La clave de wifi que dan en recepción puede paralizar tu empresa: cómo separar la red de invitados de la operación (VLAN, wifi y CCTV)

El 24 de septiembre Expansión publicó algo que en ProcessBi vemos cada semana: la clave de wifi que se entrega a las visitas es el primer paso para paralizar una empresa. Si la red es una sola, quien entra por el wifi de recepción ya está al lado de tus servidores, impresoras, cámaras y sensores.

No hace falta un ataque sofisticado. Basta un proveedor con la laptop infectada o la contraseña pegada junto a la cafetera. Aquí va, sin tecnicismos, cómo se ve el problema y cómo se arregla.

Qué significa tener una red plana

Una red plana es la que se instala por default: un módem, un par de switches, un access point (el aparato que reparte el wifi) y todo conectado como si fuera un solo cable. Funciona, y por eso nadie la vuelve a tocar.

El problema es que no tiene puertas. La laptop del visitante ve el servidor de contabilidad, la cámara de la bodega y la impresora de recepción como vecinos de mesa. Y como recordó ese mismo día Imagen Radio, la persona sigue siendo el eslabón más débil. La red tiene que aguantar aunque alguien comparta la clave.

Síntomas de que tu red está plana

En nuestra experiencia, casi todas las pymes cumplen al menos dos de estos:

• Una sola clave de wifi que se saben proveedores, exempleados y la familia del dueño.
• La clave en una hoja pegada en recepción o en el pizarrón de juntas.
• Las cámaras Hikvision en el mismo switch que las PCs de oficina.
• Desde cualquier celular conectado se abre la pantalla de acceso del router o de una cámara.
• Nadie sabe cuántos aparatos están conectados ahora mismo.

Si marcaste dos, sigue leyendo. Si marcaste todos, escríbenos hoy.

Qué es segmentar (y por qué no es caro)

Segmentar es dividir la red en carriles. La herramienta se llama VLAN (red local virtual): mismo switch, mismo cableado, pero cada grupo de aparatos vive en su propio segmento y no ve a los demás. No hay que recablear. Hace falta un switch administrable, un access point que soporte varias redes y alguien que lo configure con cabeza.

Segmento	Qué va ahí	Qué puede ver
Invitados	Visitas, proveedores, candidatos	Solo internet
Operación	PCs, laptops, impresoras	Servidor y servicios internos
CCTV	Cámaras y grabador NVR	Solo el grabador y quien lo administra
IoT	Sensores LoRa, checadores, pantallas	Solo su plataforma
Administración	Router, switches, access points	Solo el equipo de TI

La red de invitados se completa con un portal cautivo: la pantalla donde la visita acepta condiciones y recibe un acceso que caduca. Así la clave deja de ser un secreto que se hereda para siempre.

ProcessBi

Lista de revisión de 10 puntos

1. La clave de invitados es distinta a la de operación y se cambia periódicamente.
2. Desde el wifi de invitados no se alcanza ninguna dirección interna.
3. Las cámaras y el NVR viven en su propia VLAN, sin salida directa a internet.
4. Los sensores IoT y los checadores están en otra VLAN.
5. Router, switches y access points solo se administran desde la red de TI.
6. El portal cautivo muestra condiciones y entrega accesos con vencimiento.
7. Hay inventario de aparatos conectados, revisado cada trimestre.
8. Las contraseñas de fábrica de cámaras, switches y router ya se cambiaron.
9. Existe un diagrama de la red que entiende alguien además del proveedor.
10. Un exempleado o exproveedor no puede volver a entrar con la clave de antes.

Dónde duele más

Una planta con sensores y cámaras en la misma red que las PCs de producción. Una sucursal donde el wifi de clientes es el que usa la terminal de cobro. Una oficina en México de una empresa extranjera donde nadie local sabe cómo está armada la red.

El arreglo es el mismo: separar carriles y dejarlo documentado. Es la lógica que aplicamos al proteger una planta o bodega.

Hablemos

¿Y en tu empresa?

Nosotros lo hacemos así: revisamos qué hay conectado, dibujamos la red, configuramos switches y access points con VLAN, montamos el portal cautivo y dejamos CCTV e IoT LoRa en su propio carril. Va incluido en las pólizas de soporte TI y como servicio en campo en todo México.

Pide un diagnóstico de red sin costo — respondemos el mismo día hábil.