La microsegmentación es una arquitectura de seguridad que divide las redes en zonas de confianza granulares y aisladas, hasta el nivel de cargas de trabajo individuales, usuarios o dispositivos, para evitar que los atacantes se muevan lateralmente tras una brecha inicial. En el Reino Unido, el 43 % de las empresas (unas 612.000 organizaciones) experimentó una brecha o ataque de ciberseguridad en los 12 meses anteriores en 2025/2026, lo que convierte a la contención en un requisito operativo en lugar de una preferencia de diseño teórica (datos de ciberseguridad del Reino Unido).
La distinción importante es que la microsegmentación no consiste en crear "más VLANs". Aplica políticas de acceso de alcance limitado entre sistemas que ya pueden compartir la misma red, centro de datos, infraestructura de WiFi o entorno de nube. Un ordenador portátil comprometido aún podría acceder a los servicios que necesita, pero no debería llegar automáticamente a un servidor financiero, un controlador de gestión del edificio, un controlador de dominio u otro dispositivo de usuario.
Esa diferencia es importante en los entornos heredados y de confianza mixta del Reino Unido. Las organizaciones a menudo operan cargas de trabajo en la nube modernas junto con aplicaciones antiguas, dispositivos no gestionados, tecnología operativa, accesos de contratistas y WiFi para invitados. Un cortafuegos perimetral puede controlar lo que entra en el entorno, pero por sí solo no puede gobernar cada conexión este - oeste una vez que un atacante ha obtenido credenciales válidas o ha comprometido un extremo interno.
Por qué la microsegmentación se ha vuelto esencial para las redes del Reino Unido
La última encuesta sobre vulneraciones de seguridad del gobierno del Reino Unido estimó que el 43% de las empresas, aproximadamente 612.000 organizaciones, experimentaron una vulneración o ataque en los últimos 12 meses, mientras que alrededor del 19%, aproximadamente 267.000 empresas, fueron víctimas de al menos un ciberdelito (cifras de vulneraciones y ataques en el Reino Unido). La misma fuente registra ciberdelitos en todos los tamaños de empresa, desde el 17% de las microempresas hasta el 48% de las grandes empresas. La contención es ahora un requisito operativo para organizaciones de todos los tamaños, no una preocupación exclusiva de instituciones financieras o departamentos gubernamentales.
Un modelo perimetral concentra las decisiones de seguridad en el extremo. Los firewalls, la detección de intrusiones en el extremo, las pasarelas de acceso remoto y los límites amplios de VLAN siguen teniendo funciones importantes, pero no pueden inspeccionar ni gobernar cada conexión de carga de trabajo a carga de trabajo dentro de una propiedad. Una vez que el phishing, las credenciales robadas, un servicio expuesto o un endpoint vulnerable facilitan el acceso, una red interna plana da margen a un atacante para explorar y pivotar.
El problema del radio de impacto
Los entornos heredados del Reino Unido suelen estar organizados por departamentos, edificios o funciones técnicas. Esas zonas amplias siguen siendo útiles para la administración, pero sus límites pueden ser demasiado imprecisos para el control de acceso moderno. Un dispositivo en una subred de personal puede acceder a servicios de archivos, sistemas de impresión, interfaces de gestión, servidores de aplicaciones y otros extremos sin que cada ruta reciba una justificación empresarial específica.
La microsegmentación crea zonas de confianza más pequeñas y aplica políticas a las relaciones dentro de ellas. Una regla puede permitir que un terminal de punto de venta se comunique con su servicio de pago, que un dispositivo clínico acceda a una plataforma de gestión específica o que una capa de aplicación consulte su base de datos. Las rutas no relacionadas pueden denegarse incluso cuando los sistemas comparten la infraestructura de conmutación.
La encuesta del Reino Unido también estimó alrededor de 8,58 millones de ciberdelitos que afectaron a empresas del Reino Unido en el año de encuesta más reciente, mientras que la prevalencia de brechas reportadas se mantuvo en el 43 % tanto en 2024/2025 como en 2025/2026, tras situarse en el 50 % en 2023/2024 (estadísticas de ciberseguridad del Reino Unido). La exposición persistente hace que los controles exclusivos de perímetro no sean adecuados para entornos de confianza mixta.
Regla práctica: Asuma que un atacante acabará consiguiendo acceso interno. Defina a qué parte de la infraestructura puede llegar ese acceso y, a continuación, reduzca ese alcance mediante políticas probadas.
El modelo Zero Trust proporciona el principio estratégico de que el acceso debe ser verificado y limitado, en lugar de heredarse de la ubicación de red. La microsegmentación es la capa de aplicación que convierte ese principio en decisiones de tráfico. Las directrices de red del sector público del Reino Unido exigen zonas aisladas y granulares basadas en la función, la sensibilidad de los datos, los grupos de usuarios y la criticidad del servicio, incluida la separación entre entornos de producción, desarrollo, pruebas y formación (Guía de red Zero Trust del Reino Unido).
El despliegue tiene éxito cuando los equipos mapean las dependencias antes de aplicar las políticas. En entornos heredados, una llamada de servicio no documentada o una conexión de gestión puede sustentar un proceso crítico, por lo que las políticas deben comenzar en modo de observación, avanzar a través de un piloto limitado y expandirse a medida que se verifiquen las excepciones. Para obtener contexto de arquitectura, la segmentación de red para empresas del Reino Unido explica los límites más amplios antes de que se introduzcan los controles a nivel de carga de trabajo.
El acceso inalámbrico pertenece al mismo diseño. El personal, los contratistas y los invitados pueden utilizar la misma infraestructura del edificio, pero las plataformas de WiFi basadas en la identidad, como las que se describen en una enterprise WiFi security guide, pueden aportar contexto sobre el usuario y el dispositivo a las decisiones de segmentación, ayudando a aplicar diferentes políticas de acceso sin tratar el WiFi como un dominio de seguridad independiente.
Cómo funciona realmente la microsegmentación
Una analogía útil es la de un edificio de oficinas seguro. El firewall perimetral es la puerta principal. Controla quién entra al edificio desde el exterior. Las VLAN son las plantas, que separan a grupos amplios como personal, invitados, servidores o equipos de las instalaciones. Los microsegmentos son las salas individuales, cada una con su propia cerradura y una política que describe quién o qué puede entrar.
Esa política suele partir de una posición de denegación por defecto. La plataforma observa una conexión entre dos cargas de trabajo, usuarios o dispositivos, y luego la permite solo cuando existe un requisito empresarial definido. El detalle importante es que el control funciona entre entidades internas, no meramente entre la red corporativa e internet.
Dónde se aplica la política
El punto de control determina qué puede ver el sistema y con qué precisión puede actuar.
- Un hipervisor o switch virtual puede inspeccionar el tráfico entre máquinas virtuales sin enviar cada flujo a un cortafuegos físico. Esto es ideal para entornos de aplicaciones virtualizadas.
- Un cortafuegos del sistema operativo host aplica controles cerca de la carga de trabajo y puede proteger sistemas ubicados en diferentes localizaciones de red.
- Un tejido de red o red definida por software aplica políticas en switches, routers o gateways. Esto evita cambios en los endpoints pero generalmente funciona con atributos de red más amplios.
- Una plataforma de acceso basada en la identidad puede vincular una decisión a una persona, dispositivo, rol o resultado de autenticación en lugar de depender únicamente de una dirección.
Este último punto es importante porque las direcciones IP cambian. Las máquinas virtuales se migran, las concesiones DHCP caducan, los dispositivos realizan itinerancia entre puntos de acceso y los recursos en la nube se vuelven a crear. Una regla vinculada únicamente a una dirección puede perder precisión. Una regla vinculada a la identidad de la carga de trabajo, el rol de la aplicación, el estado del dispositivo o el contexto del usuario autenticado tiene más probabilidades de seguir al elemento que debe proteger.
El tráfico este-oeste es el factor diferenciador
El tráfico norte - sur cruza el perímetro, como un usuario que navega por internet o un cliente externo que accede a una aplicación publicada. El tráfico este - oeste se mueve dentro del entorno, como una aplicación que llama a una base de datos o un endpoint que contacta con un servidor de archivos. Los atacantes dependen de las rutas este - oeste tras obtener acceso.
La microsegmentación gobierna esas conversaciones internas de forma directa. Puede permitir el flujo de aplicación a base de datos y, al mismo tiempo, bloquear el acceso del endpoint a la base de datos, incluso cuando ambos sistemas se encuentran dentro de una zona amplia de servidores o de campus. En entornos WiFi, el diseño basado en la identidad también ayuda a traducir la autenticación en ubicación de red. Las herramientas como un diseñador de subredes iPSK pueden dar soporte a la separación deliberada para dispositivos que no pueden utilizar la autenticación de usuario moderna.
El desafío operativo consiste en elegir la granularidad de política adecuada. Una regla demasiado amplia recrea una confianza implícita. Una regla demasiado estrecha puede romper dependencias legítimas. Las implementaciones eficaces comienzan con la observación de la comunicación y luego refinan las rutas permitidas.
Comparación de enfoques basados en agentes, basados en red y basados en host
Los modelos de implementación varían según la infraestructura. La elección correcta depende de los sistemas operativos, los límites de propiedad, los requisitos de visibilidad y la tolerancia al cambio en los terminales. En un entorno del Reino Unido de confianza mixta, esas limitaciones suelen importar más que la arquitectura preferida sobre el papel.
Los controles basados en agentes instalan un componente ligero en cada carga de trabajo protegida. El agente puede identificar la comunicación a nivel de proceso y aplicar la política cerca del sistema operativo. Esto es adecuado para cargas de trabajo virtuales y en la nube, donde la identidad de la carga de trabajo puede cambiar con más frecuencia que la ubicación física de la red. También proporciona a los equipos de seguridad pruebas más claras sobre qué proceso inició una conexión.
La contrapartida es el esfuerzo de implementación. Es posible que los sistemas operativos heredados, los appliances no compatibles, los servidores de producción estrechamente controlados y los dispositivos no gestionados no acepten un agente. Los equipos necesitan procesos para la gestión de versiones, la supervisión del estado, la gestión de excepciones y la aprobación formal allí donde la instalación de software afecte a la producción.
Los controles basados en la red aplican políticas en conmutadores, routers, pasarelas o en una infraestructura definida por software. Evitan realizar cambios en cada endpoint, lo que los hace prácticos para redes de campus, IoT, infraestructura de invitados y equipos que no pueden ejecutar un agente. Su limitación es el contexto. Pueden clasificar el tráfico por dirección, puerto, segmento o categoría de dispositivo sin identificar el proceso que hay detrás de un flujo este-oeste cifrado.
Los controles basados en host utilizan cortafuegos nativos del sistema operativo y una gestión de configuración centralizada. Para un entorno de confianza mixta, esto puede proporcionar un punto de partida práctico sin añadir otra plataforma de aplicación. El control sigue dependiendo de un despliegue disciplinado, auditorías y eliminaciones cuando los sistemas cambian. Una configuración incoherente genera una desviación de las políticas y dificulta la resolución de problemas posterior.
| Criterio | Basado en agentes | Basado en red | Basado en host |
|---|---|---|---|
| Ubicación de aplicación | Carga de trabajo o endpoint | Switch, router, gateway o fabric | Firewall nativo del sistema operativo |
| Visibilidad | A menudo consciente de procesos y cargas de trabajo | Normalmente consciente de redes y flujos | Fuerte en el host protegido |
| Compatibilidad con sistemas heredados | Puede estar limitada por el sistema operativo o el dispositivo | Adecuada para dispositivos que no pueden ejecutar agentes | Depende de la capacidad del sistema operativo |
| Carga operativa | Despliegue, actualizaciones y comprobaciones de estado de los agentes | Diseño de fabric, integración y gestión de reglas | Control de configuración y consistencia de políticas |
| Mejor encaje | Cargas de trabajo en centros de datos y nube | Campus, IoT, entornos de invitados y no gestionados | Entornos mixtos y programas incrementales |
| Principal debilidad | Brechas de cobertura donde no se pueden instalar agentes | Contexto de identidad y proceso más impreciso | Complejidad de gestión a escala |
Las implementaciones híbridas reflejan cómo se construyen los entornos reales. Una empresa puede aplicar políticas a través de agentes para cargas de trabajo de aplicaciones, controles de red para cámaras y sistemas de edificios, y firewalls de host para servidores situados entre ambos grupos. El diseño debe basarse en el mapeo de dependencias y la aplicación por fases, en lugar de forzar a cada dispositivo a entrar en un único modelo.
Los servicios de identidad añaden una entrada de control independiente. Un proveedor de cloud RADIUS puede conectar eventos de autenticación con el acceso a la red basado en roles, ayudando a asignar políticas a identidades de usuarios o dispositivos en la capa de acceso. Esto respalda la segmentación para WiFi y otras infraestructuras compartidas, pero no sustituye a los controles a nivel de carga de trabajo ni a los cortafuegos de host.
El diseño más sólido suele aceptar las limitaciones de la infraestructura existente en lugar de tratar cada dispositivo como una carga de trabajo en la nube moderna.
Casos de uso reales: desde WiFi hasta entornos multiinquilino
La microsegmentación resulta más fácil de justificar cuando resuelve un problema de acceso visible. El WiFi para invitados es el ejemplo más sencillo. Un visitante necesita acceso a Internet, pero no debería heredar una ruta hacia las aplicaciones del personal porque ambas redes utilizan los mismos puntos de acceso y la misma infraestructura de conmutación.
Una plataforma basada en la identidad puede asignar usuarios a diferentes VLAN o zonas de confianza después de la autenticación. Las credenciales del personal pueden generar un perfil de acceso, las de los contratistas otro y los invitados un perfil restringido. Esto es más seguro que confiar en una contraseña de invitado compartida, porque una contraseña filtrada no se convierte automáticamente en una clave para la red interna.
Entornos de IoT y sector sanitario
Los dispositivos IoT merecen un modelo de políticas independiente porque a menudo tienen una capacidad de seguridad limitada y ciclos de sustitución largos. Una cámara de CCTV puede necesitar acceder a una plataforma de grabación y a un servicio de gestión, pero no debería iniciar conexiones con ordenadores portátiles de usuarios. Un controlador de HVAC puede requerir una ruta de gestión de instalaciones, mientras que un terminal de pago debería comunicarse únicamente con sus servicios de pago y gestión autorizados.
Los entornos sanitarios añaden sensibilidad operativa. Los equipos clínicos, los terminales administrativos, los servicios orientados al paciente y los sistemas de las instalaciones pueden tener diferentes propietarios y requisitos de disponibilidad. El enfoque más sensato consiste en definir los flujos necesarios, aislar los grupos de dispositivos y monitorizar las excepciones, en lugar de colocar todos los dispositivos en una única red "confiable" y permisiva.
Propiedades comerciales multiinquilino
Los edificios multiinquilino introducen un problema de límites diferente. Un propietario puede proporcionar conectividad física compartida mientras que cada inquilino espera un aislamiento lógico de todos los demás inquilinos. Cada inquilino necesita su propia política de acceso, límite administrativo y ruta a los servicios compartidos aprobados, como el acceso a internet o los servicios del edificio.
La política como código puede hacer que la incorporación sea repetible. En lugar de modificar manualmente las configuraciones de los conmutadores para cada nuevo inquilino, el operador define un perfil de inquilino y lo aplica a través de los sistemas de red e identidad. El resultado es una separación que puede extenderse a través del acceso cableado, el acceso inalámbrico y los extremos de SD-WAN.
Los equipos que evalúen este modelo deben comprender la diferencia entre inquilinos aislados y cuentas simplemente separadas. Una explicación práctica sobre cómo comprender los inquilinos de SaaS resulta de utilidad, ya que el mismo principio se aplica a los servicios de red: que la infraestructura sea compartida no significa que la confianza deba ser compartida.
Purple se puede integrar con proveedores de identidad y RADIUS para asignar el acceso a la red de acuerdo con la identidad del usuario o del dispositivo, incluyendo la asignación dinámica basada en roles y el aislamiento para WiFi multiinquilino. En la práctica, esto lo convierte en un componente de una arquitectura de segmentación más amplia. La plataforma de acceso decide a dónde pertenece una conexión, mientras que los firewalls, conmutadores, hosts y controles de carga de trabajo determinan a qué puede llegar esa conexión.
Dónde reduce más el riesgo la microsegmentación
La microsegmentación no es principalmente un ejercicio de cumplimiento para el centro de datos. Aporta el mayor valor allí donde un compromiso en un grupo de confianza podría exponer sistemas con una función operativa muy diferente.
La guía de tecnología operativa del NCSC describe la microsegmentación como la división de zonas en unidades más pequeñas basadas en cargas de trabajo, aplicaciones o funciones de los dispositivos, potencialmente hasta llegar a dispositivos, servicios o protocolos individuales (guía de microsegmentación de OT del NCSC). Ese enfoque es más útil que tratar cada entorno como una red IP genérica. Un controlador industrial, un sistema de gestión de edificios y un ordenador portátil corporativo necesitan protecciones diferentes y reglas de comunicación distintas.
Priorice las vías de fallo más costosas
Una red de campus plana crea rutas innecesarias entre endpoints, servicios de archivos, sistemas de impresión, plataformas de voz e interfaces administrativas. La solución no siempre pasa por un rediseño completo. Una política dirigida en torno a la administración privilegiada, los servidores confidenciales, el acceso de terceros y las clases de dispositivos puede eliminar primero las rutas más peligrosas.
| Punto crítico de riesgo | Estrategia de segmentación | Reducción del radio de impacto |
|---|---|---|
| Acceso de invitados | Separar la identidad y el tráfico de los invitados de los servicios corporativos, con política de solo internet cuando corresponda | Una vulneración de un invitado permanece dentro de la zona de confianza de invitados |
| Dispositivos IoT | Permitir únicamente los flujos de gestión y servicio requeridos | Un dispositivo vulnerable no puede sondear libremente las redes de usuarios o servidores |
| Acceso de contratistas | Asignar una zona limitada en el tiempo o específica para el rol con rutas restringidas | Las credenciales de terceros no proporcionan un alcance interno general |
| Servidores de aplicaciones heredados | Utilizar controles de host o de red cuando los agentes no sean viables, permitiendo después las dependencias documentadas | Una carga de trabajo heredada comprometida tiene menos rutas hacia los sistemas adyacentes |
| Sistemas de OT e instalaciones | Separar las zonas operativas de la TI corporativa y examinar las comunicaciones entre zonas | El ransomware en la TI tiene una ruta más difícil hacia los sistemas sensibles a la seguridad o la disponibilidad |
El NCSC aconseja basar las decisiones de segmentación en la protección que requieren los activos, su necesidad de interactuar con otros activos y el grado en que se confía en su integridad. Esto hace que la priorización guiada por el riesgo sea más defendible que segmentar por modas organizativas.
Los problemas de rendimiento siguen mereciendo pruebas. La ubicación de las políticas, el cifrado, el método de inspección y la capacidad del dispositivo afectan al resultado, por lo que la afirmación genérica de rendimiento de un proveedor no sustituye a un piloto en el entorno de destino. La sobrecarga operativa es real, pero también lo es el coste de dejar implícitas las rutas de alto valor.
Implementación de la microsegmentación sin romper los sistemas heredados
El programa más seguro comienza con la observación, no con el bloqueo. En el modo de solo monitorización, recopile registros de flujo e información de los extremos sin modificar el tráfico de producción. Los TAP de red, los colectores NetFlow, la telemetría de switches y el descubrimiento basado en agentes pueden revelar qué sistemas se comunican, qué conexiones son persistentes y qué excepciones "temporales" se han convertido en dependencias comerciales.
Descubra la infraestructura antes de escribir las reglas
El inventario por sí solo no es suficiente. Elabore un mapa de cada aplicación con sus servicios de soporte, propietarios, sensibilidad de los datos y criticidad operativa. Registre llamadas de servicio no documentadas, rutas administrativas, tráfico de copias de seguridad, conexiones de monitorización y acceso de proveedores. Una política basada en un diagrama de arquitectura de hace años fallará tan pronto como se enfrente a la realidad de la infraestructura.
El NCSC recomienda documentar cómo se planificará, diseñará, aplicará y supervisará la segmentación para que cualquier compromiso quede confinado al segmento afectado (guía de planificación de segmentación del NCSC). Esa documentación debe ser un registro operativo, no un documento de diseño único.
Avance mediante un control por fases
Utilice un enfoque estructurado:
- Descubrir: capturar los flujos este-oeste e identificar a los propietarios de activos, aplicaciones, protocolos y dispositivos desconocidos.
- Planificar: agrupar los activos por función empresarial, sensibilidad, confianza y dependencia. Redactar políticas de permisos a partir de los requisitos observados.
- Pilotar: probar las políticas con un grupo de carga de trabajo representativo, preferiblemente en modo de prueba o preproducción. Confirmar que las rutas de monitorización, copia de seguridad, administración y soporte siguen funcionando.
- Aplicar: comenzar con restricciones de alta confianza, como el acceso de invitados a la red corporativa o las rutas de IoT al controlador de dominio. Expandir solo después de que los propietarios del servicio validen el resultado.
Mantenga los procedimientos de reversión de forma práctica. Defina quién puede desactivar una política, qué ventana de cambio se aplica, qué pruebas activan la reversión y cómo se registra la decisión. Mantenga un registro de excepciones para los sistemas heredados que no admitan agentes o controles modernos, incluyendo un propietario, un control compensatorio, una fecha de revisión y una condición de eliminación.
Disciplina de despliegue: si nadie es responsable de una excepción, no es una excepción. Es un acceso permanente no documentado.
La investigación sobre confianza cero en el Reino Unido citada por el sector informa que el 92% de las organizaciones actualmente segmentan sus redes, pero distingue esa segmentación general de la microsegmentación a nivel de carga de trabajo (UK zero-trust adoption data). Esa distinción debería definir los informes del programa. Una red segmentada no es necesariamente una red de mínimo privilegio.
Cómo conectar la microsegmentación con su estrategia de Zero Trust
El zero trust se vuelve aplicable cuando la microsegmentación aplica la identidad, el contexto del dispositivo, la propiedad de la aplicación y las decisiones de mínimo privilegio al tráfico interno. Sin ese punto de control, la verificación suele terminar en el inicio de sesión.
Conecte los servicios de directorio, RADIUS, las señales de endpoints, la identidad de las cargas de trabajo y los motores de políticas para que las decisiones de acceso afecten a los entornos inalámbricos, cableados, de nube y SD-WAN. En los entornos del sector público del Reino Unido, esto respalda la separación entre producción, desarrollo, pruebas y formación, al tiempo que se adapta a redes de confianza mixta.
Trate los controles como una disciplina operativa. Revise las dependencias, elimine las excepciones obsoletas, pruebe los cambios de política y vuelva a evaluar las zonas a medida que cambien las aplicaciones o la propiedad. Comience con una ruta de alto valor que tenga una propiedad empresarial clara, y luego expándase una vez que se entiendan sus dependencias.
Audite primero el acceso de invitados, la administración privilegiada, los dispositivos de IoT e instalaciones, y las dependencias de aplicaciones heredadas. Seleccione un método de aplicación que cada área pueda admitir, documente los flujos requeridos y planifique los controles por fases en función del riesgo operativo. Esto hace que preguntarse qué es la microsegmentación sea útil como cuestión de diseño y gobernanza.
Purple conecta el acceso WiFi basado en la identidad con el aislamiento de roles e inquilinos a través de políticas y asignación de red gestionadas por RADIUS para usuarios o dispositivos. Visite Purple para evaluar cómo su plataforma de red podría encajar en un programa más amplio de microsegmentación y zero-trust en entornos de invitados, personal y multiinquilino.
