluar y fortalecer su postura de seguridad para entornos de trabajo remoto e híbrido, contáctanos en https://tbsek.mx/contacto/.
