Superficie de ataque empresarial: qué es, cómo medirla y cómo reducirla

Una empresa puede tener antivirus, copias de seguridad y un firewall correctamente configurado y, aun así, mantener accesos que nadie recuerda, cuentas de antiguos empleados, aplicaciones abandonadas o dispositivos conectados sin actualizar.

Todos esos elementos forman parte de la superficie de ataque empresarial. El problema no es solamente cuántos equipos utiliza la organización, sino cuántos puntos podrían ser aprovechados para acceder a sus sistemas, robar información, elevar privilegios o interrumpir la actividad.

Reducir esa superficie no significa eliminar herramientas necesarias. Significa conocer qué existe, comprobar por qué está conectado, limitar su exposición y retirar lo que ya no aporta valor.

¿Qué es la superficie de ataque de una empresa?

La superficie de ataque es el conjunto de puntos por los que un atacante podría intentar entrar, extraer información o afectar al funcionamiento de un sistema.

En una empresa incluye elementos evidentes, como ordenadores, servidores y aplicaciones, pero también otros que suelen quedar fuera de las revisiones habituales:

• Usuarios, cuentas administrativas y credenciales de servicio.
• Aplicaciones instaladas y plataformas contratadas en la nube.
• Servidores web, servicios publicados y puertos accesibles desde Internet.
• Conexiones VPN, escritorios remotos y herramientas de soporte.
• Ordenadores portátiles, móviles y equipos utilizados fuera de la oficina.
• Impresoras, cámaras, routers, puntos de acceso y dispositivos IoT.
• Integraciones con proveedores y aplicaciones de terceros.
• Datos almacenados en servidores, equipos locales y servicios externos.

Una superficie de ataque grande no implica automáticamente que la empresa vaya a sufrir un incidente. El riesgo aumenta cuando esos elementos no están inventariados, mantienen configuraciones débiles, acumulan vulnerabilidades o permiten más acceso del necesario.

¿Cómo se puede medir la superficie de ataque?

No existe una única cifra que resuma toda la superficie de ataque. Contar dispositivos o aplicaciones es útil, pero insuficiente. Dos empresas con cien equipos pueden presentar niveles de exposición muy diferentes.

Para realizar una medición práctica conviene analizar cinco dimensiones:

1. Número de activos

Incluye los equipos, usuarios, aplicaciones, dominios, servidores, servicios en la nube, dispositivos de red y sistemas conectados.

Cuantos más activos existan, mayor será el trabajo necesario para mantenerlos actualizados, configurados y supervisados. Sin embargo, la cantidad por sí sola no determina el riesgo.

2. Nivel de exposición

Hay que comprobar qué activos son accesibles desde Internet, desde redes inalámbricas, mediante conexiones remotas o a través de proveedores externos.

Un servidor interno aislado no presenta la misma exposición que un servicio publicado directamente en Internet. Tampoco es equivalente una VPN protegida con autenticación multifactor a un escritorio remoto accesible mediante una contraseña.

3. Vulnerabilidades y estado de actualización

Un activo puede ser necesario y estar correctamente identificado, pero seguir suponiendo un riesgo si utiliza una versión sin soporte, acumula actualizaciones pendientes o mantiene una configuración insegura.

Este análisis debe incluir sistemas operativos, aplicaciones, firmware y dispositivos que normalmente no se consideran ordenadores, como impresoras, routers o cámaras.

4. Privilegios disponibles

Conviene revisar qué podría hacer un atacante si consiguiera comprometer una cuenta o un equipo.

Una cuenta limitada a una aplicación concreta no tiene el mismo impacto que una cuenta administrativa reutilizada en varios sistemas. Cuantos más permisos acumule una identidad, mayor puede ser el alcance del incidente.

5. Criticidad para el negocio

No todos los activos tienen la misma importancia. Un equipo utilizado para consultar información pública no debe valorarse igual que el servidor que contiene documentación de clientes, el sistema de facturación o la infraestructura necesaria para atender pedidos.

La medición debe tener en cuenta tanto la probabilidad de acceso como las consecuencias operativas: interrupción del servicio, pérdida de datos, fraude, incumplimientos contractuales o dependencia de una restauración compleja.

La superficie de ataque no debe medirse únicamente por el número de dispositivos. También importa cómo están expuestos, quién puede utilizarlos, qué permisos conceden y qué ocurriría si fueran comprometidos.

Señales de que la superficie de ataque está creciendo sin control

El crecimiento suele producirse de forma gradual. Se abre un acceso para resolver una incidencia, se contrata una aplicación para un proyecto o se instala una cámara conectada. El problema aparece cuando estos cambios no se registran ni se revisan posteriormente.

Estas señales indican que puede estar creciendo sin una gestión adecuada:

• Nadie puede proporcionar una lista completa de equipos y aplicaciones.
• Los departamentos contratan servicios en la nube sin coordinación técnica.
• Existen varias herramientas con funciones similares.
• Las bajas de empleados no incluyen una revisión de todos sus accesos.
• Se mantienen servidores, dominios o cuentas por si fueran necesarios en el futuro.
• Hay conexiones remotas abiertas de forma permanente.
• Algunos dispositivos no tienen un responsable asignado.
• No existe un criterio común para instalar actualizaciones.
• Los proveedores conservan accesos después de finalizar un proyecto.
• Se desconoce qué servicios de la empresa son visibles desde Internet.

Otra señal frecuente es descubrir activos solamente cuando fallan. Si una aplicación, un router o una cuenta aparece por primera vez durante una incidencia, probablemente el inventario no refleja el entorno real.

Equipos, usuarios y aplicaciones que suelen quedar olvidados

Ordenadores y servidores antiguos

Un equipo sustituido puede seguir encendido porque conserva una aplicación histórica, una carpeta compartida o una configuración que nadie se atreve a retirar.

Estos sistemas suelen recibir menos atención y pueden utilizar versiones antiguas, credenciales conocidas por varias personas o programas que ya no se actualizan.

Cuentas de exempleados y colaboradores

Desactivar el correo electrónico no siempre elimina el resto de los accesos. Una persona puede conservar cuentas en aplicaciones, VPN, almacenamiento en la nube, portales de proveedores o herramientas de soporte.

También conviene revisar las cuentas genéricas, como administración, recepción o soporte. Cuando varias personas comparten una contraseña resulta difícil saber quién accedió, retirar permisos individuales o investigar una actividad anómala.

Aplicaciones en la nube sin responsable

Una aplicación puede seguir almacenando documentos aunque el departamento que la contrató haya dejado de utilizarla. También puede mantener integraciones, usuarios invitados o permisos sobre información corporativa.

El riesgo no depende únicamente de la seguridad del proveedor. También influyen la configuración realizada por la empresa, los permisos concedidos, las contraseñas utilizadas y el control sobre las altas y bajas.

Dominios, subdominios y servicios de pruebas

Las páginas de pruebas, paneles de administración, servidores temporales y subdominios antiguos pueden permanecer publicados después de finalizar un proyecto.

Aunque ya no aparezcan enlazados desde la web principal, pueden seguir siendo localizables y contener software desactualizado, información técnica o credenciales de prueba.

Puertos abiertos, accesos remotos y cuentas antiguas

Publicar un servicio en Internet permite que empleados, proveedores o clientes se conecten desde el exterior. También permite que cualquier tercero intente identificarlo y buscar errores de configuración o vulnerabilidades.

No todos los puertos abiertos son peligrosos ni deben cerrarse. La pregunta correcta es si cada servicio expuesto:

• Es realmente necesario.
• Está identificado y documentado.
• Utiliza una versión mantenida.
• Está correctamente configurado.
• Limita quién puede conectarse.
• Registra los intentos de acceso.
• Dispone de autenticación adecuada.
• Tiene un responsable que revise su seguridad.

Los accesos remotos merecen una atención especial. Una VPN, una herramienta de soporte o un panel de administración pueden ser necesarios, pero conviene limitar su disponibilidad, protegerlos con autenticación multifactor y retirar las cuentas que ya no los necesiten.

También deben revisarse las cuentas de servicio utilizadas por aplicaciones, copias de seguridad, impresoras o integraciones. A menudo permanecen activas durante años y reciben permisos excesivos para evitar problemas de funcionamiento.

Impresoras, cámaras, routers y dispositivos IoT también forman parte del riesgo

Un dispositivo conectado a la red debe considerarse un activo, aunque no almacene documentos de la misma forma que un ordenador.

Las impresoras multifunción pueden procesar documentos, utilizar libretas de direcciones, conectarse al correo electrónico, almacenar trabajos temporalmente e integrarse con carpetas o aplicaciones empresariales.

Las cámaras, routers, puntos de acceso, sistemas de control horario y otros dispositivos IoT también pueden incorporar paneles web, servicios de red, firmware y credenciales administrativas.

Los problemas habituales son similares:

• Contraseñas predeterminadas o compartidas.
• Firmware sin actualizar.
• Servicios que no se utilizan pero continúan activos.
• Paneles de administración accesibles desde redes innecesarias.
• Falta de segmentación respecto a los sistemas principales.
• Dispositivos que permanecen conectados después de ser sustituidos.
• Ausencia de registros sobre modelo, ubicación y responsable.

No siempre es necesario desplegar una plataforma compleja. En una oficina pequeña puede ser suficiente con cambiar credenciales, actualizar el firmware, desactivar funciones que no se usan y separar determinados dispositivos de los sistemas más sensibles.

Cómo hacer un inventario básico de la superficie de ataque

El inventario debe permitir responder qué existe, dónde está, quién lo utiliza, quién lo mantiene y qué ocurriría si dejara de funcionar o fuera comprometido.

Primer paso: identificar los activos

La revisión puede comenzar con una hoja estructurada que incluya:

• Nombre o identificador del activo.
• Tipo de equipo, aplicación, cuenta o servicio.
• Ubicación física o entorno en la nube.
• Dirección IP, dominio o forma de acceso.
• Usuario, departamento o proceso que lo utiliza.
• Responsable técnico y responsable de negocio.
• Datos que almacena o procesa.
• Estado de actualización y soporte.
• Exposición interna, externa o mediante proveedores.
• Nivel de criticidad.
• Fecha de la última revisión.

Segundo paso: contrastar varias fuentes

No conviene depender únicamente de las facturas o de la información del departamento técnico. Puede haber aplicaciones contratadas directamente por otros departamentos, equipos conectados sin registrar o servicios mantenidos por proveedores.

Para mejorar el inventario se pueden contrastar compras, contratos, directorios de usuarios, consolas de administración, configuraciones del firewall, plataformas en la nube, redes inalámbricas y dispositivos detectados en la red.

Tercer paso: buscar activos desconocidos

El objetivo no es solamente documentar lo que ya se conoce. También hay que localizar discrepancias entre el inventario y el entorno real.

Por ejemplo, si la red muestra una cámara, una impresora o un servidor que no aparece en la lista, debe investigarse quién lo instaló, qué función cumple, cómo se administra y si sigue siendo necesario.

Cuarto paso: asignar un responsable

Cada activo relevante debe tener alguien responsable de autorizar sus cambios, revisar sus accesos y decidir cuándo debe retirarse.

Sin esa asignación, las actualizaciones pueden quedar pendientes, las cuentas no se revisan y nadie toma la decisión de retirar un servicio que ha dejado de utilizarse.

Quinto paso: mantener el inventario

Un inventario realizado una sola vez pierde utilidad rápidamente. Debe actualizarse cuando se incorporen equipos, se contraten aplicaciones, se abran accesos remotos, cambien los proveedores o se produzcan altas y bajas de personal.

También es recomendable realizar revisiones periódicas para detectar elementos que continúan activos sin una necesidad vigente.

Ejemplo práctico de una superficie de ataque oculta

Una pyme de treinta empleados utiliza correo en la nube, un servidor de archivos, varias impresoras, cámaras de seguridad y una VPN para el teletrabajo.

Durante una revisión aparecen cuatro elementos que no figuraban en ningún inventario:

• Una cuenta VPN creada para un proveedor que terminó su trabajo meses atrás.
• Una impresora sustituida que sigue conectada y conserva una contraseña administrativa antigua.
• Una aplicación en la nube utilizada anteriormente para intercambiar documentos.
• Un ordenador con un sistema antiguo que se mantiene encendido para consultar un programa histórico.

Ninguno de esos elementos había causado una incidencia. Sin embargo, todos ampliaban las posibilidades de acceso y obligaban a mantener sistemas que ya no estaban bajo una supervisión clara.

La solución no requiere necesariamente una renovación completa. Puede consistir en retirar la cuenta del proveedor, desconectar la impresora antigua, exportar y cerrar la aplicación abandonada y aislar el ordenador histórico mientras se estudia la migración del programa.

El resultado práctico es una infraestructura más sencilla, menos credenciales que controlar y menos activos que actualizar o investigar cuando se produce una alerta.

Medidas para reducir la superficie de ataque empresarial

Eliminar lo que ya no se utiliza

La reducción más directa consiste en retirar cuentas, aplicaciones, servidores, equipos y servicios que han dejado de tener una función justificada.

Desactivar es preferible a dejar un elemento activo por precaución. Cuando existan dudas, se puede definir un periodo controlado de suspensión, conservar una copia de la información y documentar cómo recuperarlo.

Cerrar servicios y puertos innecesarios

Conviene revisar los servicios publicados en Internet y las reglas del firewall. Cada excepción debe corresponder a una necesidad actual y tener un responsable.

Un servicio necesario no tiene por qué estar disponible para cualquier origen. En algunos casos puede restringirse por dirección, red, horario, VPN o sistema de acceso intermedio.

Revisar usuarios y privilegios

Las cuentas deben conceder únicamente los permisos necesarios para realizar el trabajo. También conviene separar las cuentas de uso diario de las cuentas administrativas.

Las revisiones deben incluir empleados, colaboradores, proveedores, usuarios invitados y cuentas técnicas utilizadas por aplicaciones.

Proteger los accesos remotos

Los accesos desde fuera de la oficina deben utilizar mecanismos de autenticación adecuados, registros de actividad y restricciones coherentes con el riesgo.

La autenticación multifactor puede ayudar a reducir la dependencia de una sola contraseña, pero no sustituye la retirada de cuentas antiguas ni la corrección de servicios mal configurados.

Actualizar sistemas y firmware

Ordenadores, servidores, aplicaciones, routers, firewalls, impresoras y dispositivos conectados necesitan un criterio de actualización.

Antes de actualizar sistemas críticos conviene revisar compatibilidades, realizar copias de seguridad y disponer de un procedimiento de recuperación. El objetivo no es instalar cambios sin control, sino evitar que los equipos permanezcan indefinidamente con vulnerabilidades conocidas.

Segmentar la red

No todos los dispositivos necesitan comunicarse entre sí. Separar usuarios, servidores, invitados, cámaras, impresoras y otros dispositivos puede limitar el movimiento de un atacante si uno de ellos resulta comprometido.

La segmentación debe responder al funcionamiento real de la empresa. Crear redes sin documentar sus reglas puede añadir complejidad sin reducir el riesgo.

Controlar las aplicaciones en la nube

Es recomendable establecer un procedimiento para contratar, configurar y retirar aplicaciones. Debe definirse quién puede autorizar una herramienta, qué información puede almacenar y cómo se eliminan usuarios y datos cuando deja de utilizarse.

Revisar a los proveedores con acceso

Los accesos de soporte deben tener alcance y duración limitados. Cuando sea posible, conviene utilizar cuentas identificables, registrar la actividad y desactivar el acceso al finalizar el trabajo.

Incorporar seguridad en las altas y bajas

La gestión de usuarios debe estar conectada con los procesos de personal y proveedores. Una baja debería activar la retirada de accesos, la recuperación de equipos, el cambio de credenciales compartidas y la revisión de sesiones o dispositivos autorizados.

Cuándo puede bastar una revisión interna

Una empresa pequeña puede comenzar sin adquirir una plataforma específica cuando dispone de pocos equipos, una sola sede, aplicaciones conocidas y una persona capaz de mantener el inventario.

En ese contexto puede ser suficiente:

• Crear una lista centralizada de activos.
• Revisar las cuentas existentes.
• Actualizar equipos y dispositivos.
• Comprobar las reglas de acceso remoto.
• Eliminar aplicaciones y servicios sin uso.
• Asignar responsables.
• Repetir la revisión periódicamente.

La herramienta elegida importa menos que la disciplina para mantener la información actualizada y tomar decisiones sobre los activos que ya no son necesarios.

Cuándo conviene realizar una auditoría profesional

Una revisión profesional tiene sentido cuando la empresa no puede determinar con suficiente certeza qué activos tiene o qué está exponiendo hacia el exterior.

También conviene considerarla cuando existe alguna de estas situaciones:

• Varias sedes, redes o entornos en la nube.
• Teletrabajo y numerosos accesos remotos.
• Servidores o aplicaciones publicados en Internet.
• Proveedores externos con acceso técnico.
• Crecimiento rápido, adquisiciones o cambios de infraestructura.
• Aplicaciones contratadas de forma descentralizada.
• Sistemas antiguos que no pueden retirarse fácilmente.
• Dispositivos conectados que no están gestionados de forma centralizada.
• Ausencia de personal interno especializado.
• Incidentes, accesos anómalos o activos desconocidos detectados recientemente.

La auditoría no debería limitarse a generar una lista de vulnerabilidades. Debe relacionar los hallazgos con los procesos de la empresa, la exposición real, la criticidad de los sistemas y la capacidad para corregir cada problema.

También debe diferenciar entre medidas urgentes, mejoras planificables y riesgos aceptables. No todas las observaciones requieren comprar una herramienta o sustituir un equipo.

Cómo puede ayudar Mafosan a revisar y reducir la exposición

El primer paso consiste en revisar el entorno actual, no en añadir productos de seguridad sin conocer el problema.

Según la infraestructura y el alcance acordado, Mafosan puede ayudar a:

• Identificar equipos, usuarios, aplicaciones, servicios y dispositivos conectados.
• Revisar qué activos están expuestos desde Internet o mediante accesos remotos.
• Localizar cuentas antiguas, permisos excesivos y accesos de proveedores.
• Detectar sistemas sin actualizar, servicios innecesarios y activos sin responsable.
• Revisar impresoras, dispositivos de red y otros equipos que suelen quedar fuera del inventario informático.
• Priorizar los riesgos según su exposición y su impacto en la actividad.
• Simplificar la infraestructura antes de plantear nuevas herramientas.
• Documentar los cambios y establecer un procedimiento de revisión.

El objetivo no es reducir el número de sistemas de forma indiscriminada. Es eliminar exposiciones innecesarias, limitar los accesos y conseguir que cada activo tenga una función, una configuración y un responsable conocidos.