Firewall, ESET y concienciación: las tres capas que sí funcionan

La ciberseguridad no es un producto. Son capas. Un antivirus solo no basta; un firewall solo tampoco; una charla de miedo el lunes después de un titular, menos. En las PYMES de Tenerife que nos llaman, el patrón se parece: un ESET (o el que viniera en el pack del equipo) instalado hace años, el router del operador haciendo de perímetro, y las personas improvisando con el correo. No es negligencia moral. Es lo que queda cuando nadie ha diseñado las tres capas para que se sostengan entre sí un martes normal, no el día del susto.

Este artículo explica las tres que más evitan incidentes reales: perímetro y firewall, ESET PROTECT en los puestos, y personas que reconocen un phishing sin necesidad de un máster. Sin miedo gratuito. Sin «te van a hundir la empresa mañana». Con el tono de quien ve los mismos fallos cada mes y sabe cuáles merecen presupuesto. El servicio está en ciberseguridad para empresas. Aquí va la decisión: cómo combinarlas sin convertir la oficina en un aeropuerto.

Infofase es partner de ESET y opera consola en entornos reales —incluido el proyecto 360 de Jaizme Consulting, con ESET PROTECT Entry—. No vamos a vender que eso sustituye al firewall ni a la cabeza de quien abre el Outlook. Las capas no se canibalizan. Se tapan huecos.

Un antivirus solo no es un plan

El antivirus de puesto nació para el malware que llega en un ejecutable. Sigue siendo necesario. No cubre un RDP expuesto a internet, una contraseña de administrador repetida, un WiFi de invitados en la misma VLAN que el NAS, ni a alguien que introduce usuario y clave en una página que imita a Hacienda. Pedirle a ESET —o a cualquier motor— que sea el plan entero es como pedirle al cinturón que sustituya los frenos y el semáforo.

Tampoco es un plan el firewall de operador con la contraseña de fábrica y el UPnP abierto «porque si no no me va la cámara». Ese dispositivo hace NAT y poco más. No hay registro útil, no hay VPN decente, no hay segmentación. Cuando alguien dice «ya tenemos firewall», a veces tiene un router doméstico con carcasa gris. La capa 1 existe de nombre.

El plan mínimo que sí funciona en una PYME es aburrido y eficaz. Perímetro que no deja entrar lo que no debe y que deja un rastro. Puestos con un agente gestionado, actualizado y con alguien que mira la consola. Personas que no son el eslabón débil por descuido, sino un eslabón informado. Copias que permiten volver atrás —eso es otra disciplina; si te falta, lee el checklist de ciberseguridad para PYMES y la parte de backups—. RGPD que no es un PDF en un cajón. El resto (SOC 24×7, threat hunting, red team) es para quien ya tiene lo aburrido y aún así tiene un perfil de riesgo que lo justifica. La mayoría de las oficinas de la isla no está ahí. Está en lo aburrido mal hecho.

El miedo gratuito vende auditorías eternas y software que nadie administra. El miedo útil es concreto: «si un comercial abre este adjunto, el NAS se cifra y la copia de anoche está en el mismo rack». Esa frase lleva a un presupuesto. «El crimen digital acecha» no lleva a nada, salvo a firmar lo primero que llegue.

Tres capas no significan tres proveedores que se echan la culpa. Significan un diseño. En Infofase las juntamos con mantenimiento: parches, alertas, un firewall que no se queda en firmware de 2021. Un interlocutor. Si tienes tres contratos y ninguna reunión conjunta, tienes tres facturas y un hueco en medio.

Capa 1: el perímetro y el firewall

El perímetro es la puerta. No la única —el phishing entra por el buzón, el USB por el bolsillo—, pero sigue siendo la que más se olvida cuando «ya tenemos antivirus». Un firewall de verdad, dimensionado a la oficina, hace tres trabajos que el router del operador hace mal: controla qué sale y qué entra, registra, y permite VPN o accesos remotos sin publicar el escritorio del servidor a internet.

Publicar RDP (3389) a la red abierta sigue siendo una de las formas más tristes de pedir un incidente. Si alguien de fuera tiene que entrar, VPN o un salto controlado. Si un programa «necesita puertos abiertos», se abre el puerto concreto, con origen si es posible, y se anota. El «abre todo un rato» se queda el resto de la legislatura.

Segmentación. La red de invitados no ve el NAS. Las cámaras no ven el servidor de ficheros. El taller o el almacén, si existe, no comparte VLAN con administración. El firewall (o el switch con ACL, o UniFi con reglas) ejecuta esa política. Sin ella, un portátil de visitas es un puente. En hoteles y oficinas con sala de espera esto no es paranoia: es higiene. La marca del firewall importa menos que la política escrita. Un equipo caro con «any-any» es un adorno.

Wi-Fi y perímetro se tocan. Un SSID único con la clave en un papel es perímetro de cartón. WPA3 cuando se pueda, clave que no sea el nombre de la empresa y el año, red de invitados aislada. El AP no sustituye al firewall; el firewall no sustituye un AP bien puesto. Si la red es un ovillo, antes de comprar «el firewall que sale en el cuadrante» hay que desenredar. A veces el dinero está mejor en VLANs que en una caja nueva sobre el mismo desorden.

Logs. Un firewall que no se lee no sirve para aprender. No hace falta un SIEM el primer año. Hace falta que alguien, en el mantenimiento mensual, mire intentos raros, VPN que ya no se usan y reglas temporales que se volvieron eternas. El firmware se actualiza en ventana, no el viernes a las 14:00 sin anuncio.

Qué no es esta capa

No es un antivirus de red que sustituye al de puesto. No es un «palo santo» contra el ransomware que ya está dentro (ahí mandan copias e identidad). No es bloquear internet «por si acaso» hasta que nadie puede trabajar con la gestoría. El perímetro bueno se nota porque el día a día no duele y el puerto absurdo no existe.

Capa 2: ESET PROTECT en todos los puestos

ESET PROTECT es la consola: ves agentes, alertas, políticas, actualizaciones. Entry es el nivel que usamos en el caso Jaizme: protección gestionada y homogénea, no un festival de versiones distintas. La palabra que importa es gestionada. Un ESET suelto en cada PC, cada uno con su clave, sin consola, es mejor que nada y peor que un parque visible. El día que hay que saber «quién no actualiza desde marzo», la consola responde. El recuento a pie de silla no.

Qué hace bien esta capa: malware conocido y mucho del que se disfraza en descargas y adjuntos; control de lo que se ejecuta si se endurece con sentido; visibilidad de dispositivos que nadie tenía en el inventario; una respuesta más rápida cuando un puesto se pone raro. Qué no hace: leer el cerebro de quien pulsa «iniciar sesión» en una web falsa. Para eso está la capa 3. Tampoco sustituye parches de Windows, de macOS ni de Office. El agente no es un pretexto para no actualizar el sistema.

Políticas con cabeza. No todas las empresas necesitan el mismo bloqueo de dispositivos USB. Un estudio de diseño no es una notaría. Bloquear por deporte genera sombra: la gente usa el móvil y el WhatsApp, que no ves. Mejor una política que se cumple que una que se esquiva. Exclusiones: las mínimas, documentadas, revisadas. El ERP que «no va con el antivirus» a veces necesita una exclusión; a veces necesita que el fabricante deje de pedir desactivar todo.

Mac y Windows. Infofase vive en los dos mundos. Un parque mixto sin agente en los Mac es un agujero con logotipo de manzana. Las amenazas no son idénticas; la consola y el criterio sí deben ser únicos. iPhone y iPad de empresa son otra conversación (MDM, cuentas). Al menos, que el Mac de dirección no sea el único sin proteger «porque no le va nada».

Operación. Alguien mira la consola. No cada hora. Con una rutina: equipos desconectados, detecciones, fallos de actualización. El mantenimiento incluye esa rutina. Una alerta que lleva diez días en rojo no es un sistema de seguridad: es un adorno rojo. Licencias: las justas, asignadas a equipos que existen. El PC que se fue a la basura sigue consumiendo asiento si nadie lo da de baja. El cierre de año es buen momento; no esperes a diciembre si el parque rota.

ESET no es religión. Si llegas con otro fabricante corporativo bien operado, no te obligamos a un cambio por dogma. Si llegas con el antivirus gratuito del primo y sin consola, sí te diremos que PROTECT (u otro de su liga) es el salto que más visibilidad da por euro en una PYME. Partner oficial significa que sabemos licenciar y escalar; no significa que ignoremos el resto de capas.

Capa 3: las personas (phishing incluido)

El phishing no necesita un exploit elegante. Necesita prisa, un logo reconocible y un botón. Hacienda, bancos, Microsoft, el propio jefe, el proveedor de paquetería, la «factura impagada». En Canarias se suma el tono local: el ayuntamiento, la gestoría, el colegio de los niños. El correo llega al móvil a las 22:00 y se abre con una mano. La capa 3 no es humillar a quien pica. Es reducir la probabilidad y el daño.

Formación útil: ejemplos reales (anonimizados), cinco señales, un canal para avisar («he pulsado, ¿qué hago?») sin miedo al ridículo. Si el canal es el ridículo, nadie avisa y el incidente crece. Simulación de phishing: sí, con cuidado. No para poner un ranking de tontos en la pared. Para ver si el temario caló y para entrenar el músculo de «reenviar a informática» antes de introducir la clave. Una simulación al trimestre, bien explicada, vale más que un PDF de 40 páginas el día de la incorporación.

MFA. Es la medida de identidad que más barato tapa el phishing de credenciales. No es infalible (hay phishing que pide el código). Sigue siendo el salto que más empresas aún no han dado en todos los buzones. Administradores, el primero. El buzón de gerencia, también. «Es un lío» es verdad el día uno y mentira el día treinta. Microsoft 365 lo pone fácil; no usarlo es una decisión, no una fatalidad.

Hábitos que no son tecnología: no compartir contraseñas en el chat; no usar la misma en el ERP y en el club de running; no dejar la sesión de administración abierta en recepción; no clavar un USB encontrado en el parking. Suena a cartilla. El ransomware a menudo entra por lo de la cartilla, no por un APT de película.

Cuando alguien pica. El procedimiento es más importante que la charla previa. Aviso inmediato, cambio de credenciales, revisión de reglas de reenvío en el buzón (el atacante se deja una copia oculta), revisión de la consola ESET en ese puesto, y si hay cifrado, el plan de ransomware, no el de «vamos a probar a ver». La persona que avisó no es el enemigo. El enemigo es el silencio.

Concienciación que no cansa

Diez minutos, ejemplos de este mes, una norma nueva como máximo. No un curso de ocho horas cada dos años. La memoria no funciona así. Dirección debe estar en la sala: si gerencia reenvía cadenas y pide excepciones a MFA, el resto aprende ese temario, no el vuestro.

Cómo encajan las tres capas un martes normal

Un comercial abre un adjunto. ESET lo para o lo deja pasar. Si lo para, la consola avisa; alguien lo ve en el mantenimiento o en el correo de alertas. Si lo deja pasar y era benigno, el martes sigue. Si era algo nuevo y empieza a tocar el NAS, el perímetro no habría evitado el adjunto, pero la VLAN y los permisos limitan el alcance; las copias (otra capa, la de datos) permiten volver. Si el comercial no abrió el adjunto porque olía a phishing, la capa 3 ganó y nadie se enteró. Ese «nadie se enteró» es éxito, no falta de trabajo.

Otro martes: un intento de RDP desde internet. El firewall no tiene 3389 abierto. El log muestra ruido. Nadie pierde el sueño. Si 3389 estuviera abierto y la clave fuera «Invierno2024», las tres capas llegan tarde: el atacante ya está dentro, ESET puede o no ver el movimiento lateral, y las personas no pintan. El perímetro era la capa que debía haber trabajado el año pasado.

Tercer martes: un proveedor pide que abras un puerto «un rato». El firewall se documenta, se pone fecha de caducidad a la regla, se avisa. ESET no interviene. Las personas (tú) evitan la regla eterna. Así de poco épico es el encaje.

Cuarto: un Mac y un Windows reciben la misma política de actualización de agente. La consola muestra dos verdes. El inventario coincide con la realidad. Ese martes no hay historia. Los martes sin historia son el producto.

El encaje se rompe cuando cada capa tiene un dueño que no habla. El de la red no sabe que ESET está desactualizado. El de ESET no sabe que hay un WiFi paralelo. Formación la hizo un comercial de un curso online en 2022. El contacto con un único partner no es romanticismo: es que las tres capas quepan en una conversación.

Lo que no hace falta (y lo que sí, aunque no venda miedo)

No hace falta un SOC con nombre en inglés el primer año si aún tienes RDP abierto y MFA a medias. No hace falta cambiar de antivirus cada vez que un titular asusta. No hace falta bloquear internet por categorías hasta que Recursos Humanos no puede subir una nómina. No hace falta un pentest de 15.000 euros si el inventario de equipos no existe: el pentester te cobrará por descubrir lo que ya sabías si miraras.

Sí hace falta: inventario; MFA; copias 3-2-1 y una restauración ensayada; parches; consola de endpoint viva; perímetro sin puertos de moda 2008; un canal de aviso de phishing; cuentas de administrador que no se usen para el correo diario; baja de accesos el día que alguien se va. El RGPD entra aquí como obligación de proteger datos, no como miedo a la multa en abstracto. Qué espera la Agencia de tus copias está en RGPD y backups. La multa no es el único daño: el daño es no poder operar.

Seguros cibernéticos: algunos piden MFA y copias. Cumplir eso no es miedo: es alinearte con lo que ya deberías tener. Leer la letra de la póliza antes del incidente evita una segunda decepción.

Herramientas «anti-phishing» de correo (filtros, Safe Links, DMARC). Sí, como refuerzo de la capa 3, no como sustituto. Un buen filtro reduce basura. Un empleado informado reduce el resto. DMARC bien puesto reduce que otros se hagan pasar por ti; es higiene de marca y de clientes. No es un producto de miedo: es DNS bien hecho.

Cómo medirlo sin convertir la empresa en un cuartel

Indicadores que caben en una hoja. Porcentaje de puestos con agente al día. Número de detecciones reales (no el ruido) al mes. Puertos abiertos revisados en el trimestre. Porcentaje de buzones con MFA. Tiempo desde que alguien avisa un phishing hasta que se cambia la clave. Fecha de la última restauración de prueba. Fecha de la última sesión de diez minutos de concienciación. Si un indicador no cambia decisiones, sobra.

Lo que no midas: el miedo. «Nivel de amenaza global» no te dice si tu VLAN está bien. Los rankings de empleados que pican en simulaciones, si se publican, destruyen la capa 3. Úsalos en privado para formar, no para premiar.

Revisión trimestral de media hora con dirección. Tres frases: qué se paró, qué se abrió y no se cerró, qué se formó. Presupuesto del año siguiente con esas frases, no con un catálogo de módulos. Así las capas siguen vivas cuando el titular de ransomware ya no está en portada.

En Tenerife, el recambio y el técnico que puede tocar el firewall el miércoles son parte de la métrica. Una regla mal aplicada que deja sin TPV a un comercio no espera al vuelo del jueves. Partner local no es un adjetivo de marketing: es tiempo de corrección.

Preguntas frecuentes

¿Con ESET PROTECT ya puedo olvidarme del firewall?

No. Cubren cosas distintas. El agente no cierra el 3389 ni segmenta invitados. El firewall no inspecciona todos los adjuntos del Outlook con la misma lógica que el endpoint. Las tres capas, no una.

¿La concienciación de verdad sirve o la gente pica igual?

Reduce, no elimina. Junto con MFA y un canal de aviso, cambia el tamaño del incidente. Sin esas dos, la charla se olvida el jueves. No es inútil: es incompleta si va sola.

¿Sois partner ESET en Tenerife y obligáis a ese antivirus?

Somos partner y lo recomendamos cuando no hay consola corporativa. Si tu fabricante actual está bien operado, el debate es la operación, no la pegatina. No instalamos miedo para forzar un cambio.

¿Cuánto tiempo pide la formación a una PYME?

Mejor diez minutos recurrentes que una jornada anual. Dirección incluida. Un simulacro de phishing al trimestre, sin escarnio público.

¿El phishing solo llega por correo?

No. SMS, WhatsApp, llamadas que se hacen pasar por el banco o por «informática». La norma es la misma: no des claves por un canal que tú no iniciaste. El correo sigue siendo el volumen grande.

¿Por dónde empezamos si no tenemos nada de esto?

Inventario y copias que se puedan restaurar; MFA; cerrar RDP; consola de endpoint; luego el firewall si el router es un coladero; luego el hábito de formar. El orden se ajusta si ya hay un incendio. Si no lo hay, no empieces por el módulo más caro del catálogo.