Blog — Internet dedicado con seguridad: qué debe incluir
Hay dos formas de comprar internet para una empresa. Una es contratar el enlace y, por separado, resolver el firewall con otro proveedor. La otra es contratar un servicio que ya incluye la seguridad administrada sobre el mismo circuito, con un solo responsable cuando algo deja de funcionar. La diferencia se nota en el momento menos oportuno: durante un incidente.
El internet dedicado con seguridad de MCM —antes Metrocarrier—, que Red Fibra integra en sus soluciones empresariales, pertenece a la segunda categoría. Esta guía explica qué debe incluir un servicio así y qué preguntar para que la protección no se quede en la palabra «firewall» de la cotización.
Qué significa «internet con seguridad»
No es un antivirus instalado en las computadoras ni una suscripción de filtrado web. Es un enlace dedicado que atraviesa un dispositivo de seguridad administrado, donde se aplican políticas de tráfico antes de que el tráfico llegue a la red de la empresa.
En la práctica, el servicio cubre:
- Firewall administrado: reglas de entrada y salida definidas por política, no por costumbre.
- Prevención de intrusiones (IPS): detección y bloqueo de tráfico malicioso conocido.
- Antivirus y antispam de perímetro: filtrado de archivos y correo antes de entrar a la red.
- Filtrado de contenido y URL: control por grupo o usuario, con categorías.
- Protección DDoS: mitigación de ataques volumétricos contra el enlace.
- VPN sitio a sitio: túneles IPSEC o SSL entre sucursales y hacia la nube.
- Compatibilidad con SD-WAN: para operar varias rutas con políticas comunes.
El detalle de la solución está en Internet con Seguridad. Lo que sigue es la parte que suele quedar fuera de la conversación comercial.
Qué se administra y quién responde
Un servicio de seguridad gestionada tiene tres responsabilidades que deben quedar claras antes de firmar:
| Responsabilidad | Qué debe quedar por escrito |
|---|---|
| Diseño de políticas | Quién define las reglas iniciales y con qué información de la operación. |
| Cambios | Cómo se solicita un alta, una baja o un ajuste, y en cuánto tiempo se aplica. |
| Incidentes | Quién diagnostica, con qué evidencia y en qué plazo; a quién se escala. |
| Reportes | Qué se entrega cada mes: bloqueos, tráfico, intentos de intrusión, disponibilidad. |
| Propiedad de la configuración | Si la empresa puede exportar sus reglas al terminar el contrato. |
Este último punto se pasa por alto y es el que más problemas causa: si la configuración vive solo en el proveedor, migrar de enlace implica reconstruir la seguridad desde cero.
Qué incluye el servicio de MCM y qué se cotiza aparte
La base del servicio incluye firewall, antivirus y antispam, prevención de intrusos, filtrado de contenido, protección DDoS, NAT y túneles IPSEC/SSL. Sobre esa base se agregan componentes según la operación:
- Alta disponibilidad: equipo redundante para que una falla de hardware no corte la seguridad ni el enlace.
- Políticas avanzadas: la solución contempla hasta diez políticas de protección con control en capa 3 (protocolo y puerto) y capa 7 (aplicación).
- Balanceo de enlaces: para repartir tráfico entre dos rutas.
- IPv6: soporte para el direccionamiento nuevo sin romper lo existente.
- Reportes a medida: cortes por área, por sucursal o por tipo de tráfico.
El punto de partida para dimensionar es el número de sedes, usuarios y aplicaciones críticas, no el tamaño de la empresa. Una PyME con tres sucursales y un ERP en la nube puede necesitar más políticas que un corporativo con una sola sede.
Errores que se repiten en la operación
Reglas heredadas. Políticas que se abrieron para una prueba y nadie cerró. Un servicio administrado debe revisar la configuración al menos una vez al año.
Confundir VPN con seguridad. La VPN protege el transporte, no la red interna. Un usuario conectado por VPN puede seguir accediendo a recursos que no debería.
No separar la red de invitados. En oficinas con visitantes o en hospitalidad, la red de huéspedes debe salir por una política distinta de la red administrativa.
Medir solo la disponibilidad del enlace. Un enlace disponible con la seguridad caída es un enlace sin servicio. El reporte debe incluir ambos.
Preguntas frecuentes
¿Puedo conservar mi firewall actual?
Es posible, pero pierde la ventaja de tener un solo responsable. Si el equipo es propio, conviene al menos contratar la administración y el monitoreo.
¿La seguridad se cobra aparte del enlace?
Depende del diseño. Hay esquemas donde la seguridad va incluida en el servicio y otros donde se cotiza como componente adicional; la propuesta debe decirlo con claridad.
¿Sirve para cumplir con requisitos de protección de datos?
Ayuda a cumplir controles técnicos, pero no sustituye un programa de cumplimiento. La conversación con el área legal o de seguridad debe darse en paralelo.
Si necesitas revisar cómo se comporta hoy tu enlace y qué políticas aplican, solicita un diagnóstico. También puede interesarte la lectura de internet seguro para oficinas con firewall y la guía de por qué invertir en internet dedicado con protección perimetral.