Cómo proteger a los empleados remotos e híbridos: laptops, Wi-Fi de casa, VPN y actualizaciones

Para proteger a los empleados remotos e híbridos, entregue a cada uno una laptop administrada por la empresa, exija autenticación multifactor en todas las cuentas de trabajo, cifre el equipo, mantenga el sistema operativo y las aplicaciones actualizándose de forma automática y acceda a los sistemas de la empresa a través de una VPN o de un servicio de acceso de confianza cero (zero trust), en lugar de exponerlos a internet. Sume unos cuantos conceptos básicos de la red doméstica (un router con soporte vigente, Wi-Fi con WPA2 o WPA3 y la contraseña de administrador cambiada) y habrá cubierto los riesgos que más importan. Esta guía recorre cada capa y explica cómo implementarla sin frenar a su equipo.

Por qué el trabajo remoto cambia el panorama de seguridad

En la oficina, su firewall, su Wi-Fi y su personal de TI están entre los empleados e internet. En casa, la laptop está en una red que usted no controla, a menudo junto a dispositivos personales, televisores inteligentes y computadoras familiares. El equipo de trabajo y la forma en que llega a los datos de la empresa se convierten en su nuevo perímetro.

La guía del NIST sobre teletrabajo y acceso remoto (SP 800-46) parte de la misma premisa: planifique como si las redes externas que usa su personal fueran hostiles y proteja el equipo y la conexión en consecuencia. No necesita asegurar la casa de cada empleado. Necesita que la laptop y las cuentas de la empresa sean lo bastante sólidas como para que una red doméstica débil importe poco.

Capa 1: laptops propiedad de la empresa y administradas

La decisión más eficaz es mantener el trabajo en equipos que la empresa posee y administra.

Qué debe significar "administrado"

• Administración centralizada mediante una herramienta como Microsoft Intune u otra plataforma de administración de dispositivos móviles (MDM), para que TI pueda aplicar configuraciones, instalar software y ver qué equipos están en buen estado.
• Cifrado completo del disco (BitLocker en Windows, FileVault en macOS) para que una laptop perdida o robada no se convierta en una filtración de datos. La FTC recomienda el cifrado en los equipos usados para trabajo remoto.
• Cuentas de usuario estándar para el trabajo diario, con los permisos de administrador separados y usados solo cuando hagan falta.
• Protección de endpoints (antivirus moderno con detección y respuesta) que reporte a una consola que alguien revise de verdad.
• Bloqueo de pantalla tras un breve periodo de inactividad y un método de inicio de sesión sólido, como Windows Hello o un PIN respaldado por el chip de seguridad del equipo.
• Bloqueo y borrado remotos para equipos perdidos y empleados que dejan la empresa.

Dispositivos personales

Si el personal usa teléfonos personales para el correo o Teams, mantenga los datos de la empresa dentro de aplicaciones administradas con políticas de protección de aplicaciones, en lugar de administrar todo el dispositivo personal. Defina por escrito qué dispositivos personales se permiten y para qué.

Capa 2: conceptos básicos del Wi-Fi y el router de casa

No puede administrar cada router doméstico, pero sí puede dar a los empleados una lista breve. La guía de la NSA para proteger redes domésticas y los consejos de la FTC sobre acceso remoto coinciden en lo básico:

1. Use un router que siga recibiendo actualizaciones del fabricante y active las actualizaciones automáticas de firmware si están disponibles. Reemplace los equipos que el fabricante ya no soporta.
2. Use cifrado WPA3, o WPA2 si WPA3 no está disponible, con una contraseña de Wi-Fi larga y única.
3. Cambie la contraseña de administrador predeterminada del router y desactive la administración remota desde internet.
4. Coloque los dispositivos inteligentes y a los invitados en una red separada si el router lo permite, para que la laptop de trabajo no comparta segmento de red con todos los aparatos de la casa.
5. Evite el Wi-Fi público abierto para trabajar, o use la VPN de la empresa cuando no haya alternativa. Un punto de acceso desde el teléfono suele ser mejor opción en una cafetería o un aeropuerto.

Para los puestos que manejan datos especialmente sensibles, algunas empresas entregan un router o firewall administrado por la empresa para la oficina en casa. Es un paso sensato para directivos, finanzas y cualquier persona con acceso de administrador.

Capa 3: VPN o acceso de confianza cero

Los empleados necesitan llegar a carpetas compartidas, aplicaciones del negocio y escritorios remotos. La forma en que llegan importa.

Qué debe evitar

Nunca exponga el Escritorio remoto (RDP) ni los puertos para compartir archivos directamente a internet. Los servicios de acceso remoto expuestos a internet son un blanco frecuente, y el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA incluye con regularidad fallas en equipos VPN y productos de acceso remoto. Lo que use debe actualizarse con rapidez.

Opción A: una VPN empresarial

Una VPN crea un túnel cifrado desde la laptop hasta su red. Es una tecnología bien conocida y sirve para la mayoría de las oficinas pequeñas. Hágala más segura así:

• exija MFA en cada inicio de sesión de la VPN;
• permita conectarse solo a equipos administrados por la empresa;
• mantenga el equipo o servicio VPN actualizado sin demoras;
• limite lo que los usuarios de la VPN pueden alcanzar, en lugar de darles acceso a toda la red.

Opción B: acceso de confianza cero

La confianza cero, tal como la describe el NIST en la publicación SP 800-207, significa que ningún equipo ni usuario es de confianza solo por estar "dentro" de la red. Cada solicitud a una aplicación se comprueba: quién es el usuario, si el equipo está administrado y en buen estado, y si esa persona debe llegar a esa aplicación. En la práctica, las pequeñas empresas lo logran con herramientas como el acceso condicional de Microsoft Entra, proxies de aplicaciones o servicios de acceso a la red de confianza cero (ZTNA) que publican aplicaciones concretas en lugar de toda la red.

Muchas empresas ya trabajan casi por completo en Microsoft 365 o Google Workspace. Para ellas, los controles al estilo de confianza cero (MFA, comprobación del cumplimiento del equipo, políticas de riesgo de inicio de sesión) suelen importar más que una VPN tradicional.

	VPN tradicional	Acceso de confianza cero
A qué llegan los usuarios	Normalmente a un segmento de red	A aplicaciones concretas
Comprobación del equipo	Opcional	Integrada (equipo administrado y en buen estado)
Uso ideal	Servidores de archivos locales, aplicaciones antiguas	Aplicaciones en la nube, entornos mixtos
Requisito clave	MFA y actualizaciones rápidas	Buena gestión de identidades y equipos

Capa 4: actualizaciones que se instalan sin pedir permiso

Las laptops remotas pierden actualizaciones cuando casi nunca se conectan a la red de la oficina. Resuélvalo con políticas, no con recordatorios:

• configure Windows Update para empresas o su MDM para instalar las actualizaciones de seguridad automáticamente, con una fecha límite que obligue a reiniciar;
• actualice de forma automática los navegadores, las aplicaciones de Microsoft 365, los lectores de PDF y los clientes VPN;
• revise cada semana un informe de cumplimiento y dé seguimiento a los equipos que no se han reportado;
• bloquee el acceso a los datos de la empresa desde equipos muy desactualizados, mediante acceso condicional cuando esté disponible.

La campaña Secure Our World de CISA incluye las actualizaciones de software entre los cuatro pasos básicos que promueve, junto con las contraseñas seguras, la MFA y saber reconocer el phishing.

Capa 5: personas y hábitos

• MFA en todas partes, de preferencia con una aplicación de autenticación o métodos resistentes al phishing, como las passkeys o las llaves de seguridad.
• Una vía clara para reportar un equipo perdido o un mensaje sospechoso, disponible también fuera del horario de oficina.
• Bloquee la pantalla al alejarse, incluso en casa.
• Separe el uso laboral del familiar: nada de cuentas compartidas en la laptop de trabajo.
• Guarde los archivos en ubicaciones aprobadas por la empresa (OneDrive, SharePoint, su servidor de archivos), no en el escritorio ni en nubes personales, para que tengan copia de seguridad y protección.

Lista de verificación para el trabajador remoto

• Laptop de la empresa inscrita en la administración de dispositivos
• Cifrado completo del disco, protección de endpoints y actualizaciones automáticas activados
• MFA en el correo, la VPN y todas las aplicaciones en la nube
• VPN o acceso de confianza cero, sin RDP abierto a internet
• Router de casa actualizado, WPA2/WPA3 y contraseña de administrador cambiada
• Procedimiento para equipos perdidos y salidas de personal con borrado remoto
• Breve capacitación anual y una forma sencilla de reportar problemas

El trabajo remoto e híbrido puede ser tan seguro como la oficina cuando el equipo, la identidad y la conexión se administran de forma deliberada. Si desea ayuda para implementar estas capas para su equipo en Miami-Dade o en cualquier parte del sur de la Florida, solicite una evaluación de TI gratuita y revisaremos con usted su configuración actual.

Fuentes

• NIST SP 800-46 Rev. 2: Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security
• NIST SP 800-207: Zero Trust Architecture
• Cybersecurity for Small Business: Secure Remote Access (FTC)
• NSA Releases Best Practices for Securing Your Home Network
• Known Exploited Vulnerabilities Catalog (CISA)
• Secure Our World (CISA)