Red segura para una PyME: qué comprar, en qué orden y qué puedes posponer (guía 2026)

La red de una empresa pequeña casi nunca se diseñó. Se fue acumulando: el módem que dejó el proveedor, un switch comprado en la papelería, el router WiFi que sobró de una casa, las cámaras conectadas donde cupo el cable. Funciona. Hasta que un martes a las tres de la tarde deja de funcionar y nadie sabe por dónde empezar.

Esta guía es el orden en que nosotros ordenaríamos esa red si fuera nuestra. No es una lista de compras: es una secuencia. Cada paso enlaza a una nota más larga del diario, y cada uno dice qué puede esperar.

Primero saber qué tienes, luego cerrar lo obvio, y solo entonces comprar.

Paso 0: saber qué tienes

Antes de gastar un peso, una tarde con papel y lápiz. Qué equipo hace de puerta a internet, quién lo administra (muchas veces el proveedor, no tú), qué contraseñas hay y quién las conoce, qué está conectado a qué. Cuántas cámaras, cuántas computadoras, cuántos celulares en el WiFi, si hay un servidor y dónde está.

Lo que no está en esa lista no se puede proteger, porque nadie sabe que existe. Es el paso más barato de todos y el que casi nadie da. Es también lo primero que hacemos en una auditoría de red.

Paso 1: la puerta

El equipo que separa tu red de internet es el firewall. El del proveedor trae uno con la configuración de fábrica. Lo primero no es comprar otro: es cerrar lo obvio en el que ya tienes.

• Cambiar las credenciales de fábrica, y que las conozca una persona, no media oficina.
• Apagar la administración desde internet. Viene encendida en muchos equipos y nadie la pidió.
• Cerrar las reglas temporales que llevan años. El puerto que se abrió para que un proveedor entrara "un momento".

Cuándo hace falta un firewall propio, qué hace y qué no, está en la nota del firewall. El resumen: cuando necesitas control, registros y separar zonas, el del proveedor ya no alcanza.

Paso 2: separar la red

Una red plana es una red donde el WiFi de los clientes ve la contabilidad, y las cámaras ven el servidor. Todo se habla con todo. Un equipo infectado alcanza a los demás sin obstáculo.

Separar en zonas (invitados, cámaras, trabajo, y si aplica, administración) es lo que más riesgo quita por menos dinero. Necesita un firewall que lo soporte y un switch que entienda de redes virtuales, no el de la papelería. Esa es la diferencia real entre un switch de oficina y uno administrable, y por eso el barato no alcanza aunque tenga los mismos puertos.

Paso 3: WiFi que aguante el negocio

El módem del proveedor da internet. No da una red inalámbrica pensada para un local con público, varias paredes y decenas de dispositivos. Un punto de acceso empresarial se monta en el techo donde está la gente, emite varias redes separadas sobre las zonas del paso anterior y se administra desde un solo lugar.

Cuándo se justifica y cuándo es gasto de más está en WiFi empresarial o el módem del proveedor. Antes de comprar, medir: dónde hay cable, dónde hay concreto y cuántos dispositivos hay de verdad.

Paso 4: el cableado y el gabinete

Todo lo anterior vive en cables. Si están sueltos por el piso, sin etiquetar y conectados directo al switch, el día de la falla nadie sabe cuál es cuál. Un gabinete con panel de parcheo, organizadores y una barra de contactos respaldada no es estética: es lo que hace que la red se recupere en la primera caída.

Cómo se ve bien hecho, con fotos de un trabajo real, en el cuarto de comunicaciones. Y una regla: el cable que va dentro de la pared se instala una vez. Vale la pena hacerlo bien esa vez.

Paso 5: respaldos

Aquí está el paso que convierte todo lo anterior en algo que sobrevive a un mal día. Un firewall configurado y una red separada reducen el riesgo; no lo eliminan. Lo que decide si la empresa sigue el jueves después de un ransomware el miércoles es si hay una copia de los datos fuera del alcance del ataque, y si alguien probó que se puede restaurar.

Qué es un respaldo de verdad y qué solo lo parece está en la regla 3-2-1.

Paso 6: la gente y las actualizaciones

Lo más común no es un ataque sofisticado. Es una contraseña repetida, un correo con una liga falsa, un equipo que lleva dos años sin actualizar porque "funciona". Tres cosas que no cuestan dinero:

• Verificación en dos pasos en el correo de la empresa y en todo lo que la tenga disponible.
• Contraseñas únicas y largas, con un gestor, no en un cuaderno ni en un archivo de Excel.
• Actualizar el firmware del firewall, del switch y de los puntos de acceso, con calendario.

Lo que puede esperar

No todo es urgente, y comprarlo todo el primer día es la forma más segura de gastar bien en el momento equivocado.

• VPN entre sucursales o SD-WAN, si hoy solo tienes una ubicación.
• Un firewall de gama alta con todas las licencias para un negocio de ocho personas. Primero el tamaño correcto.
• Un servidor de almacenamiento grande antes de tener resuelto el respaldo pequeño.
• Cámaras nuevas cuando el problema real es que las actuales están en la misma red que la caja.

Lo que esta guía no resuelve

No sustituye un levantamiento en sitio: cada local tiene paredes, cables y hábitos distintos. No cubre el cumplimiento de una norma específica de tu sector, que puede cambiar equipos y licencias. Y no decide por ti cuánto vale una hora de tu negocio parado, que es el número que al final dimensiona todo.

El caso que se repite

Un negocio de la zona industrial de Tijuana con oficina y almacén: el WiFi de los visitantes con la misma clave que el de la oficina, las cámaras en la misma red que las computadoras de facturación, el módem administrado por el proveedor con la contraseña de la etiqueta. Un solo equipo infectado y todo queda al alcance. Nada de eso requería comprar nada para empezar a arreglarse; requería el paso 0.

Si tuvieras que hacer una sola cosa esta semana, es esa lista. Con ella en la mano, los pasos siguientes se ordenan solos, y cada compra tiene una razón que puedes explicar en una junta.