Cómo configurar el trabajo remoto de forma segura para sus empleados

En resumen: El trabajo remoto seguro no depende de una sola herramienta, sino de un conjunto de controles por capas. Comience con la autenticación multifactor y una VPN, implemente una política para los dispositivos y después agregue monitoreo. Cada capa aborda un punto de falla diferente. Si omite una, las demás compensan menos de lo que cree.

Lo que necesita

• Un proveedor de identidad o servicio de directorio (Microsoft 365 / Azure AD funciona bien para la mayoría de las pequeñas empresas)
• Una VPN de nivel empresarial o una solución de Acceso a la Red de Confianza Cero (ZTNA)
• Autenticación multifactor (MFA) aplicada a nivel de cuenta
• Software de protección de endpoints en cada dispositivo que acceda a datos de la empresa
• Una política escrita de uso aceptable y dispositivos, aunque sea de una sola página
• Filtrado de DNS o de contenido web
• Una solución de copias de seguridad que cubra los endpoints remotos

No necesita una complejidad de nivel empresarial. Sí necesita cubrir cada categoría.

Paso 1: Proteja primero la identidad

Todo acceso no autorizado al trabajo remoto comienza con una credencial. Corrija eso antes que cualquier otra cosa.

1. Active MFA en todas las cuentas: correo electrónico, almacenamiento en la nube, aplicaciones del negocio y su VPN. Las aplicaciones de autenticación (Microsoft Authenticator, Google Authenticator) son más seguras que los códigos por SMS.
2. Audite quién tiene acceso a qué. El trabajo remoto suele revelar cuentas con permisos excesivos que nadie había detectado en la oficina.
3. Configure políticas de acceso condicional si su plataforma las admite. Microsoft 365 le permite bloquear inicios de sesión desde países inesperados o dispositivos no administrados. Eso por sí solo detiene una gran cantidad de ataques.
4. Exija contraseñas únicas y seguras. Un administrador de contraseñas elimina la excusa de la incomodidad.

La identidad es ahora el perímetro. El firewall de la oficina es prácticamente irrelevante cuando su personal inicia sesión desde una red doméstica.

Paso 2: Cifre la conexión con una VPN o ZTNA

Una VPN crea un túnel cifrado entre un dispositivo remoto y su red. ZTNA va más allá al verificar el estado y la identidad del dispositivo antes de otorgar acceso a recursos específicos, en lugar de dar acceso a toda la red.

Cuál elegir:

Situación	Recomendación
Equipo pequeño, acceso sencillo a un servidor de archivos	VPN empresarial (WireGuard, dispositivo basado en OpenVPN)
Entorno enfocado en la nube (Microsoft 365, Google Workspace)	Las políticas de acceso condicional pueden reemplazar una VPN tradicional
Datos confidenciales, varias ubicaciones, necesidades de cumplimiento	ZTNA o una solución SD-WAN administrada

Las VPN para consumidores comercializadas para particulares no son adecuadas para uso empresarial. Envían el tráfico de sus empleados a través de un servidor de terceros que usted no controla.

Pasos clave de configuración:

1. Implemente la VPN en un dispositivo dedicado o una puerta de enlace en la nube, no en un servidor de uso general que realice otras tareas.
2. Exija que el cliente VPN se conecte antes de acceder a los recursos internos, en lugar de dejarlo como una opción.
3. Active el túnel dividido solo si tiene una razón para hacerlo. El túnel completo es más seguro de forma predeterminada.

Paso 3: Defina y aplique una política para los dispositivos

La laptop personal de un empleado remoto no es un endpoint administrado. Eso importa.

Como mínimo, su política debe especificar lo siguiente:

1. Qué dispositivos están permitidos: solo dispositivos proporcionados por la empresa o dispositivos personales aprobados (BYOD).
2. El nivel requerido de actualización del sistema operativo y del software. Los sistemas sin actualizar son el punto de entrada más común después de las credenciales.
3. Protección de endpoints (antivirus/EDR) administrada de forma centralizada, no simplemente declarada por el usuario.
4. Requisitos de bloqueo de pantalla y cifrado completo del disco.
5. Qué sucede cuando se pierde o roban un dispositivo. La capacidad de borrado remoto debe configurarse antes del incidente, no después.

Si permite BYOD, considere una solución de Administración de Dispositivos Móviles (MDM) que separe los datos de la empresa de los datos personales en el mismo dispositivo. Es un punto medio razonable entre el control total y la falta de control.

Paso 4: Proteja la capa de la red doméstica

No puede administrar los routers domésticos de sus empleados, pero sí puede reducir la exposición.

1. Exija que los empleados utilicen cifrado WPA3 o WPA2 en el Wi-Fi de su hogar. Las redes abiertas o WEP deben considerarse una infracción de la política.
2. Implemente el filtrado de DNS a nivel del endpoint (no del router). Herramientas como Cisco Umbrella o Cloudflare Gateway filtran dominios maliciosos antes de establecer una conexión, independientemente de la red que utilice el empleado.
3. Recomiende o proporcione un router de viaje a los empleados que trabajen con frecuencia desde hoteles o cafeterías. Un router conocido y confiable conectado a una red Wi-Fi pública, con la VPN ejecutándose en el dispositivo, es considerablemente más seguro que conectarse directamente.

¿Cansado de que la TI falle en el peor momento? Hable con nuestro equipo de TI empresarial

Paso 5: Configure registros y alertas centralizados

Los entornos remotos fallan silenciosamente si no se instrumentan.

1. Active los registros de auditoría de inicio de sesión en su proveedor de identidad. Sepa cuándo, desde dónde y con qué dispositivo inicia sesión cada cuenta.
2. Configure alertas para intentos fallidos de inicio de sesión, inicios de sesión desde nuevas ubicaciones y descargas o eliminaciones masivas de archivos.
3. Centralice los registros en algún lugar, incluso en un SIEM básico o en las funciones de auditoría integradas de Microsoft 365, para no tener que reconstruir un incidente de memoria.

El objetivo no es vigilar. El objetivo es saber que algo salió mal antes de que el daño se agrave.

Paso 6: Haga copias de seguridad de los endpoints remotos

Las estrategias de copias de seguridad en la oficina suelen pasar por alto por completo las laptops remotas. Esos dispositivos contienen archivos locales, correos electrónicos almacenados en caché y trabajos en curso que quizá no se sincronicen con el almacenamiento en la nube con la confiabilidad que se supone.

1. Implemente un agente de copias de seguridad en la nube en cada endpoint remoto.
2. Confirme mediante un calendario que las copias de seguridad se ejecuten y se restauren correctamente, en lugar de asumir que funcionan.
3. Documente los objetivos de tiempo de recuperación (RTO). ¿Cuánto tiempo puede tolerar su empresa que un empleado remoto no pueda trabajar?

Las copias de seguridad y la recuperación ante desastres suelen tratarse como algo secundario hasta que se convierten en lo único que se interpone entre usted y una mala semana.

Paso 7: Capacite a sus empleados una vez y luego otra vez

Los controles técnicos fallan cuando las personas los evitan, por lo general no de manera malintencionada, sino por incomodidad o costumbre.

1. Realice una sesión breve de incorporación sobre cómo reconocer el phishing, mantener buenas prácticas de contraseñas y actuar cuando algo parezca extraño.
2. Envíe una prueba simulada de phishing una vez al año. Los resultados suelen ser reveladores.
3. Establezca un proceso claro para reportar incidentes. Los empleados que temen parecer ingenuos no reportarán un correo electrónico sospechoso. Ese silencio resulta costoso.
4. Actualice la capacitación cuando cambien sus herramientas o políticas.

Errores comunes

• Tratar MFA como algo opcional. Si una cuenta puede omitirla, los atacantes encontrarán esa cuenta.
• Comprar una VPN para consumidores para uso empresarial. No son productos equivalentes.
• Omitir la política escrita. Las políticas no escritas no pueden aplicarse ni consultarse después de un incidente.
• Suponer que las aplicaciones en la nube son seguras por naturaleza. Microsoft 365 y Google Workspace proporcionan herramientas de seguridad; no se configuran de forma segura por sí solas de manera predeterminada.
• Olvidar los endpoints remotos en el plan de copias de seguridad. Una laptop remota que no se ha sincronizado en tres días contiene tres días de trabajo irrecuperable.
• Configurar el monitoreo, pero nunca revisarlo. Los registros que nadie lee son solo decoración.

En resumen

El trabajo remoto seguro es un problema de configuración, no de productos. Las herramientas existen. La brecha suele estar en aplicarlas sistemáticamente a cada empleado y dispositivo, y después mantener esa configuración a medida que cambian el personal y el software.

Si está implementando esto por primera vez o auditando una configuración existente, los servicios de TI empresarial y ciberseguridad de Fix My PC Store cubren este tipo de trabajo de infraestructura para pequeñas y medianas empresas en West Palm Beach y el sur de Florida. Para una administración continua en lugar de una configuración única, TI administrada mantiene los controles actualizados sin exigir que alguien de su personal les dé seguimiento.

El autoservicio es adecuado si cuenta internamente con una persona con conocimientos de TI y un equipo pequeño y de baja complejidad. La ayuda profesional tiene sentido cuando debe cumplir con requisitos de conformidad, tiene más de unos pocos empleados remotos o no hay nadie dentro de la empresa responsable de este tema.

---

¿Cansado de que la TI falle en el peor momento?

Administramos la TI, las copias de seguridad y la seguridad de empresas del sur de Florida para que usted pueda dejar de preocuparse por ello.

Hable con nuestro equipo de TI empresarial

Preguntas frecuentes

¿Todos los empleados remotos necesitan un dispositivo proporcionado por la empresa o pueden usar laptops personales?

Se pueden permitir dispositivos personales si se implementan los controles adecuados, específicamente una solución MDM que separe los datos de la empresa de los datos personales y exija cifrado y actualizaciones. Sin esa separación, las laptops personales representan un endpoint no administrado que quizá no esté cubierto por su política ni por sus copias de seguridad. Los dispositivos proporcionados por la empresa son más sencillos de administrar y auditar, algo importante cuando ocurre un problema.

¿Microsoft 365 es suficientemente seguro por sí solo para el trabajo remoto o necesita configuración adicional?

Microsoft 365 incluye herramientas de seguridad sólidas, pero no están activadas de forma predeterminada. Las políticas de acceso condicional, la aplicación de MFA, los registros de auditoría y las reglas de prevención de pérdida de datos requieren una configuración intencional. De fábrica, un tenant de Microsoft 365 es funcional, pero no está reforzado.

¿Qué debo hacer con el dispositivo de un empleado remoto cuando deja la empresa?

Debe configurar la capacidad de borrado remoto antes del proceso de salida, no después. Las soluciones MDM y plataformas como Microsoft Intune le permiten borrar de forma remota todos los datos del dispositivo o solo los datos de la empresa. También debe revocar de inmediato todo el acceso a las cuentas cuando termine la relación laboral y cambiar las credenciales compartidas que ese empleado pudiera conocer.

¿Cuál es la diferencia entre una VPN y Zero Trust, y cuál necesita una pequeña empresa?

Una VPN cifra el tráfico y permite que un usuario remoto acceda a su red como si estuviera en la oficina. El Acceso a la Red de Confianza Cero (ZTNA) adopta un enfoque más limitado: verifica la identidad y el estado del dispositivo y después concede acceso únicamente a aplicaciones específicas, no a toda la red. La mayoría de las pequeñas empresas con una configuración sencilla puede comenzar con una VPN empresarial. ZTNA se vuelve más valioso a medida que crece su entorno, aumenta la sensibilidad de los datos o avanza hacia una infraestructura totalmente basada en la nube.