Informe  / Seguridad

Mitigar los riesgos CONTENIDO:

de seguridad en la ++ Amenazas en la empresa
distribuida y estrategias para

periferia de la red obtener redes más seguras.

++ Tareas obligatorias en la
configuración de la red.
++ Información sobre la
Prácticas recomendadas para seguridad basada en la
nube, cumplimiento de las
las empresas distribuidas normas PCI y redes paralelas.
++ Dos métodos para aumentar
la seguridad.
Informe  / Seguridad
CUANDO SE PRODUCE
UNA INFRACCIÓN DE LA
SEGURIDAD, EL 90% DEL
Cada año, los especialistas en relaciones públicas de al menos TIEMPO PROMEDIO DE LA
una de las grandes corporaciones trabajan a contrarreloj en un
intento de explicar a un público enfadado y asustado, con razón, RESOLUCIÓN SE EMPLEA
qué ha sucedido para que su empresa pusiese en riesgo los datos EN IDENTIFICAR EL
del cliente. Lo primero que se ve afectado de forma inmediata
es la reputación de la empresa que tiene como resultado una PROBLEMA.1
pérdida de la fidelidad de la marca ya que los clientes se llevan
sus negocios a otro sitio. Y, por supuesto, las infracciones de
seguridad tienen también muchas otras consecuencias. EN LOS MÁS DE
1300 INCIDENTES DE
Impactos potenciales de una infracción de datos:
VIOLACIONES DE DATOS
++ Costes legales EN 2013:
++ Pérdida de ingresos o de productividad debido a la falta de
disponibilidad de los recursos de producción
EL 91% DE LOS
++ Multas por violación de las normas de cumplimiento INCIDENTES SE
de privacidad
ORIGINARON EN EL
++ Multas por infracción del Estándar de Seguridad de Datos
para la Industria de Tarjeta de Pago EXTERIOR.
++ Pérdida de información patentada, competitiva o intelectual
++ Pérdida de beneficios futuros como consecuencia de la
EL 88% TARDÓ MINUTOS
incapacidad de demostrar un proceso de seguridad sólido EN AFECTAR
para clientes, proveedores y socios Y AFLORAR.

EL 85% TARDÓ SEMANAS

EN DETECTARSE.

EL 45% INCORPORÓ
MALWARE.2
Oficina
central

TODOS ESTOS
PORCENTAJES
HAN AUMENTADO
SIGNIFICATIVAMENTE
DESDE EL AÑO ANTERIOR.

Como puerta de enlace a Internet, las empresas

distribuidas en la periferia de la red son muy
vulnerables ante las amenazas de seguridad.

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 2

Informe  / Seguridad LAS EMPRESAS
CON SUCURSALES
O UBICACIONES
DISTRIBUIDAS DE
RIESGOS EN LA PERIFERIA PEQUEÑO TAMAÑO
SON LAS QUE ESTÁN EN
Las empresas con cientos o miles de ubicaciones se enfrentan
a grandes desafíos constantes para mantener la seguridad de la
SITUACIÓN DE MAYOR
red y se encuentran en una situación particular de alto riesgo RIESGO DE SUFRIR
de sufrir infracciones de datos. La periferia de la red, que es INFRACCIONES DE DATOS.
la zona más vulnerable, debe protegerse muy bien frente a las
vulnerabilidades, amenazas y ataques de programas maliciosos.
Los ciberdelincuentes ven en la periferia de la red un blanco fácil EL 80% DE LAS
puesto que las ubicaciones distribuidas suelen procesar datos
altamente sensibles (como las tarjetas de crédito), pero cuentan INFRACCIONES DE
con prácticas de seguridad no muy sólidas. DATOS DEL SECTOR
Los factores que contribuyen a la debilidad de la seguridad en la MINORISTA TUVO LUGAR
periferia de las redes de empresas distribuidas son: EN ESTABLECIMIENTOS
++ Falta de soporte de TI in situ. Las medidas de seguridad CON MENOS DE
como actualizaciones del firmware y aplicación de 100 TRABAJADORES.
políticas (reglas de firewall, listas de control de acceso,
configuraciones inalámbricas y VLAN) deben llevarse a cabo
de forma regular, pero, sin personal de TI in situ, se suelen EL 24% DE LOS ATAQUES
pasar por alto con facilidad. Incluso las sucursales con
soporte de TI in situ rara vez disponen de los conocimientos
AFECTÓ AL SECTOR DE LA
propios necesarios para implementar y mantener una INFORMACIÓN Y SERVICIOS
configuración compleja de la seguridad. PROFESIONALES.
++ Ausencia de concienciación de la seguridad por parte del
empleado. En la era del BYOD o “Trae tu propio dispositivo”, EL 34% DE LAS
los dispositivos de los empleados que acceden a la red
corporativa presentan vulnerabilidades a través de puntos INFRACCIONES DE DATOS
de acceso no autorizados, ataques de suplantación de la TUVIERON REPERCUSIÓN
identidad o fraude electrónico y otros ataques de ingeniería
social. Si no cuentan con la formación adecuada, los EN LAS ORGANIZACIONES
empleados pueden poner en riesgo a la empresa al abrir FINANCIERAS.
correos electrónicos o pulsar en enlaces que permiten la
entrada de programas maliciosos en su dispositivo y en la red.
EL 20% DE LOS ATAQUES
++ Acceso a la red de clientes y de terceros. Muchas empresas
interactúan con terceros que requieren acceso a Internet.
IBA DIRIGIDO AL SECTOR DE
Por ejemplo, un proveedor HVAC puede solicitar el uso FABRICACIÓN Y SECTORES
de la red de la empresa para supervisar y ajustar los RELACIONADOS.
valores de calefacción y aire. Los kioscos dentro de los
establecimientos necesitan acceso a la red para transmitir
datos, y los clientes necesitan WiFi para sus dispositivos EL 30% DE LAS
móviles mientras realizan las compras.
INFRACCIONES DE DATOS
Con tantos agentes que necesitan acceso a Internet e innumerables SE REALIZAN A TRAVÉS DE
riesgos derivados de las violaciones de la seguridad, las empresas
deben mantenerse alerta en el desarrollo, actualización y aplicación LOS DISPOSITIVOS DE LOS
de políticas de seguridad en la periferia de la red. USUARIOS.3

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 3

Informe  / Seguridad

ARQUITECTURAS DE RED DE LA EMPRESA LA ARQUITECTURA

DISTRIBUIDA HUB-AND-SPOKE
MODELO HUB-AND-SPOKE: ACCESO CONTROLADO A UN UTILIZA VPN PARA
CENTRO DE DATOS CENTRALIZADO GARANTIZAR
“Hub-and-Spoke” es una arquitectura que aprovecha redes EL ACCESO
privadas virtuales (VPN) o puertas de enlace privadas en la nube.
Algunas redes privadas virtuales no utilizan codificación para CONTROLADO A UN
proteger la privacidad de los datos. Aunque algunas VPN suelen CENTRO DE DATOS
ofrecer seguridad, una red de solapamiento sin codificación no
encaja muy bien en la categorización de seguro o fiable. Las CENTRALIZADO.
redes VPN se deben configurar para actuar como puerta de
enlace a uno o más segmentos del entorno, aplicando requisitos
sólidos de autenticación, funciones de inspección de puntos
finales e integración con los escritorios virtuales, dispositivos de
propietario o tecnologías de puntos de venta.

Oficina
central

Establecimiento Conexiones a Internet no seguras

Red VPN segura

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 4

Informe  / Seguridad
VENTAJAS
Seguridad. Para diversas ubicaciones remotas, una
red VPN puede evitar el coste que supondría una
conexión a Internet dedicada. El mantenimiento
del establecimiento de una conexión LAN a
través de una VPN de Internet es muy bajo en
comparación con las soluciones tradicionales
de línea dedicada. Con una codificación y una
autenticación adecuadas, la arquitectura VPN
constituye una solución altamente escalable y
rentable para la transmisión segura de los datos.
Detección de amenazas. Los datos se pueden
analizar durante su transmisión por la red y
utilizar para identificar amenazas o infracciones
potenciales. La implantación de la misma
infraestructura de prevención de intrusos en el
núcleo de la red de las sucursales minimiza las
posibilidades de errores de configuración en la
periferia de la red.
Control. Las empresas encargadas de transmitir
o almacenar datos altamente sensibles
pueden sentirse más seguras al controlar la
implementación y el mantenimiento de la
arquitectura de seguridad.
RIESGOS
Errores de planificación y configuración. El uso
de una VPN exige un alto nivel de planificación
y configuración además de una actualización
regular del firmware del router y de la aplicación
de políticas de seguridad. Las redes se deben
configurar adecuadamente y mantener de
forma periódica. La existencia de segmentos
configurados de forma inadecuada puede crear
brechas en la seguridad en la red central, que los
hackers pueden aprovechar para acceder a los
datos sensibles.
La seguridad física también es importante para
impedir el robo del router/puerta de enlace de la
periferia, que se puede utilizar para acceder a las
redes corporativas y a los datos sensibles.
©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com
CLAVE PARA EL ÉXITO
Proteja la arquitectura hub-and-spoke mediante
aislamiento y segmentación. En el pasado muchas
organizaciones utilizaban una arquitectura de
firewall único o dual que dividía las redes en
segmentos en las capas 3 y 4, limitando los rangos
de direcciones IP y los puertos del Protocolo de
control de transmisión (TCP) y del Protocolo de
datagrama de usuario (UDP) que podían pasar a
un segmento o a otro. Aunque esta arquitectura
de seguridad de la red sigue siendo todavía la
más común, cada vez más organizaciones están
empezando a controlar el tráfico en las capas
superiores y a utilizar tecnologías emergentes que
facilitan la captura, el análisis y el control del tráfico.
Si desea obtener más información, consulte la
página 11, “Dos métodos para aumentar la seguridad”.
LA NUBE Y LOS SERVICIOS DE
SEGURIDAD
Muchas organizaciones quieren disfrutar del
ahorro de costes y de los procesos eficaces de
la nube, pero no quieren sacrificar los niveles
tradicionales de control y seguridad. Las
soluciones tradicionales de seguridad de redes
exigen el uso de hardware caro y con demasiadas
características, interfaces arcaicas de líneas de
comandos, cursos de formación intensiva de
varios días, programas de certificación y manuales
de 400 páginas.
Si la seguridad es demasiado compleja, aumentan
las posibilidades de errores de configuración
y consecuencias no esperadas. Para aquellas
empresas distribuidas con poco soporte de TI in
situ o con ninguno, la seguridad basada en la nube
ofrece visibilidad, configuración y control de miles
de dispositivos en cualquier punto del planeta. Lo
ideal sería que las empresas distribuidas utilizaran
soluciones de seguridad que combinasen la
inmediatez de la gestión local con la simplicidad y
el control centralizado de la nube.
5
Informe  / Seguridad
VENTAJAS
Escalabilidad y concentración. Aumentar el nivel
de la arquitectura de seguridad basada en la nube
se puede realizar de forma más sencilla y más
rentable, con menos planificación que la que exigen
las arquitecturas tradicionales basadas en hardware.
Los procesos relacionados con la seguridad, las
respuestas a las amenazas, las actualizaciones y los
parches de seguridad se pueden aplicar con mayor
rapidez a través de la arquitectura de aplicaciones
de seguridad basada en la nube.
Gestión de amenazas. El tráfico web se
puede autenticar, codificar y filtrar rápida y
dinámicamente con una latencia de casi cero.
Los ataques externos de Internet se pueden
rechazar al tiempo que se detectan e impiden los
programas maliciosos locales.
Respuesta a las amenazas. A diferencia de
muchas soluciones in situ, los registros de
sucesos y alertas se pueden filtrar de forma
dinámica a través de algoritmos basados en la
nube para obtener una supervisión más detallada
y analítica aplicable.
Enrutamiento del tráfico más flexible. Los
protocolos simplificados de seguridad y túneles
basados en la nube para proteger los datos en
transición se pueden configurar e implementar
entre los sitios remotos y las oficinas centrales
corporativas con mucha mayor rapidez y sin el
coste de las cabeceras de hardware tradicionales.
Aislamiento de datos. Las empresas pueden aislar
los datos sensibles, como la información del
titular de la tarjeta, de las aplicaciones de blanco
frecuente como el correo electrónico.
RIESGOS
Pérdida de control. En un modelo basado en la
nube, los datos y la información se almacenan
en un proveedor de terceros. Por ello, no es fácil
inspeccionar las prácticas del manejo de datos
del proveedor. Y, aunque sucede pocas veces,
siempre existe la posibilidad de que un empleado
deshonesto del proveedor de la nube comprometa
los datos.
©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com
Tiempo de resolución. Para empresas con
organizaciones dotadas con el personal de TI
necesario, los problemas relacionados con las
soluciones in situ se pueden abordar iniciando
sesión directamente en el dispositivo con el fin de
ofrecer soporte al proveedor con mayor rapidez.
Respecto a las soluciones basadas en la nube, el
personal de TI debe abrir una incidencia y trabajar
externamente para solucionar los problemas, lo
cual puede aumentar el tiempo de resolución.
Personalización. Con el nivel adecuado de
presupuesto, recursos y tiempo, las soluciones
in situ se pueden personalizar para cumplir las
necesidades de seguridad específicas de una
organización y ofrecer, al mismo tiempo, un
conjunto sólido de soluciones. En las ofertas de
seguridad basadas en la nube, el personal de TI
puede abordar las vulnerabilidades de la red pero,
a cambio, pierde un nivel de personalización en
favor de la velocidad y la escalabilidad.
Uso compartido de recursos y errores de
aislamiento. En un modelo de seguridad basado
en la nube, los clientes comparten los recursos del
proveedor con otros clientes. Los proveedores de la
nube suelen implementar medidas de aislamiento
para impedir un ataque de “abordaje al sistema
anfitrión” o un ataque pívot (en el que un hacker
aprovecha las vulnerabilidades de un sistema
operativo para obtener acceso a otro alojado en
el mismo hardware físico), pero siempre existe
el riesgo de que fallen estas medidas. Como los
servicios en la nube se ofrecen a diversos clientes
con distintos niveles de riesgo, es fundamental
la segmentación multitenencia (separación de los
recursos del usuario por proveedor de nube).
Además, es posible que el proveedor no pueda
borrar completamente los datos del hardware, ya
que los clientes suelen compartir o reutilizar el
hardware que otros clientes utilizan.
Seguridad comprometida desde dentro. Si no se
configuran con cuidado los permisos y roles de
usuario, un usuario podría suprimir o modificar
sus datos dentro de la solución en la nube. Por
ejemplo, un empleado nuevo en la solución con
acceso administrativo a la solución en la nube podría
suprimir datos importantes mientras intenta conocer
la nueva solución o un empleado malintencionado
podría comprometer los datos deliberadamente.
6
Informe  / Seguridad

Portabilidad de los datos. Puede resultar difícil, si no imposible,

trasladar datos si necesita cambiar de proveedor en la nube, a
menos que haya un acuerdo previo entre el proveedor y la empresa INCLUSO EMPRESAS
que especifique que la información es propiedad de la empresa.
QUE NO PROCESEN
PAGOS DE TARJETAS
CLAVES PARA EL ÉXITO DE CRÉDITO DEBERÍAN
Maximice y automatice los servicios en la nube con servicios CONSIDERAR LA
de gestión de amenazas. Además de implementar controles
y técnicas de aislamiento, las empresas distribuidas pueden
IMPLEMENTACIÓN
disminuir los costes y la complejidad de la red mediante la DE PCI DSS 3.0
reducción de su infraestructura hasta cierto punto y seguir
utilizando seguridad multicapa en todos los sitios. Los servicios
COMO BASE DE LA
de gestión de amenazas ofrecen una combinación de servicios SEGURIDAD GENERAL.
como protección contra malware, protección de correo electrónico
y antispam, filtrado de contenido, reglas de firewall de capa 3 y 4
MUCHOS ESTÁNDARES
tradicional, VPN y funciones de proxy web. DE SEGURIDAD PCI SE
Muchos de estos sistemas incluyen además seguridad basada
OCUPAN DE RIESGOS
en la nube, escalable y centralizada como oferta de servicio para GENERALES DE LA RED
aumentar y automatizar la inspección del tráfico y proporcionan
controles más estrictos de los sitios con herramientas de
FUERA DEL ÁMBITO
supervisión y personal limitado. DE LA SEGURIDAD DE
Para muchas empresas, el cumplimiento de la normativa es el
DATOS DEL TITULAR
motor principal de los cambios tanto en seguridad como en DE UNA TARJETA.
operaciones de TI en general. Cualquier tecnología o cambio
del diseño interno que pueda limitar o reducir el alcance del
entorno sujeto al cumplimiento puede ahorrar dinero y tiempo. El
aislamiento de sistemas, aplicaciones y segmentos de redes que
gestionan los datos de las tarjetas de pago, por ejemplo, puede
llegar muy lejos en el límite del alcance de las auditorías de las
normas PCI DSS versión 3.0.
Conexiones a Internet seguras

Conexión de red privada virtual

Oficina
central

Establecimiento

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 7

Informe  / Seguridad
ESTRATEGIAS PARA UNA RED MÁS
SEGURA
APLICAR VISIBILIDAD DE DISPOSITIVOS, LA
CLAVE DE TODA ESTRATEGIA DE SEGURIDAD
Con muchos dispositivos móviles nuevos uniéndose
a la red WLAN de la empresa, la visibilidad de las
aplicaciones móviles se está convirtiendo en un
aspecto central. Los administradores de la red
necesitan poder identificar, seguir y clasificar todos
los dispositivos que acceden a la red. La visibilidad
de dispositivos proporciona al personal de TI
inventario e inteligencia de seguridad en tiempo
real para la remediación activa al tiempo que
permite a los usuarios conectarse a la perfección
a la red sin interrupciones ni cambios en la
experiencia del usuario final.
Prácticas recomendadas para la aplicación de la
visibilidad de dispositivos:
++ Utilice diversos criterios para identificar
dispositivos además de las direcciones MAC
e IP (que pueden falsificarse) como Id. de
dispositivos e identificadores del sistema
que usen convenciones de denominación
específicas
++ Aproveche al máximo las herramientas
de auditoría y cumplimiento para ofrecer
información adicional sobre riesgos y
vulnerabilidades
++ Habilite alertas y acciones de cumplimiento
para dispositivos que intenten acceder a
la red
++ Realice auditorías de forma periódica y
mantenga las topologías de redes (lógicas y
físicas) actualizadas y precisas
++ Utilice un conjunto común de controles de
seguridad para la gestión de las políticas
++ Establezca prácticas recomendadas de
seguridad en relación con el control, riesgo
y cumplimiento
++ Colabore y comuníquese con los equipos de
dentro de la organización de TI
©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com
REDES Y DISPOSITIVOS SEGUROS
FÍSICAMENTE
El estándar de seguridad PCI exige que los
servidores, el equipo de redes y otros componentes
del sistema de tarjetas de pago se mantengan en
una sala cerrada con llave y con control de acceso,
preferiblemente con un sistema de vídeovigilancia.4
Esto disminuye el riesgo de robo de un dispositivo
con acceso a la red por parte de un individuo no
autorizado. La seguridad física de los dispositivos
también impide que los ciberdelincuentes
ataquen dispositivos ajenos al router que podrían
supervisar para robar datos de la red.
EVALUACIONES PERIÓDICAS DE SEGURIDAD
Durante una evaluación de la seguridad, un
asesor profesional “ataca” la red para identificar
y recomendar controles en torno a las debilidades
que encuentre en las arquitecturas de seguridad,
incluidas la seguridad física, la fortaleza de las
claves del dispositivo, la configuración de la red y
las vulnerabilidades del dispositivo del cliente.
Las pruebas periódicas de penetración de la red o las
evaluaciones de la seguridad son obligatorias para
el cumplimiento de las normas PCI. El objetivo es
probar el acceso desde entornos de baja seguridad
a entornos de alta seguridad. Esta práctica evalúa
si los datos del titular de la tarjeta se han aislado
de los otros segmentos de la red y comprueba que
no exista conectividad entre las redes dentro del
ámbito y fuera del ámbito (redes que contienen
los datos de los titulares de las tarjetas y las que
no contienen estos datos). Las empresas con
un alto número de prestaciones o componentes
del sistema solo pueden evaluar una muestra
del número total de componentes, aunque la
muestra debe ser lo suficientemente grande para
ofrecer una garantía razonable de que todas las
prestaciones o componentes de la empresa se han
configurado siguiendo el proceso estándar. El asesor
de seguridad debe comprobar que los controles
estandarizados y centralizados se han implementado
y que funcionan de forma eficaz.5 El estándar de
seguridad PCI recomienda realizar las pruebas de
penetración como mínimo una vez al año.
8
Informe  / Seguridad

ENSEÑAR A LOS EMPLEADOS A RECONOCER ATAQUES A

LA RED
LOS FRENTES DE
Desgraciadamente, no hay ningún firewall o programa antivirus AMENAZAS WEB Y DE
capaz de proteger la red a la perfección contra todos los tipos de
programas maliciosos. Por lo tanto, la empresa debe enseñar y CORREO ELECTRÓNICO
aplicar protocolos de seguridad de empleados. En particular, se debe CONSTITUYEN LA
formar a los empleados para que sean capaces de reconocer correos
electrónicos de suplantación de la identidad e informar de ellos. FUENTE DE ATAQUES
DE LA RED MÁS
Los empleados deben conocer las señales comunes de un correo
electrónico de suplantación de la identidad: SIGNIFICATIVA. EN
GENERAL, LOS ATAQUES
++ Se insta al empleado a hacer clic en enlaces, especialmente
en unos que no resultan familiares o que no encajan con la PROCEDENTES DE
dirección web supuesta del origen ACTIVIDADES EN LA
++ Se solicita de manera urgente que se proporcione WEB SON CINCO VECES
información, que se llame a un número de teléfono o que MÁS PROBABLES
se descarguen los archivos adjuntos
QUE LOS ATAQUES DE
++ Mala ortografía o gramática atípica CORREO ELECTRÓNICO.6

TAREAS OBLIGATORIAS EN LA CONFIGURACIÓN

DE LA RED

1. BLOQUEE LOS PUNTOS DE ENTRADA DEL ROUTER

++ Deshabilite Universal Plug & Play. No permita que usuarios

sin privilegios manipulen la configuración de la red.
++ Deshabilite los pings WAN. No permita que los hackers
sondeen las vulnerabilidades de seguridad.
++ Deshabilite la administración remota. No permita que los
intrusos puedan acceder a la interfaz de usuario del router.
++ Utilice filtrado MAC. Cree una lista de dispositivos que
tengan acceso exclusivo o ninguno a la red inalámbrica.
Aunque las direcciones MAC se pueden falsificar, crean una
barrera adicional para el ciberdelincuente.
++ Utilice las reglas de filtrado de IP. Restrinja el acceso
remoto a los sistemas de la red local.
++ No utilice direcciones IP WAN públicas a las que se puede
acceder en la periferia. De ser así, se deja la periferia de la
red abierta a los ataques.

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 9

Informe  / Seguridad
2. CONFIGURE EL FIREWALL DE LA RED
PARA CUMPLIMIENTO DE LAS NORMAS PCI
Cinco controles para el cumplimiento PCI:
++ Stateful Packet Inspection (Inspección
superficial de paquetes - SPI). Supervisa el
tráfico saliente y entrante para garantizar
que solo las respuestas válidas a las
solicitudes salientes puedan atravesar el
firewall.
++ Reglas de reenvío de puerto. Abre los
puertos en el firewall de una manera
controlada para aplicaciones específicas.
++ Antisuplantación. Comprueba los
paquetes para protegerlos contra usuarios
malintencionados que falsifican la dirección
de origen en los paquetes para ocultarse o
bien suplantar a otra persona.
++ Zona desmilitarizada. Mantiene la mayoría
de los ordenadores detrás de un firewall, y
uno o varios se ejecutan fuera del firewall,
o en la zona desmilitarizada (DMZ) con
el fin de añadir una capa de seguridad
adicional a la red de la empresa y que los
ciberdelincuentes solo puedan acceder a
los ordenadores de la red dentro de la zona
desmilitarizada.
++ Firmware actualizado. Además de ser
una práctica de seguridad importante, es
necesario que el router y el firmware del
módem estén actualizados para poder
cumplir las normas PCI.
Aunque las prácticas mejoradas de implementación,
mantenimiento y aplicación de la seguridad en la
red son estrategias importantes para reducir el
riesgo de violación de datos, recomendamos la
segmentación de la red o, incluso mejor, el uso de
redes paralelas específicas de una aplicación que
garantice que las vulnerabilidades de seguridad de
una aplicación no se puedan comprometer y dar
paso a los datos de otras aplicaciones, como los
sistemas de puntos de venta.
©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com
DOS MÉTODOS PARA AUMENTAR LA
SEGURIDAD
1. CREAR ZONAS DE SEGURIDAD MEDIANTE
LA SEGMENTACIÓN DE RED
La segmentación de red permite dividir la red en
“zonas de seguridad” o segmentos separados por
un firewall. Los segmentos configurados de forma
adecuada separan las aplicaciones e impiden
el acceso a los datos sensibles. Un sistema de
punto de venta, por ejemplo, debe operar en un
segmento de la red separado de las aplicaciones
de terceros, correo electrónico de los empleados y
WiFi público.
Esto limita la posibilidad de que los
ciberdelincuentes pasen de una aplicación a
otra, y permite que los administradores de
red gestionen la calidad del servicio (QoS) en
segmentos específicos, priorizando el uso del
ancho de banda para aplicaciones fundamentales.
Primeros pasos en la segmentación de red
La segmentación de red es un proceso complejo y
requiere una supervisión meticulosa y constante.
Esta arquitectura, aunque es altamente segura
si se configura adecuadamente, puede dar lugar
a muchos errores en la configuración. Siga estos
tres pasos para empezar:
++ Cree grupos de puertos Ethernet. La
agrupación lógica de puertos Ethernet
permite la comunicación libre entre los
ordenadores conectados físicamente a
los puertos Ethernet dentro de un grupo.
Puede deshabilitar uno o todos los SSID del
router o incluso toda la radio WiFi.
++ Utilice la infraestructura WPA2/Enterprise,
RADIUS/TACACS+ y PKI. Esto proporciona
un repositorio central para usuarios o
dispositivos con permiso para acceder a la
red y utiliza certificados para autenticar el
servidor y el dispositivo.
10
Informe  / Seguridad

++ Utilice una infraestructura PKI para
conseguir mayor seguridad.
++ Utilice autenticación de dos factores para
minimizar el robo de cuentas de usuario
que utilizan empresas terceras.
++ Cree y configure segmentos VLAN.
Una red VLAN permite la agrupación de
dispositivos. Después de crear una red
VLAN, seleccione los puertos LAN o los
grupos Ethernet a los que el Id. de VLAN
debe corresponder.
Cada segmento debe tener su propia
configuración de dirección IP, modo de
enrutamiento, control de acceso e interfaces
(por ejemplo, SSID WiFi, grupos Ethernet y VLAN).
En la actualidad no existe ninguna herramienta
que supervise y busque automáticamente
vulnerabilidades dentro de una red segmentada
o entre segmentos. Esta supervisión se debe
realizar manualmente. Por esta razón, muchas
empresas decidirán que el uso de redes paralelas
es una mejor solución, a nivel global, para
mantener seguros los datos sensibles.

Ilustr. 1. Creación de zonas seguras

mediante segmentación de red
Conexión segura a
Internet

SSID núm. 1 SSID núm. 2 SSID núm. 3 SSID núm. 4

“Empleado” “POS” “Proveedor” “Público”

Segmento Segmento de Segmento Segmento

de empleados dispositivos POS de proveedores público

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 11

Informe  / Seguridad

2. APROVECHE LA SENCILLEZ DE LAS REDES PARALELAS

A diferencia de la segmentación de una sola red, la creación de varias redes paralelas

es una solución relativamente sencilla. Se asignan diferentes aplicaciones a redes
completamente separadas (“air gap”). Esta separación física de los datos impide que
los ciberdelincuentes puedan utilizar un dispositivo comprometido para acceder a otros
servidores y redes, incluidas las que contienen datos sensibles.

Por ejemplo, la empresa debería considerar alojar la WiFi de clientes, los dispositivos
de los empleados y los sistemas de punto de ventas en sus propias y respectivas redes.
Las empresas con redes paralelas esperan que empresas terceras como proveedores,
socios y kioscos, que necesiten acceso a Internet, traigan su propia red (“Bring Your
Own Network”). Como las empresas terceras traen su propia red paralela, la compañía
puede conservar el control de sus propias funciones de red, y reducir así el alcance
global del trabajo de mantener la seguridad de la red.

Las redes paralelas reducen significativamente la cantidad de tiempo y los

conocimientos necesarios para segmentar redes por aplicaciones, y limitan el alcance
del trabajo de mantenimiento del cumplimiento de las normas PCI en la red que se
utiliza para transmitir los datos de los titulares de las tarjetas.

Sala
de equipos Oficina
Área de clientes central
Sistema de
seguridad
WiFi de empleados
Smartphone del cliente
TI
Trastienda

Punto de venta Kiosco

de terceros
Red de empleados

Ilustr. 2. Redes paralelas administradas por una fuente

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 12

Informe  / Seguridad
SOLUCIONES DE CRADLEPOINT
DISEÑADAS PARA LA SEGURIDAD EN LA
PERIFERIA DE LA RED
Los dispositivos de router/firewall y el software de
gestión basado en la nube de Cradlepoint se han
diseñado para mitigar los riesgos de seguridad y
mantener el cumplimiento de las normas PCI para
empresas distribuidas que utilizan todos los tipos
de arquitecturas de red. Un número creciente de
empresas se está pasando a las redes paralelas
al descubrir que las soluciones 4G de Cradlepoint
permiten segmentar la red de forma más sencilla y
segura. Además, las redes paralelas suelen reducir
los costes indirectos de las empresas, incluida la
necesidad de configuraciones complejas de redes
sometidas al error humano, a auditorías complejas
del cumplimiento de las normas PCI y a los valores
de la calidad del servicio (QoS) en general de las
aplicaciones específicas de la red.
ENTERPRISE CLOUD MANAGER PARA
CONTROL CENTRALIZADO
Escalabilidad masiva: Supervise y gestione miles
de dispositivos implementados de forma remota
Con Enterprise Cloud Manager, la plataforma de
aplicaciones y gestión de redes de Cradlepoint,
los directivos de TI pueden implementar
rápidamente y gestionar de forma dinámica redes
en establecimientos distribuidos geográficamente
y sucursales. Las soluciones de Cradlepoint se han
habilitado para la nube con el fin de ofrecer una
implementación rápida, una gestión dinámica y una
inteligencia mejorada. Enterprise Cloud Manager
ofrece un panel de control fuera de banda que
separa los datos de gestión de la red de los datos de
usuario. Los datos de gestión (como configuración,
estadísticas y supervisión) se transmiten desde los
dispositivos de Cradlepoint a la nube de Cradlepoint
mediante una conexión a Internet segura. Los datos
de usuario (navegación web, aplicaciones internas,
etc.) no pasan por la nube sino que se transmiten
directamente a su destino en la LAN o en la WAN.
©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com
Diseñado para la seguridad: Las características de
gestión permiten el cumplimiento de la seguridad
y el seguimiento de los dispositivos
Las funciones analíticas y la interfaz de usuario de
Enterprise Cloud Manager ayudan a automatizar
configuraciones de seguridad y listas de
comprobación, como el cumplimiento de la versión 3.0
de las normas PCI DSS. Gracias a los servicios de
geovallado y de localización, las empresas pueden
localizar físicamente y en tiempo real los dispositivos
implementados mediante GPS, WiFi e información
basada en la ubicación. Las empresas pueden recibir
notificación del momento en que los dispositivos
abandonan su ubicación habitual, reduciendo así el
riesgo de que los hackers puedan utilizar dispositivos
robados para acceder a la red.
Enterprise Cloud Manager: Una solución alojada
de forma segura
Enterprise Cloud Manager de Cradlepoint se aloja
en un recurso de almacenamiento de terceros
de alto nivel en un servidor seguro de nivel
empresarial que ofrece redundancia de equipo,
alimentación ininterrumpida, varios canales de
Internet y servicio de respaldo y restauración.
Los servidores de Enterprise Cloud Manager
presentan seguridad fortalecida, con servicios
innecesarios deshabilitados, permisos limitados
y registros supervisados. Los servidores están
sujetos a control de gestión de parches que
mantiene actualizados los parches de seguridad y
las versiones del software. Además, los servidores
y las aplicaciones pasan evaluaciones de
vulnerabilidades y remediación de forma periódica.
Todas las configuraciones de clientes residen en
este recurso físico seguro, con acceso limitado
solo a usuarios autorizados. Las contraseñas que
se almacenan dentro de las configuraciones tienen
codificaciones Advanced Encryption Standard
(Estándar de codificación avanzada - AES). El
recurso se supervisa y se registra de forma
continuada y para acceder a él es necesaria una
autenticación de varios factores.
Los registros de acceso están disponibles y se
pueden auditar.
13
Informe  / Seguridad

Ilustr. 3. Enterprise Cloud Manager

Ilustr. 4. Lista de comprobación de cumplimiento PCI de

Enterprise Cloud Manager

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 14

Informe  / Seguridad

Fácil de gestionar: Software de seguridad

integrado de más alto nivel

Gracias a una API RESTful, Cradlepoint ha

integrado en Enterprise Cloud Manager soluciones
de seguridad basadas en la nube para el
filtrado web y programas contra malware. Estas
soluciones de seguridad permiten al personal de
TI y de seguridad inspeccionar el tráfico web con
una latencia de casi cero.

Conectividad segura para funcionamiento

ininterrumpido
Ilustr. 5: Cradlepoint AER Series: Enrutamiento perimetral
Las soluciones de enrutamiento de CradlePoint se avanzado
han diseñado para que las empresas distribuidas
gestionen de manera inteligente la conectividad
inalámbrica y por cable convergente para obtener
una “experiencia de conexión” muy fiable en la
periferia. La función de red privada de LTE 4G del
router aprovecha la conexión de telefonía móvil
como extensión de la red privada sin que ello
aumente la vulnerabilidad de la red.

Seguridad en la periferia: Características de Ilustr. 6: Cradlepoint COR Series: Aplicaciones y transporte de la

hardware y software ampliables Internet de los objetos

Los dispositivos de Cradlepoint se han diseñado

para cumplir las normas PCI de protección de
activos con un firewall con estado, codificación
avanzada, segmentación de redes y soporte VLAN.
Los dispositivos de Cradlepoint también admiten
soluciones de red privada de solapamiento
independientemente del operador y opciones de
VPN avanzada.

Simplifique la configuración de seguridad con

puertos Ethernet y SSID WiFi que se pueden Ilustr. 7: Cradlepoint ARC Series: Específico de aplicación y
asignar individualmente a segmentos de red conmutación por error
específicos. La funcionalidad de prevención y
detección de intrusos examina los paquetes
en busca de ataques, programas maliciosos Fuentes
y ataques de denegación de servicio que se 1
Fuente: ZK Research Nov 2011
pueden bloquear de acuerdo con una política. 2
Fuente: Verizon 2014 Data Breach Investigations Report
Las aplicaciones se pueden identificar si su 3
4
Verizon 2014 Data Breach Investigation Report
PCI Security Standards Data Storage Dos and Don’ts,
comportamiento indica un ataque informático. https://www.pcisecuritystandards.org/pdfs/pci_fs_data_storage.pdf
5
PCI Security Standards 3.0, p.15.
6
FireEye Advanced Threat Report 2013
PARA OBTENER MÁS INFORMACIÓN, VISITE
CRADLEPOINT.COM O LLAME AL NÚMERO
DE TELÉFONO +1.855.813.3385.

©2015 Cradlepoint. Todos los derechos reservados.  | +1.855.813.3385 | cradlepoint.com 15