Cyber Essentials y WiFi para empleados: Cómo cumplir los cinco controles en su red inalámbrica

Para cumplir con los cinco controles de Cyber Essentials en su red inalámbrica, debe asegurar el WiFi del personal mediante el estándar 802.1X o iPSK. La integración de plataformas como Cisco Meraki le permite aplicar controles de acceso de usuarios individuales, parchear el firmware en un plazo de 14 días y aplicar MFA para proteger los dispositivos dentro del alcance.

¿Qué exige Cyber Essentials al WiFi de su personal?

Cyber Essentials es el esquema respaldado por el gobierno del Reino Unido que certifica cinco controles técnicos contra ataques comunes provenientes de internet. El National Cyber Security Centre (NCSC) es el propietario de los requisitos técnicos. IASME ha gestionado el esquema como socio del NCSC desde abril de 2020. Las evaluaciones realizadas a partir del 28 de abril de 2025 utilizan el conjunto de preguntas Willow, el cual se alinea con la versión 3.2 de los requisitos del NCSC.

El cuestionario no tiene un capítulo independiente para redes inalámbricas. En su lugar, el WiFi del personal aparece dentro de cada uno de los controles. Los puntos de acceso, los controladores inalámbricos y el panel en la nube que los administra son servicios o dispositivos dentro del alcance. Las computadoras portátiles y los teléfonos conectados al SSID del personal (el nombre de la red a la que se unen sus empleados) son dispositivos de usuario final dentro del alcance si acceden a datos o servicios de la organización.

Esta guía se encuentra bajo el pilar de WiFi para el personal de Purple, el cual abarca el acceso de empleados basado en la identidad sobre el hardware que ya ejecuta. Aquí reducimos esto a una pregunta práctica: ¿qué configuraciones inalámbricas aprueban una evaluación de Cyber Essentials o Cyber Essentials Plus, y cuáles la reprueban?

¿Por qué el WiFi del personal define tantas auditorías?

Tres características del esquema colocan a su red inalámbrica en el centro de atención.

Alcance. Los requisitos del NCSC incluyen los dispositivos inalámbricos, incluidos los puntos de acceso, dentro del alcance cuando pueden comunicarse con otros dispositivos a través de internet. Todos los puntos de acceso administrados desde la nube hacen esto por diseño.

Traiga su propio dispositivo (BYOD). Desde que la versión 3.0 de los requisitos entró en vigor en enero de 2022, los dispositivos propiedad del personal que acceden a datos o servicios de la organización están dentro del alcance. Un SSID para el personal que permite el acceso a teléfonos personales puede agregar discretamente docenas de dispositivos a su evaluación. Los dispositivos utilizados únicamente para aplicaciones MFA, llamadas de voz y mensajes de texto quedan excluidos.

Verificación. Cyber Essentials Plus verifica las respuestas de su autoevaluación con respecto a su infraestructura real. Una red de personal configurada hace años por un contratista rara vez supera esa comparación sin cambios.

¿Cómo se aplican los cinco controles a su red inalámbrica?

Firewalls y dispositivos perimetrales

Cada dispositivo dentro del alcance debe estar protegido por un firewall o dispositivo perimetral correctamente configurado. Para las redes inalámbricas, los requisitos plantean tres puntos específicos:

• Contraseñas predeterminadas. El router o firewall que transporta el tráfico del WiFi del personal debe cambiar su contraseña administrativa predeterminada por una contraseña segura.
• Exposición de la interfaz de administración. La interfaz de administración del firewall no debe ser accesible desde internet. La excepción es una necesidad empresarial documentada, protegida mediante MFA o una lista de IP permitidas.
• Reglas de entrada. Cada regla de entrada requiere una justificación empresarial documentada. Elimine la regla cuando esa necesidad finalice.

El equipo inalámbrico suele fallar en el segundo punto. Un reenvío de puertos configurado hace años para soporte remoto puede dejar la página de administración web local de un punto de acceso accesible desde Internet.

El control también cubre dispositivos en redes no seguras. Las computadoras portátiles del personal utilizadas en puntos de acceso públicos, incluidas las redes para huéspedes de hoteles, necesitan tener activado su firewall por software.

Guest WiFi no es en sí mismo un dispositivo de frontera. Los requisitos le permiten excluir un subconjunto de su red del alcance, siempre que un firewall o VLAN lo segregue de los sistemas dentro del alcance. Una VLAN (LAN virtual) es una red lógicamente independiente que funciona a través de switches y puntos de acceso compartidos. Coloque el tráfico de invitados y del personal en VLAN independientes, bloquee el enrutamiento entre ellos y describa esa separación en su declaración de alcance.

Configuración segura

Este control le pide que elimine lo que no necesita y cambie lo que se envía de forma insegura. En el lado inalámbrico, eso significa:

• Cambiar las credenciales de administrador predeterminadas en cada punto de acceso, controlador y dispositivo de gestión.
• Eliminar o deshabilitar cuentas locales no utilizadas, incluidas las cuentas de soporte del proveedor que nunca activó.
• Deshabilitar los servicios de gestión que no utilice, como el acceso HTTP no cifrado o Telnet a los puntos de acceso.
• Aplicar las reglas de contraseña del requisito a cada credencial que desbloquee equipos de red.

Las reglas de contraseña son específicas. Utilice MFA, o un mínimo de 12 caracteres, o un mínimo de ocho caracteres con un bloqueo automático para contraseñas comunes. Proteja contra intentos de fuerza bruta con limitación de intentos, o bloquee la cuenta después de no más de 10 intentos fallidos.

Si mantiene una red WPA2-PSK (clave precompartida) para dispositivos heredados, recomendamos aplicar los mismos mínimos a su frase de contraseña. Una frase de contraseña compartida sigue siendo una contraseña y abre una ruta hacia su red.

Control de acceso de usuarios

En este control es donde la mayoría de los diseños de WiFi para el personal tienen problemas. Requiere que:

• Cada persona tenga su propia cuenta, aprobada antes de ser emitida.
• Las cuentas se eliminen o deshabiliten cuando ya no sean necesarias, incluso cuando alguien deje la empresa.
• Las cuentas administrativas se utilicen únicamente para la administración, se mantengan separadas de las cuentas cotidianas y nunca se utilicen para correo electrónico o navegación.
• Se exija MFA en los servicios en la nube siempre que el servicio lo ofrezca.

Su panel de control inalámbrico en la nube es un servicio en la nube. Si sus puntos de acceso se gestionan en el panel de Cisco Meraki, Juniper Mist o una plataforma similar, cada inicio de sesión de administrador requiere MFA.

El SSID del personal en sí es la pregunta más difícil, y la respondemos por completo en la sección WPA2-PSK a continuación.

Protección contra malware

Cada computadora de escritorio, portátil, tableta y teléfono dentro del alcance necesita software antimalware o una lista de aplicaciones permitidas. El control no tiene una configuración inalámbrica directa. Llega a la WiFi de su personal a través de los dispositivos que admite.

Si los teléfonos personales se unen al SSID de su personal y abren el correo electrónico de la empresa, cada teléfono debe cumplir con este control. Debe poder demostrar que lo hace.

Gestión de actualizaciones de seguridad

El firmware se considera software. Los puntos de acceso, controladores y routers con capacidad inalámbrica deben ejecutar firmware compatible con el proveedor. Las actualizaciones de gravedad alta y crítica deben instalarse dentro de los 14 días posteriores a su publicación. Gravedad alta y crítica significa una puntuación CVSS v3 de 7 o superior, o cualquier corrección en la que el proveedor no especifique la gravedad.

Los puntos de acceso que han alcanzado el fin de su soporte no cumplen con este control de manera definitiva. Debe eliminarlos o segregarlos fuera del alcance. Revise el aviso de fin de vida útil de cada modelo en su red antes de realizar el envío. Una infraestructura minorista o hotelera construida a lo largo de los años a menudo oculta uno o dos modelos descontinuados.

¿Qué puntos del cuestionario pueden afectar negativamente una WiFi de empleados mal configurada?

Las preguntas de Willow están agrupadas por control en lugar de por tecnología. Estos son los puntos relevantes para redes inalámbricas que suelen tomar por sorpresa a los equipos de TI, expresados como temas en lugar de números de pregunta:

• Descripción del alcance. ¿Menciona su equipo inalámbrico y explica cómo se segrega el tráfico de invitados?
• Credenciales predeterminadas. ¿Ha cambiado las credenciales predeterminadas en cada punto de acceso, controlador y router?
• Exposición de la interfaz de administración. ¿Cualquier persona puede acceder a una página de gestión inalámbrica desde Internet?
• MFA en la administración. ¿Se exige MFA en su panel inalámbrico en la nube para cada cuenta de administrador?
• Separación de cuentas de administrador. ¿Cuentas de administrador nominativas gestionan la WiFi, en lugar de un inicio de sesión "admin" compartido?
• Proceso para bajas de empleados. Cuando alguien deja la empresa, ¿termina su acceso a la WiFi o conserva una clave compartida?
• Política de contraseñas. ¿Su política establecida cubre el equipo de red y cualquier frase de contraseña PSK?
• Actualización de firmware. ¿Cada punto de acceso cuenta con firmware compatible y parcheado dentro de los 14 días para correcciones altas y críticas?
• Inventario de BYOD. ¿Ha registrado los dispositivos personales en su SSID de empleados que acceden a datos de la organización?
• Redes no confiables. ¿Las computadoras portátiles del personal mantienen activo su firewall de software cuando se conectan a una WiFi pública o de invitados?

La siguiente tabla relaciona cada control con la falla inalámbrica que encontrará un evaluador y la configuración que la resuelve.

Control	Área de preguntas inalámbricas	No aprueba la evaluación	Aprueba la evaluación
Firewalls	Exposición de la interfaz de administración	Interfaz web de administración del punto de acceso accesible mediante reenvío de puertos	Gestión accesible solo de forma interna, o detrás de MFA o una lista de acceso de IP
Firewalls	Separación de invitados	Invitados y personal en una sola red plana	VLAN independientes sin enrutamiento entre invitados y personal
Configuración segura	Credenciales predeterminadas	Contraseña de administración de fábrica en el controlador o en los puntos de acceso	Credenciales únicas que cumplen con la regla de 12 caracteres, se eliminaron los valores predeterminados
Control de acceso de usuarios	Cuentas individuales	Una clave WPA2-PSK compartida por todo el personal y contratistas	802.1X o iPSK, una credencial por persona o dispositivo
Control de acceso de usuarios	Plano de gestión	Inicio de sesión en el panel de la nube sin MFA	MFA obligatorio para cada cuenta de administrador
Protección contra malware	BYOD	Teléfonos personales no gestionados leyendo correo de la empresa en la WiFi del personal	Teléfonos personales movidos a la WiFi de invitados, o listados y cumpliendo con el control
Actualizaciones de seguridad	Firmware	Puntos de acceso en fin de vida útil aún en servicio	Modelos compatibles, parches altos y críticos en un plazo de 14 días

¿WPA2-PSK aprueba el control de acceso de usuarios?

No de forma limpia. Los requisitos no prohíben WPA2-PSK por su nombre. Sin embargo, sí exigen cuentas individuales y la revocación del acceso cuando alguien se va. Una sola clave compartida no ofrece ninguna de las dos cosas. Si alguien que deja la empresa conoce la clave, su único recurso es cambiarla en cada dispositivo que la utilice.

Dos alternativas le ofrecen un control por persona.

802.1X es el estándar IEEE para el control de acceso a la red basado en puertos. En WiFi, funciona como WPA2-Enterprise o WPA3-Enterprise. Cada persona o dispositivo se autentica en un servidor RADIUS, el servicio que verifica las credenciales y otorga acceso a la red. El intercambio utiliza un método EAP como EAP-TLS (basado en certificados), EAP-TTLS o PEAP (ambos tunelizan credenciales dentro de TLS).

iPSK (clave precompartida de identidad, llamada PPSK o PSK privada por algunos proveedores) emite una clave única por persona o dispositivo en un solo SSID. Los dispositivos que solo admiten una frase de contraseña aún se conectan, y usted puede revocar cada clave de manera individual.

Método de SSID para el personal	Revocación por persona	Ajuste con el control de acceso de usuarios	Manejo de BYOD	Soporte de dispositivos	A quién se adapta
WPA2-PSK, una clave compartida	No, requiere rotar la clave en cada dispositivo	Débil, sin cuentas individuales	Deficiente, sin forma de distinguir dispositivos personales de corporativos	Todos los dispositivos WiFi	Redes heredadas exclusivamente, segregadas fuera del alcance
iPSK o PPSK	Sí, por clave	Bueno, una clave por persona o dispositivo	Sí, cada dispositivo personal recibe su propia clave	Todos los dispositivos que acepten una frase de contraseña	Entornos mixtos con escáneres, cajas registradoras e IoT que no pueden ejecutar 802.1X
802.1X con EAP-TTLS o PEAP	Sí, por cuenta	Sólido, vinculado a cuentas individuales	Sí, con identidad en cada sesión	Laptops, teléfonos y tabletas modernos	Personal de oficina y áreas administrativas con cuentas de directorio
802.1X con certificados EAP-TLS	Sí, por certificado	El más sólido, sin contraseñas que robar	Solo dispositivos gestionados, a menos que emita certificados BYOD	Dispositivos que pueda inscribir con certificados	Flotas corporativas gestionadas

Si debe mantener una red PSK, segréguela en su propia VLAN. Restríjala a dispositivos que no puedan funcionar de mejor manera, documente la razón de su existencia y rote la frase de contraseña cuando se vaya cualquier persona que la conozca.

¿Cómo evalúa Cyber Essentials Plus la WiFi de su personal?

Cyber Essentials Plus utiliza los mismos requisitos que la certificación básica. Un evaluador los verifica mediante pruebas prácticas. La auditoría Plus debe completarse dentro de los tres meses posteriores a la obtención de su certificado básico.

La especificación de la prueba cubre:

• Un escaneo externo de vulnerabilidades de sus direcciones IP orientadas a Internet.
• Un escaneo interno de vulnerabilidades de una muestra de dispositivos de usuario final.
• Verifica que los dispositivos muestreados tengan instalados los parches de seguridad y ejecuten protección contra software malicioso, utilizando archivos de prueba enviados por correo electrónico y navegador.
• Una verificación de que el MFA se exija en los servicios en la nube dentro del alcance.
• Una verificación de que las cuentas de administrador estén separadas de las cuentas de uso diario.

La especificación no contiene una prueba dedicada a ataques inalámbricos por aire. Su WiFi se manifiesta de otras cuatro maneras.

1. El escaneo externo detecta cualquier punto de acceso, controlador o página de gestión del router expuesta a internet. El firmware sin parches con una vulnerabilidad conocida aparece como un hallazgo alto o crítico.
2. La muestra de dispositivos incluye computadoras portátiles y teléfonos que se conectan a través del SSID de su personal, incluyendo dispositivos BYOD si están dentro del alcance.
3. La verificación de MFA puede incluir su panel inalámbrico en la nube si lo registró como un servicio dentro del alcance.
4. La verificación de cuentas puede exponer inicios de sesión de administrador compartidos en la gestión inalámbrica.

Corrija la exposición antes de que llegue el evaluador. Una página de gestión que un escaneo de puertos pueda encontrar se convertirá en un hallazgo.

¿Dónde se ubica Purple en su red inalámbrica existente?

Purple es una superposición en la nube independiente del hardware. Purple Staff WiFi funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet, sin necesidad de reemplazar la infraestructura existente.

En su controlador actual, la red del personal se convierte en un SSID WPA2-Enterprise (802.1X) sin Captive Portal. Un Captive Portal es la página web de inicio de sesión que los invitados ven normalmente. La autenticación se realiza mediante el RADIUS en la nube de Purple sobre RadSec, el cual envuelve el tráfico RADIUS en TLS. Un certificado que usted instala en su controlador asegura ese enlace. Se configuran dos servidores RADIUS de Purple para garantizar redundancia. Passpoint (Hotspot 2.0, el estándar que permite a los dispositivos conectarse automáticamente utilizando credenciales guardadas) funciona con EAP-TTLS, por lo que los dispositivos registrados se conectan sin mostrar solicitudes.

Nuestros artículos de soporte contienen las configuraciones exactas para cada plataforma:

• Staff WiFi en Juniper Mist
• Staff WiFi en Cisco Meraki

Para obtener una visión más amplia sobre otros proveedores, consulte Cómo configurar WPA2-Enterprise en plataformas comunes de puntos de acceso (Cisco, Aruba, Ubiquiti).

Así es como esto se relaciona con el cuestionario:

• Control de acceso de usuarios. Cada sesión lleva una identidad individual, no una clave compartida.
• Bajas de personal. Los procesos de altas, cambios y bajas (JML) en Microsoft Entra ID, Okta o Google Workspace gestionan el acceso a la WiFi, por lo que deshabilitar una cuenta revoca el acceso de esa persona.
• Configuración segura. Las credenciales RADIUS viajan dentro de TLS en lugar de viajar abiertas a través de internet.
• Garantía de proveedores. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR, lo cual ayuda cuando su evaluador pregunte sobre servicios de terceros.

Purple procesó 440 millones de inicios de sesión en 2024 en más de 80,000 ubicaciones activas, según datos de la propia plataforma de Purple.

Dos escenarios prácticos

Un hotel de 200 habitaciones con una clave compartida para el personal

Situación. Un hotel de 200 habitaciones operaba con sus 85 empleados en una sola red WPA2-PSK. La clave no se había cambiado desde la apertura cuatro años atrás. El personal contratista y de limpieza por agencia la conocían. Un reenvío de puertos del instalador original dejaba la interfaz web de administración del controlador accesible desde internet, aún con su contraseña de fábrica.

Lo que se hizo. El gerente de TI cerró el reenvío de puertos y cambió todas las credenciales predeterminadas. Implementaron MFA en el panel de control en la nube y asignaron a cada administrador una cuenta nominativa. El personal se migró a un SSID 802.1X a través de Purple, con acceso vinculado al directorio del hotel. Las tabletas del personal de limpieza que no podían ejecutar 802.1X se trasladaron a una VLAN segregada con su propia frase de paso. El WiFi para invitados se mantuvo en una VLAN separada sin ruta hacia los sistemas del personal.

Resultado. Las claves compartidas en la red del personal pasaron de una a cero. Dar de baja a un empleado saliente pasó de implicar el cambio de clave en más de 120 dispositivos a simplemente deshabilitar una cuenta de directorio. El cuestionario se envió sin respuestas de red inalámbrica fuera de cumplimiento. Los hoteles con alta rotación de personal son los que más perciben este cambio, ya que antes cada baja requería cambiar la clave de nuevo.

Una cadena minorista de 40 tiendas preparándose para Plus

Situación. Una cadena de Retail con 40 tiendas contaba con el nivel básico de Cyber Essentials y programó su evaluación Plus. Alrededor de 300 teléfonos personales usaban el SSID del personal, principalmente para navegar durante sus descansos. Un escaneo externo previo a la evaluación detectó la administración remota habilitada en los enrutadores de las tiendas, con una versión de firmware que tenía una advertencia de seguridad de alta gravedad.

Lo que se hizo. El equipo deshabilitó la administración remota y aplicó el parche de firmware dentro del plazo de 14 días. Posteriormente, trasladaron los teléfonos personales a la red de invitados, la cual estaba segregada y fuera del alcance de la auditoría. Solo los teléfonos de los gerentes de tienda, que consultaban el correo institucional, mantuvieron el acceso de personal, cada uno con su propia clave iPSK y registro en la gestión de dispositivos. Los escáneres portátiles recibieron claves iPSK individuales por dispositivo.

Resultado. Los dispositivos BYOD dentro del alcance de la auditoría se redujeron de aproximadamente 300 a 45. El nuevo escaneo externo arrojó cero hallazgos de gravedad alta o crítica en los equipos de red inalámbrica o enrutadores. La auditoría Plus se cerró dentro del plazo de tres meses.

¿Cuáles son los límites que debe conocer?

Cyber Essentials no es un estándar de seguridad para redes inalámbricas. Establece una línea base contra ataques provenientes de internet. No evalúa puntos de acceso no autorizados, ataques de radiofrecuencia ni detección de intrusiones en redes inalámbricas. Aprobarlo no significa que su WiFi esté completamente blindado.

Las oficinas multiinquilino necesitan más de un SSID para el personal. Cuando varias organizaciones comparten un edificio, una sola red de personal no puede mantener separados los dispositivos de cada inquilino. La tecnología iPSK ubica los dispositivos de cada inquilino en su propio segmento sobre un solo SSID, que es la forma en que Purple Multi-Tenant WiFi aborda los edificios compartidos. Los centros del sector público, las oficinas gubernamentales y los pisos de coworking suelen entrar en esta categoría.

Los dispositivos heredados limitan sus opciones. Las cajas registradoras, los escáneres y algunos equipos médicos o de gestión de edificios no pueden ejecutar 802.1X. Planifique para iPSK o una red PSK segregada en lugar de forzarlos a una autenticación Enterprise. El mismo patrón se aplica en entornos de Healthcare, donde los dispositivos clínicos a menudo comparten el espacio de radio con el personal.

Las redes de invitados aún pueden importar. La segregación mantiene el WiFi de invitados fuera de su alcance de Cyber Essentials. No elimina sus obligaciones de GDPR para cualquier dato de invitados que recopile. Si utiliza Purple Guest WiFi, el complemento SecurePass es nuestra respuesta del lado del invitado cuando la discusión sobre el límite se extiende al tráfico de invitados.

¿Qué debería hacer a continuación?

1. Obtenga su declaración de alcance y liste cada punto de acceso, controlador y modelo de enrutador, con la versión de firmware y el estado de soporte.
2. Ejecute un escaneo de puertos externos de sus propias IP públicas antes de que lo haga un evaluador.
3. Aplique MFA y cuentas con nombre en su panel de control de administración inalámbrica.
4. Decida qué método de SSID de personal en la tabla de comparación se adapta a cada clase de dispositivo.
5. Mueva los dispositivos personales que no necesiten datos de la organización a su red de invitados.

Consulte también: Purple Staff WiFi, para acceso de empleados basado en identidad en su hardware existente. Purple SecurePass, para la respuesta del lado del invitado a la pregunta sobre dispositivos límite. Purple Multi-Tenant WiFi, para iPSK en oficinas multiinquilino donde una sola SSID de personal no funcionará.

Preguntas frecuentes

¿Purple Staff WiFi funciona con los puntos de acceso que ya poseemos?

Sí. Purple es independiente del hardware y se ejecuta como una superposición en la nube en Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Configura un SSID WPA2-Enterprise en su controlador existente y apunta la autenticación al RADIUS-as-a-Service en la nube de Purple a través de RadSec. Nuestros artículos de soporte brindan las configuraciones exactas por plataforma, por lo que cambia la configuración en lugar de reemplazar el hardware antes de su evaluación.

¿Tenemos que eliminar WPA2-PSK para pasar Cyber Essentials?

No, los requisitos no prohíben WPA2-PSK por su nombre. Una sola clave compartida dificulta la defensa de sus respuestas de control de acceso de usuarios, ya que no se puede eliminar para una sola persona cuando se va. Mueva al personal a 802.1X o iPSK. Mantenga cualquier red PSK restante segregada en su propia VLAN, restringida a dispositivos heredados y documentada, con una frase de contraseña que cumpla con la regla de 12 caracteres.

¿Nuestro WiFi de invitados está dentro del alcance de Cyber Essentials?

No si lo segrega correctamente. Los requisitos del NCSC le permiten excluir un subconjunto de su red del alcance cuando un firewall o VLAN lo separa de los sistemas dentro del alcance. Coloque el tráfico de invitados en su propia VLAN, bloquee el enrutamiento a las redes del personal y a los sistemas corporativos, y describa esa separación en su declaración de alcance. Las computadoras portátiles del personal que se conectan a la red de invitados aún necesitan tener habilitado su firewall de software.

¿Los teléfonos personales del personal en el SSID del personal están dentro del alcance?

Sí, si acceden a datos o servicios de la organización, como el correo electrónico de la empresa. Desde la versión 3.0 de los requisitos, los dispositivos BYOD que acceden a datos de la organización están dentro del alcance y deben cumplir con los cinco controles. Los teléfonos utilizados únicamente para aplicaciones de MFA, llamadas y mensajes de texto quedan excluidos. Mover los dispositivos personales que solo necesitan acceso a Internet a su red de invitados segregada es la forma más rápida de reducir el alcance.

¿Cyber Essentials Plus prueba nuestra red inalámbrica directamente?

No, la especificación de prueba Plus no tiene una prueba inalámbrica por aire dedicada. Su WiFi se examina de forma indirecta. El escaneo externo detecta páginas de administración de puntos de acceso o controladores expuestas y firmware vulnerable. La muestra de dispositivos incluye laptops y teléfonos en su SSID de personal. La verificación de MFA puede cubrir su panel inalámbrico en la nube. Corrija la exposición de la administración y el firmware antes de programar al evaluador.

¿Cuánto trabajo implica migrar la red WiFi del personal a 802.1X antes de nuestra evaluación?

El lado del controlador es un cambio de SSID en su hardware existente. Agrega seguridad Enterprise, los servidores RADIUS de Purple y un certificado RadSec, tal como se establece en nuestros artículos de soporte por proveedor. La mayor parte del esfuerzo se centra en la incorporación de dispositivos: inscribir laptops y teléfonos y decidir qué dispositivos heredados necesitan iPSK en su lugar. Planifique ese inventario primero, ya que también responde a las preguntas sobre BYOD.

¿Es Purple seguro y cumple con las normativas?

Sí. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR. La plataforma se fundó en 2012 y mantiene un tiempo de actividad del 99.999%. Cuando su evaluador le pregunte cómo manejan los servicios en la nube de terceros la autenticación del personal, puede señalar estas credenciales. La plataforma de Purple registró 440 millones de inicios de sesión en 2024 en más de 80,000 ubicaciones activas, prestando servicio a 350 millones de usuarios.