En este artículo
Una VPN clásica cifra la conexión, pero mete el ordenador remoto dentro de toda la red de la empresa: con una contraseña robada, el atacante entra con el mismo alcance. La respuesta pasa por tres medidas, por este orden: autenticación multifactor en la VPN, limitar lo que alcanza y dar a la mayoría del equipo acceso solo a las aplicaciones que necesita. Para muchas pymes pequeñas y disciplinadas, una VPN bien configurada con MFA sigue siendo suficiente. Le explicamos cómo saber en qué caso está.
Por qué el modelo de 2020 se ha quedado corto
En 2020, muchas empresas montaron el teletrabajo en días: VPN en el firewall, una contraseña por persona, y funcionó. La configuración no cambió; los ataques, sí.
El propio equipo de VPN se ha convertido en objetivo. En 2025, Verizon ya destacaba los ataques a equipos perimetrales y de VPN. En el informe de 2026, la explotación de fallos de software pasó a ser la vía de entrada más común, presente en el 31% de las brechas analizadas.
El túnel y la tarjeta de hotel
La VPN es un túnel desde el portátil hasta toda la red: servidores, carpetas compartidas, impresoras, cámaras. Quien atraviesa el túnel está dentro. El acceso por aplicación funciona como la tarjeta de una habitación de hotel: abre una puerta, no el edificio. Si roban la tarjeta, abre una habitación, y queda registrado a qué hora.
La VPN sigue haciendo bien una cosa: impide que alguien lea el tráfico en una cafetería o un hotel. Lo que no hace por sí sola es confirmar quién está al otro lado, comprobar si el ordenador está actualizado o limitar lo que alcanza.
Cuatro formas en que una VPN se convierte en una puerta abierta
- Credenciales robadas Un phishing bien hecho obtiene la contraseña; sin segundo factor, la VPN la acepta.
- Ordenadores personales El portátil de casa, compartido y sin actualizar, trae a la red lo que lleve dentro.
- Movimiento lateral Ya dentro, el atacante busca el servidor de archivos, el ERP y, sobre todo, las copias de seguridad. En una red plana nada lo frena.
- El equipo de VPN sin actualizar Está expuesto a internet y se rastrea automáticamente en cuanto aparece un fallo.
Test rápido: ¿sigue bastando su VPN con MFA?
No vendemos complejidad a quien no la necesita. Si responde «sí» a todas las preguntas, la VPN está cumpliendo:
- ¿Todos los accesos piden un segundo factor en la aplicación del móvil, sin excepciones?
- ¿Solo se conectan equipos de la empresa, gestionados y actualizados?
- ¿Cada grupo alcanza solo lo que necesita (contabilidad solo llega al software de gestión, por ejemplo)?
- ¿El firewall y el portal de VPN reciben correcciones en días, no en meses?
- ¿Hay registro de quién se conectó, cuándo y desde dónde, y alguien lo revisa?
- ¿Ningún proveedor tiene acceso permanente?
Dos o más respuestas negativas indican que el problema no es la VPN: es cómo se montó.
VPN o acceso por aplicación, caso por caso
| Escenario | ¿Sirve la VPN con MFA? | Qué hacer |
|---|---|---|
| Pocos remotos, todos con portátil de la empresa | Sí, si está bien configurada | MFA, accesos por grupo, firewall actualizado |
| Trabajo en ordenadores personales | No | Correo y archivos por el navegador, sin entrar en la red interna |
| ERP o software de gestión usado a distancia | Depende | Publicar la aplicación con autenticación robusta, sin abrir la red |
| Proveedores con acceso habitual | No | Cuentas individuales, limitadas y activas solo durante la intervención |
| Datos sensibles de salud, finanzas o clientes | Rara vez | Acceso por aplicación con registro de cada acceso |
Plan en cuatro pasos para el acceso remoto
Paso 1 — Segundo factor en la VPN
Es el paso con mejor relación entre coste y retorno. La mayoría de los firewalls empresariales admite MFA, a menudo integrada con Microsoft 365. Las opciones están en la guía de autenticación multifactor en las empresas.
Paso 2 — Solo equipos gestionados dentro de la red
Los ordenadores personales se quedan en el correo y los archivos en el navegador, con reglas que impiden descargar datos. Trabajar con datos de la empresa no es lo mismo que estar dentro de la infraestructura.
Paso 3 — Publicar aplicaciones en lugar de abrir la red
Correo, archivos, software de gestión y, a veces, un escritorio remoto: nada de esto exige estar en toda la red. Cada aplicación publicada con autenticación robusta es una puerta propia, con registro. La VPN queda para quienes administran sistemas.
Paso 4 — Reducir el alcance de la VPN
Las copias de seguridad, las cámaras y los equipos de gestión de red nunca deben estar al alcance de un usuario remoto. El firewall divide la red en zonas y solo deja pasar lo necesario. Los proveedores entran con cuenta propia, MFA y un acceso que se desactiva al terminar.
Ejemplo de arquitectura para 40 puestos
Escenario ilustrativo: 40 puestos, 10 personas en teletrabajo habitual. La configuración recomendada sería:
- Correo y archivos En Microsoft 365, con MFA y acceso condicionado al tipo de equipo.
- Software de gestión Publicado en un escritorio remoto con autenticación robusta.
- VPN Reservada a dos administradores, con segundo factor, en una zona de gestión separada.
- Proveedores Cuentas creadas para cada intervención y desactivadas al final.
En la mayoría de los casos, esto se hace con el firewall y las licencias que la empresa ya paga: cambia la arquitectura, no la factura. La misma lógica está en Zero Trust para pymes en 4 pasos, y las correcciones del equipo de VPN deben seguir una política de actualizaciones con plazos cortos.
Caso real: FreshDesign
En FreshDesign, DataRoad instaló un firewall de nueva generación y una VPN cifrada para que el equipo accediera en remoto a servidores y aplicaciones internas. El proyecto incluyó control centralizado de accesos y permisos, filtrado y prevención de intrusiones, monitorización remota permanente con alertas proactivas y dos conexiones a internet con balanceo y conmutación automática si falla un operador.
El punto decisivo: la VPN no se instaló y se olvidó. El contrato incluye actualizaciones del firewall, optimización de las reglas y seguimiento de la estabilidad de la VPN. Eso es lo que distingue un firewall gestionado de una puerta abierta.
Preguntas frecuentes
¿Debo desactivar ya la VPN?
No. Primero active el MFA y limite el alcance. Después migre a las personas al acceso por aplicación. Al final, la VPN queda solo para los administradores.
¿Basta una VPN con MFA para una pyme?
Puede bastar, si solo se conectan equipos de la empresa, si cada grupo alcanza únicamente lo necesario, si el firewall está actualizado y si los accesos quedan registrados. Si falla una de estas condiciones, el riesgo sigue siendo alto.
¿Pueden los empleados usar su ordenador personal?
Para el correo y los archivos en el navegador, con reglas contra las descargas, sí. Para entrar en la red interna, no.
¿Hay que comprar una solución nueva?
En la mayoría de las pymes, no. Hay que configurar mejor el firewall y el Microsoft 365 existentes y tener a alguien gestionando los accesos de forma continua.
Siguiente paso: revisión del acceso remoto en 5 días laborables
Analizamos la VPN, quién se conecta y a qué, las cuentas de proveedores y el estado del firewall, y le entregamos un plan por escrito con las correcciones por orden de prioridad. Solicitud sin compromiso. La gestión de firewalls y ciberseguridad y de trabajo remoto y movilidad está incluida en los planes IT Unlimited Premium.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Contacto: sales@dataroad.pt.
