Most organisations don't start with a deliberate wireless security strategy. They inherit one. A staff SSID was set up years ago, someone shared the password in onboarding, the same key ended up on personal phones, tablets, printers, meeting room screens, and the occasional contractor laptop, and now nobody wants to touch it because changing it would break everything.
That setup feels normal until you ask a few blunt questions. Who currently knows the password? Which devices are using it? What happens when an employee leaves on bad terms? Can you revoke one device without rekeying the whole site? In many environments, the answer to all four is some variation of “not cleanly”.
That's the gap at the centre of enterprise WiFi security. The issue isn't just encryption. It's identity, control, and the ability to make access decisions per user, per device, and per session. A modern wireless network should behave less like a shared front door key and more like an access system with named badges, policies, logs, and instant revocation.
Moving Beyond the Shared Password
The familiar version looks like this. The office has a “Staff” network protected by a single passphrase. IT gives it to new starters, facilities teams use it for smart TVs and printers, and long-term contractors keep it on their own devices because it's convenient. When someone leaves, the password often stays the same because rotating it means touching every device and every site.
That model was always weak. It's now operationally dangerous.
In the UK, 50% of businesses experienced a cyber security breach or attack in 2024, rising to 74% for large businesses, according to guidance cited in the enterprise WiFi security best practices summary . Wireless access control sits directly inside that risk picture because a shared password gives you almost no precision. You can let everyone in, or lock everyone out. There isn't much in between.
Why shared secrets fail in practice
A shared passphrase creates four recurring problems:
- No individual accountability. You know the SSID was used, but not which person or managed device should have had access at that moment.
- Painful offboarding. If one person or device becomes risky, the clean fix is changing the password for everyone.
- Password spread. Staff reuse it, save it on unmanaged devices, and sometimes pass it on informally.
- Flat trust. Once connected, too many users and devices land on the same broad network.
Practical rule: if removing one user requires a site-wide password change, the wireless design is already behind the organisation's risk profile.
El abandono de este modelo no consiste únicamente en hacer que la red sea más difícil de vulnerar. Se trata de sustituir un secreto por una identidad. Por eso cada vez más equipos optan por el acceso a WiFi sin contraseña tanto para el personal como para los invitados. La principal ventaja no es la novedad. Es el control. Permite aprobar un dispositivo, revocar un certificado, vincular las políticas al estado del directorio y dejar de tratar a todos los usuarios como si compartieran la misma llave para la misma puerta.
Cómo es una buena práctica hoy en día
Un punto de partida más sólido comienza con la autenticación individual para cada usuario o dispositivo. A partir de ahí, se pueden asignar diferentes niveles de acceso para el personal, los contratistas, los invitados y la tecnología operativa. También permite dejar de fingir que una impresora y el ordenador portátil del departamento financiero pertenecen al mismo nivel de confianza solo porque se conectan a través del mismo espacio radioeléctrico.
En la práctica, la seguridad de la WiFi empresarial se ha convertido tanto en un proyecto de identidad como de radiofrecuencia. Los puntos de acceso siguen importando. El controlador sigue importando. Pero la diferencia clave radica en trasladar la decisión de admisión de una nota adhesiva a una política estructurada.
Comprender los riesgos actuales de seguridad WiFi
El riesgo inalámbrico no es un único problema. Es un conjunto de puntos de fallo que se acumulan cuando las organizaciones utilizan una autenticación débil, un acceso generalizado y una visibilidad deficiente.
La superficie de ataque también es mayor de lo que muchos equipos suponen. El Informe Anual de Internet de Cisco proyectaba que para 2023 habría 3,6 dispositivos en red por persona en el Reino Unido y un total de 5500 millones de dispositivos conectados en el país, una escala destacada en este análisis sobre las mejores prácticas de control de acceso a la red . Esto es importante porque cada dispositivo conectado a la WiFi representa un posible punto de entrada, un error de configuración o una ruta de movimiento lateral.
Las amenazas que aparecen con más frecuencia
Algunos ataques inalámbricos son directos. Otros dependen de que los usuarios tomen una sola decisión de conexión incorrecta.
| Riesgo | Cómo funciona | Por qué importa |
|---|---|---|
| Puntos de acceso no autorizados | Alguien instala un AP no autorizado o crea un SSID falso que parece legítimo | Los usuarios se conectan a la red equivocada y entregan el tráfico a un atacante |
| Robo de credenciales | Los usuarios introducen credenciales corporativas en portales débiles o páginas de phishing | Las credenciales robadas pueden desbloquear mucho más que la WiFi |
| Ataques Man-in-the-middle | Un atacante se posiciona entre el cliente y el servicio | Las sesiones se pueden interceptar, alterar o monitorizar |
| Movimiento lateral | Un endpoint comprometido alcanza otros sistemas en el mismo segmento general | Un pequeño compromiso se convierte en un incidente mayor |
| Postura de IoT débil | Dispositivos con seguridad deficiente se conectan junto a los sistemas de negocio | Los atacantes se dirigen al dispositivo más fácil, no al más importante |
Un ataque de "gemelo malvado" es un ejemplo sencillo. Un atacante configura una red inalámbrica con un nombre familiar cerca de sus instalaciones. Los usuarios se conectan porque el SSID parece correcto o porque su dispositivo se une automáticamente. Si su entorno depende del criterio del usuario y de las contraseñas, esa red falsa tiene posibilidades de tener éxito. Si el entorno utiliza una sólida autenticación mutua basada en certificados, ese ataque es mucho más difícil de realizar porque el cliente también verifica la parte de la red de la conversación.
Las redes planas hacen que los pequeños errores sean costosos
El daño suele ocurrir después de la conexión. Si los dispositivos del personal, los dispositivos no gestionados y los endpoints operativos comparten un acceso a la red general, un punto de apoyo puede llegar mucho más lejos de lo que debería.
Por eso, la seguridad WiFi debe estar vinculada a la segmentación y a la aplicación de políticas, no solo al cifrado en el aire. Los equipos que trabajan en la gestión de ciberamenazas para empresas de forma más amplia suelen descubrir que el WiFi no puede quedar fuera del modelo de riesgo principal. Es parte de la misma estrategia de identidad, monitorización y contención que el resto de la red.
Un SSID seguro que deja a cada dispositivo autenticado en el mismo segmento sin restricciones no ofrece una seguridad WiFi empresarial significativa. Solo traslada el problema un paso más allá.
El núcleo de la autenticación WiFi moderna
El cambio técnico es sencillo una vez que se eliminan las siglas. WPA-Personal utiliza una clave compartida. WPA2-Enterprise y WPA3-Enterprise utilizan 802.1X para autenticar a cada usuario o dispositivo de forma individual. Ese único cambio altera todo el modelo operativo.
Para las empresas del Reino Unido, la base práctica más sólida es WPA2-Enterprise o WPA3-Enterprise con 802.1X, ya que autentica a cada usuario o dispositivo de forma individual y permite la revocación instantánea, tal como se describe en esta descripción general de seguridad de redes WiFi para empresas .
Clave compartida frente a credencial identificativa
La analogía más sencilla es el acceso a un edificio.
Una contraseña WiFi compartida es una llave que se copia para todos los que están en el edificio. Si se pierde una copia, hay que cambiar todas las cerraduras o asumir el riesgo.
802.1X es un sistema de credenciales. Cada persona o dispositivo presenta su propia identidad. La red verifica esa identidad con un motor de políticas central, normalmente un servicio RADIUS, y luego decide qué permitir. Se puede desactivar una credencial sin cambiar la experiencia de todos los demás.
Ese es el motivo práctico por el que los equipos de TI de las empresas lo adoptan. No porque las siglas parezcan más avanzadas, sino porque les otorga un control operativo que realmente pueden utilizar.
Qué hace 802.1X
En el momento de la conexión, el punto de acceso no acepta automáticamente al cliente en la red. Actúa como un punto de control y transfiere la conversación de autenticación a un sistema de políticas interno. Ese proceso le permite decidir:
- Quién se conecta. Miembro de la plantilla, contratista, dispositivo gestionado, terminal BYOD, impresora.
- Cómo han demostrado su identidad. Nombre de usuario y contraseña, certificado u otro método EAP aprobado.
- Qué sucede después. Asignación de VLAN, aplicación de ACL, asignación de roles o denegación.
La autenticación deja de ser una simple comprobación de sí o no con una única contraseña. Se convierte en una decisión de política vinculada a la identidad y al contexto.
Por qué es importante WPA3
WPA3-Enterprise eleva el nivel de seguridad y mejora el estado criptográfico de la sesión inalámbrica. Sin embargo, en las decisiones de arquitectura del día a día, es importante no tratar a WPA3 como una solución mágica. Si implementa WPA3 pero sigue confiando en una gestión de identidad débil, credenciales compartidas en rutas de respaldo o una segmentación deficiente, no habrá resuelto el problema subyacente.
Un enfoque sensato es sencillo:
- Pase primero al modo empresarial. La autenticación individual cambia su modelo de control de inmediato.
- Utilice WPA3-Enterprise donde los clientes lo admitan. Tenga en cuenta la interoperabilidad durante la migración.
- Trate el diseño de políticas como algo equivalente a la seguridad de radio. El cifrado más fuerte no solucionará un exceso de confianza generalizado.
Por qué EAP-TLS es el estándar de oro
Entre los métodos de autenticación 802.1X, EAP-TLS es en el que más confían los arquitectos para implementaciones de alta seguridad porque sustituye las contraseñas por certificados.
Esto tiene consecuencias reales:
- Resistencia al phishing. No hay ninguna contraseña WiFi que el usuario deba escribir en una página falsa.
- No hay problemas de reutilización de contraseñas. La ruta de autenticación no depende de un secreto gestionado por humanos.
- Revocación más limpia. Puede revocar un certificado o una identidad de dispositivo sin necesidad de modificar todo el entorno.
- Autenticación mutua. El cliente puede verificar el lado del servidor, lo que ayuda a proteger contra ataques de infraestructuras falsas.
Principio de diseño: si se puede engañar a un usuario para que escriba una credencial de WiFi, la ruta de inicio de sesión inalámbrico sigue formando parte de su exposición al phishing.
El despliegue de certificados conlleva trabajo. Necesita una gestión del ciclo de vida, flujos de inscripción, decisiones de PKI y compatibilidad con tipos de dispositivos mixtos. Pero una vez implementado, la seguridad de la red WiFi empresarial se vuelve mucho más predecible. Ya no depende de que los usuarios protejan una contraseña. Está imponiendo la identidad a través de credenciales gestionadas que se adaptan a un modelo de zero-trust.
Adopción del acceso federado y sin contraseñas
Los entornos inalámbricos más sólidos suelen parecer más fáciles de usar, no más difíciles. Eso sorprende a los equipos que todavía asocian la seguridad con más solicitudes de confirmación, más contraseñas y más fricción en el proceso de incorporación.
En la práctica, el acceso sin contraseñas y federado mejora tanto el control como la experiencia del usuario. El personal deja de tratar la red WiFi como una isla de inicio de sesión independiente. Los invitados dejan de lidiar con flujos de portal engorrosos que rompen la confianza antes de que lleguen a Internet.
El acceso del personal debe seguir la identidad corporativa
Para los empleados, la red WiFi no debería requerir un almacén de credenciales independiente si la empresa ya cuenta con un proveedor de identidad como Entra ID, Okta o Google Workspace. La red inalámbrica debe consumir la misma fuente de identidad que impulsa la inscripción de dispositivos, el acceso a las aplicaciones y la baja de usuarios.
Esto le proporciona un modelo operativo más limpio:
- Las nuevas incorporaciones obtienen acceso a través de los flujos de trabajo de identidad existentes.
- Los cambios de puesto heredan el nuevo acceso en función de los cambios de rol.
- Las bajas pierden el acceso cuando cambia su estado en el directorio.
- El BYOD se puede gestionar con un proceso de incorporación controlado en lugar de una confianza ciega.
El SSO es importante en este sentido porque reduce la cantidad de sistemas independientes que se desincronizan. El valor operativo de este enfoque se explica bien en este análisis sobre los beneficios del inicio de sesión único . El punto clave para las redes inalámbricas es sencillo. Cuanto menos a menudo manejen los usuarios los secretos de forma manual, menos oportunidades tendrán de filtrarlos, reutilizarlos o escribirlos incorrectamente.
El acceso sin contraseñas es un control de seguridad, no solo una función de comodidad
Cuando los equipos oyen hablar de “WiFi sin contraseñas”, a veces piensan primero en la comodidad. El motivo más de peso es la reducción de la exposición. Eliminar las contraseñas de la ruta inalámbrica suprime una gran categoría de llamadas de soporte y una gran categoría de riesgos evitables.
Un diseño sin contraseñas suele incluir:
- Incorporación basada en certificados para dispositivos gestionados del personal.
- Políticas respaldadas por directorios para que el acceso dependa del estado de la identidad.
- Reconexión silenciosa tras el primer registro, lo que garantiza una experiencia de usuario sin interrupciones.
- Revocación inmediata cuando un dispositivo o usuario deba dejar de ser de confianza.
Este es también el punto donde la elección de la plataforma es clave. Algunas organizaciones construyen en torno a su pila NAC existente y herramientas de identidad en la nube. Otras utilizan servicios gestionados de red basados en identidad. Por ejemplo, Purple es compatible con el WiFi del personal mediante 802.1X, incorporación basada en certificados e integraciones SSO con Entra ID, Google Workspace y Okta. La pregunta de diseño relevante no es la preferencia de marca, sino si la plataforma se adapta a su arquitectura de identidad, modelo de revocación y capacidad de soporte.
El acceso de invitados y visitantes puede ser seguro sin ser engorroso
El WiFi de invitados suele ir a la zaga de la seguridad del personal porque los equipos asumen que existe un dilema entre sencillez y protección. No tiene por qué ser así.
El acceso de invitados moderno puede utilizar tecnologías como Passpoint y OpenRoaming para crear conexiones cifradas y automáticas sin depender de una contraseña compartida o de un ritual repetitivo de página de inicio de sesión. La experiencia del usuario mejora porque el dispositivo reconoce un marco de acceso de confianza. La seguridad mejora porque la conexión se inicia con un comportamiento de identidad y cifrado más sólido que un SSID abierto o un Captive Portal básico.
Los usuarios no se oponen al WiFi seguro. Se oponen al WiFi que es a la vez inseguro e incómodo.
Ese es el objetivo práctico: un modelo de identidad para el personal, una ruta controlada para BYOD y un acceso de invitados que no enseñe a los usuarios a hacer clic en páginas de portal ambiguas y a confiar en la primera red que aparezca.
Diseño de una arquitectura inalámbrica Zero Trust
Zero Trust en WiFi significa una cosa por encima de todo: la conexión no equivale a la confianza. El hecho de que un dispositivo esté dentro del alcance de la radio, conozca un SSID o haya superado un paso básico de autenticación no debería conceder un acceso amplio a los recursos internos.
Un diseño inalámbrico de zero-trust viable comienza con la identidad y termina con la contención. No se trata tanto de comprar un producto etiquetado como "zero trust", sino de asegurarse de que cada decisión de acceso sea limitada, explícita y reversible. El marco de trabajo más amplio en el acceso a la red zero trust se alinea bien con el entorno inalámbrico, ya que el WiFi es uno de los lugares donde las organizaciones tienden a confiar en exceso por defecto con mayor facilidad.
Comience por la política, no por los SSIDs
Un error común es crear una gran cantidad de SSIDs para representar a diferentes grupos. Esto parece organizado, pero suele volverse caótico rápidamente. Un patrón más eficaz consiste en utilizar menos SSIDs, una autenticación más sólida y una asignación basada en políticas en segundo plano.
Por ejemplo, el mismo SSID corporativo puede ubicar a los usuarios de manera diferente según su identidad y el estado del dispositivo:
| Identidad o tipo de dispositivo | Tratamiento típico |
|---|---|
| Portátil corporativo gestionado | Segmento corporativo con acceso basado en roles |
| Dispositivo de contratista | Segmento restringido exclusivo para herramientas específicas |
| Dispositivo móvil de directivo | Acceso gestionado con controles de política más estrictos |
| Impresora o escáner | Segmento operativo aislado con acceso este-oeste limitado |
| Teléfono de invitado | Acceso exclusivo a Internet, separado de los sistemas internos |
La asignación dinámica de VLAN y las políticas basadas en roles resultan especialmente útiles. A la red no le importa a qué oficina ha entrado una persona; evalúa quién es, qué dispositivo está utilizando y qué acceso debe recibir.
Aplique el privilegio mínimo desde el primer paquete
El privilegio mínimo en redes inalámbricas no es un principio abstracto. Es una secuencia de decisiones concretas:
- Autentique la identidad con 802.1X o una alternativa aprobada.
- Clasifique el endpoint como gestionado, no gestionado, invitado o operativo.
- Asigne el rol de red según los atributos del directorio y la política.
- Restrinja el movimiento este-oeste para que un endpoint no pueda examinar libremente el resto de la infraestructura.
- Supervise el comportamiento de la sesión para detectar anomalías y revocar el acceso rápidamente si es necesario.
Este diseño limita el radio de impacto. Si un dispositivo se ve comprometido, el atacante no hereda automáticamente una visibilidad interna amplia.
Evite la falsa comodidad de lo "interno"
Muchas brechas de seguridad se agravan porque la red trata como confiable a cualquier elemento que logre acceder a la WLAN interna. Hoy en día, esa suposición es difícil de justificar. Los portátiles corporativos sufren ataques de phishing, los dispositivos móviles se pierden, el hardware IoT se distribuye con valores predeterminados débiles y los contratistas se conectan desde entornos mixtos.
«Internal WiFi» no es un límite de seguridad. Es solo un medio de transporte hasta que la directiva decida lo contrario.
Una seguridad sólida de WiFi empresarial trata cada sesión inalámbrica como no confiable hasta que se demuestre lo contrario y se limite. Eso es lo que convierte el zero trust de una frase de presentación en un diseño operativo.
Gestión segura de dispositivos heredados e IoT
Todo diseño inalámbrico limpio acaba topándose con la misma objeción. «Eso suena bien para ordenadores portátiles y teléfonos, pero ¿qué pasa con los dispositivos que no admiten 802.1X?». Es una pregunta justa. Las impresoras, los escáneres, los dispositivos médicos, los sistemas de gestión de edificios, las cámaras y el hardware especializado más antiguo a menudo no pueden ejecutar correctamente los suplicantes modernos.
La respuesta incorrecta es crear un SSID de respaldo con una contraseña WPA2-Personal compartida y llamarlo la «red IoT». Eso deshace gran parte del modelo de seguridad que acaba de crear. La contraseña se difunde. Nadie sabe qué dispositivo la está utilizando. Revocar un único punto final vuelve a ser un proceso complejo.
Por qué un SSID de respaldo compartido es un mal compromiso
Una sola contraseña para dispositivos heredados crea los mismos problemas analizados anteriormente, pero con una visibilidad aún menor. Muchos de estos puntos finales no están gestionados o lo están de forma deficiente. Algunos son difíciles de parchear. Otros se instalan y se olvidan.
Eso hace que una red de clave compartida sea peligrosa por tres razones:
- La atribución es deficiente. Sabe que un dispositivo se ha conectado, pero no si es el dispositivo aprobado que usted pretendía.
- La rotación es disruptiva. Cambiar la clave puede significar tener que configurar los dispositivos uno a uno.
- La segmentación se vuelve descuidada. Los equipos suelen agrupar los dispositivos heredados y esperar que las reglas de firewall sean suficientes.
Utilice credenciales por dispositivo donde no sea posible un 802.1X completo
Un compromiso mejor es iPSK o PPSK. Los distintos proveedores lo denominan de forma diferente, pero el principio es el mismo. Cada dispositivo obtiene su propia clave precompartida única, incluso si se comparte el SSID.
Eso le proporciona un control práctico sin necesidad de un suplicante 802.1X completo:
- Un dispositivo, una clave. Si se sustituye una impresora o se compromete una cámara, solo se revoca esa clave.
- Mejor asignación de directivas. Puede vincular una clave específica a una VLAN, un rol o una directiva de red restringida.
- Visibilidad mejorada. Los equipos de soporte pueden saber qué punto final debe estar en la red.
Esto no es equivalente a EAP-TLS basado en certificados. Es una estrategia pragmática de contención para hardware que no puede ofrecer un rendimiento superior.
Trate el IoT como una clase de riesgo, no como una clase de conveniencia
La mentalidad de diseño importa. Los dispositivos heredados y de IoT no deben ser «los elementos que van a la red fácil». Deben tratarse como una categoría de riesgo distinta con rutas de comunicación estrechamente definidas.
Un patrón sensato consiste en aislarlos de las redes de usuarios, permitir únicamente los protocolos y destinos que necesitan y documentar claramente la propiedad. Si ningún equipo se encarga del ciclo de vida de los dispositivos, la política inalámbrica por sí sola no servirá de nada. Pero si se combinan las credenciales por dispositivo con una segmentación estricta, se puede evitar que las excepciones heredadas debiliten el resto de la arquitectura inalámbrica.
Supervisión del cumplimiento y respuesta ante incidentes
Una implementación segura no termina cuando los usuarios se conectan con éxito. Las operaciones del día a día importan más que el día del lanzamiento. Si no puede ver quién se ha autenticado, qué método ha utilizado, qué rol ha recibido y qué ha cambiado antes de un incidente, su entorno inalámbrico será difícil de defender y aún más difícil de investigar.
Qué supervisar cada día
Como mínimo, los equipos de seguridad y redes deberían vigilar estos puntos de datos en sus registros inalámbricos y de RADIUS:
- Fallos de autenticación que puedan indicar intentos de fuerza bruta, problemas con los certificados o clientes mal configurados.
- Problemas repetidos de incorporación que a menudo revelan políticas rotas o tipos de dispositivos no compatibles.
- Cambios de rol inesperados, como que un dispositivo acabe en el segmento equivocado.
- Nuevos patrones de endpoints que sugieran la presencia de dispositivos no autorizados o un crecimiento no gestionado.
- Alertas de AP no autorizados y SSID duplicados (spoofed) procedentes de las herramientas de supervisión inalámbrica.
Estos registros también facilitan las labores de cumplimiento normativo. El UK GDPR y la Ley de Protección de Datos de 2018 exigen medidas técnicas y organizativas adecuadas para proteger los datos personales. En una red inalámbrica, esa expectativa se traduce en un control de acceso sólido, una segregación sensata y puntos de decisión auditables. El WiFi basado en la identidad ayuda porque proporciona eventos de acceso identificados en lugar del uso anónimo de un secreto compartido.
Los entornos de alta seguridad requieren opciones más estrictas
Para entornos que necesitan una mayor seguridad, como el sector público o la defensa, el modo WPA3-Enterprise de 192 bits es la opción más sólida disponible de las descritas aquí, y sigue basándose en 802.1X y EAP-TLS para las comprobaciones de identidad por sesión, tal y como se resume en esta guía de seguridad WiFi . Esto no elimina la necesidad de supervisión; aumenta la expectativa de que la política, la higiene de los certificados y la gestión de incidentes sean igualmente rigurosas.
Elaborar un plan de respuesta ante incidentes inalámbricos
Cuando se sospecha de un incidente inalámbrico, la velocidad importa más que la perfección. La primera respuesta debe ser estructurada:
- Identificar el alcance. ¿Qué SSID, ubicación, identidades y dispositivos están implicados?
- Contener el acceso. Revocar certificados, desactivar cuentas o poner en cuarentena el rol afectado.
- Conservar los registros. Guardar los registros de autenticación, los eventos del controlador y los cambios de identidad relacionados.
- Comprobar el movimiento lateral. Confirme si el dispositivo llegó a sistemas más allá de su segmento previsto.
- Subsanar y reforzar. Corrija la brecha de políticas, la configuración incorrecta o la debilidad de registro que hicieron posible el incidente.
Los mejores planes de respuesta a incidentes inalámbricos no comienzan con capturas de paquetes. Comienzan con saber exactamente qué identidad se conectó, qué política se aplicó y cómo revocarla de inmediato.
Su lista de comprobación de seguridad de WiFi para empresas
Un buen programa de seguridad inalámbrica no empieza por sustituir cada punto de acceso. Empieza por sustituir las suposiciones de confianza débiles. Utilice esta lista de comprobación para auditar la situación de su entorno y decidir qué cambiar primero.
Auditar el estado actual
- Buscar secretos compartidos. Enumere cada SSID que todavía utilice una contraseña común e identifique quién la conoce.
- Mapear clases de dispositivos. Separe los dispositivos del personal, invitados, BYOD, contratistas, IoT y operativos.
- Revisar los límites de confianza. Compruebe si se está concediendo algún acceso interno amplio solo porque un dispositivo se haya conectado a la WiFi.
Priorizar los cambios de control
- Migrar al personal a 802.1X. Empiece por los dispositivos gestionados y haga que la autenticación individual sea la opción predeterminada.
- Preferir el acceso basado en certificados. Utilice EAP-TLS donde el ciclo de vida de los dispositivos y los procesos de PKI puedan admitirlo.
- Vincular la WiFi a los sistemas de identidad. Los procesos de salida de empleados y los cambios de rol deberían afectar al acceso a la red de forma automática.
- Utilizar la segmentación de forma agresiva. Asigne a los usuarios y dispositivos roles, no solo SSIDs.
- Gestionar las excepciones correctamente. Utilice claves por dispositivo para el hardware heredado en lugar de una contraseña de respaldo compartida.
Reforzar las operaciones
- Supervisar los eventos de autenticación. Los inicios de sesión fallidos, los patrones de dispositivos extraños y las asignaciones de roles incorrectas deben ser visibles.
- Buscar infraestructuras no autorizadas. Esté atento a los AP no autorizados y a los nombres de red falsificados.
- Probar la revocación. Demuestre que puede eliminar a un usuario o un dispositivo de forma instantánea sin interrumpir a todos los demás.
- Documentar la propiedad. Cada clase de dispositivo debe tener un propietario de negocio y un propietario de políticas.
La seguridad de la WiFi para empresas mejora rápidamente cuando la identidad, la segmentación y la supervisión avanzan de la mano. Si solo soluciona uno de esos aspectos, los otros dos suelen convertirse en su próximo punto débil.
Si está modernizando el acceso inalámbrico y busca un enfoque de plataforma en lugar de conectar múltiples herramientas, Purple es una opción a valorar. Se centra en el WiFi basado en la identidad para invitados, empleados y entornos multi-inquilino, incluyendo el acceso de invitados sin contraseña, integraciones SSO y controles para la incorporación de dispositivos heredados, lo que lo hace relevante para los equipos que están dejando atrás las contraseñas compartidas para adoptar un modelo inalámbrico de confianza cero.
