VPN para empresas: cuándo sigue teniendo sentido y cuándo conviene replantearla

Un empleado se conecta desde casa para utilizar una aplicación interna. Activa la VPN y, además de esa aplicación, su equipo queda conectado a buena parte de la red corporativa. Puede acceder a servidores, carpetas compartidas, impresoras y otros recursos que probablemente no necesita.

Este modelo ha sido habitual durante años, pero plantea una pregunta práctica: ¿necesitas realmente introducir el dispositivo dentro de la red o solo conceder acceso a un recurso determinado?

Una VPN para empresas continúa siendo una herramienta válida para cifrar comunicaciones y crear conexiones privadas. El problema no es utilizar una VPN, sino emplearla como solución universal para cualquier acceso remoto, sin revisar permisos, dispositivos, segmentación ni necesidades reales.

¿Qué hace realmente una VPN corporativa?

Una red privada virtual crea un canal cifrado entre un dispositivo, una sede o un servicio y la infraestructura de la empresa. La información viaja protegida frente a determinadas formas de interceptación y el usuario puede alcanzar recursos que no están expuestos directamente a Internet.

Sin embargo, el cifrado de la conexión no resuelve por sí solo otros riesgos. Una VPN no garantiza que el ordenador esté actualizado, que la cuenta no haya sido robada, que el usuario solo acceda a lo necesario o que el tráfico realizado dentro de la red sea legítimo.

La VPN protege el canal de comunicación. La seguridad del acceso dependerá también de quién se conecta, desde qué dispositivo, a qué recurso y con qué permisos.

Esta diferencia es importante porque muchas empresas consideran que una conexión es segura simplemente porque pasa por una VPN. En realidad, una vez establecida la sesión, el nivel de protección dependerá de cómo esté diseñada la red y de los controles aplicados después de la autenticación.

Cuándo sigue teniendo sentido utilizar una VPN

No todas las empresas necesitan sustituir sus VPN. En determinados escenarios siguen siendo una solución razonable, especialmente cuando existe infraestructura local y se necesita una comunicación privada entre redes completas.

Conexión segura entre distintas sedes

Una VPN entre sedes puede conectar oficinas, almacenes o delegaciones para que intercambien tráfico a través de Internet como parte de una misma infraestructura corporativa.

Puede resultar adecuada cuando existen servidores, sistemas de producción, aplicaciones internas o dispositivos que necesitan comunicarse entre ubicaciones de forma continua. En estos casos, la conexión no depende de que cada usuario active manualmente un cliente de acceso remoto.

Conviene comprobar que el tráfico entre sedes está limitado a los sistemas necesarios. Conectar dos redes no debería implicar que cualquier dispositivo de una oficina pueda acceder sin restricciones a todos los equipos de la otra.

Acceso a aplicaciones antiguas instaladas en servidores locales

Algunos programas de gestión, herramientas técnicas o aplicaciones desarrolladas a medida solo funcionan dentro de la red local. Migrarlas, sustituirlas o publicarlas de otra forma puede requerir cambios que la empresa todavía no puede asumir.

En esta situación, una VPN puede ser suficiente si el acceso se limita a usuarios autorizados, se exige autenticación multifactor y se evita conceder visibilidad innecesaria sobre el resto de la red.

Administración técnica puntual

El personal informático puede necesitar administrar servidores, dispositivos de red o sistemas que no deben exponerse directamente a Internet. Una conexión VPN controlada permite crear una barrera previa antes de acceder a esas interfaces.

Este uso debe tratarse como acceso privilegiado. Es recomendable emplear cuentas específicas, registrar las conexiones, limitar horarios cuando sea posible y retirar los permisos cuando dejan de ser necesarios.

Entornos industriales o equipamiento especializado

Algunas máquinas, sistemas de control o dispositivos especializados requieren conectividad de red tradicional y no admiten modelos modernos de acceso por aplicación. Una VPN puede seguir formando parte de la solución, siempre que esos entornos estén aislados de la red de usuarios.

En estos casos, sustituir una VPN sin analizar dependencias, protocolos y disponibilidad puede provocar interrupciones. La prioridad debe ser segmentar y controlar el acceso antes de cambiar la tecnología.

Señales de que conviene replantear la VPN

La necesidad de revisar una VPN suele aparecer de forma gradual. Se incorporan usuarios, proveedores, nuevas aplicaciones y excepciones hasta que el sistema termina dando más acceso del previsto.

• Los usuarios se conectan a toda la red para utilizar una única aplicación.
• Se permite el acceso desde ordenadores personales que la empresa no controla.
• Una misma cuenta es utilizada por varias personas o proveedores.
• No se exige autenticación multifactor.
• No existe una relación clara entre cada usuario y los recursos que puede alcanzar.
• La mayor parte de las aplicaciones ya está alojada en servicios cloud.
• Las incidencias de conexión consumen demasiado tiempo del soporte técnico.
• El rendimiento empeora porque todo el tráfico pasa innecesariamente por la oficina.
• Los accesos temporales permanecen activos después de terminar un proyecto.
• No se revisan los registros ni se detectan conexiones anómalas.

Una sola señal no obliga a retirar la VPN. Varias de ellas indican que el modelo ha crecido sin una política de acceso clara y que conviene revisar su diseño.

El principal riesgo: convertir una credencial robada en acceso a la red

Cuando una VPN concede acceso amplio, una cuenta comprometida puede proporcionar al atacante una posición similar a la de un usuario conectado desde la oficina. A partir de ahí, podría intentar localizar otros equipos, servicios internos o credenciales.

El riesgo aumenta cuando el dispositivo remoto no está administrado, carece de protección adecuada o se utiliza también para actividades personales. La conexión puede estar cifrada y, aun así, originarse desde un equipo comprometido.

Por eso resulta insuficiente comprobar únicamente el nombre de usuario y la contraseña. Conviene valorar también el estado del dispositivo, el método de autenticación, la ubicación, el horario, el recurso solicitado y el comportamiento de la sesión.

VPN y acceso Zero Trust: no son exactamente sustitutos

El enfoque Zero Trust parte de que la ubicación dentro o fuera de la red no debe generar confianza automática. Cada acceso debe evaluarse de acuerdo con la identidad, el dispositivo, el recurso y las condiciones definidas por la empresa.

En lugar de introducir al usuario en una red amplia, un sistema de acceso segmentado puede permitirle utilizar únicamente una aplicación concreta. El resto de la infraestructura permanece oculto y no resulta accesible desde esa sesión.

Esto no significa que una empresa tenga que eliminar todas sus VPN. Puede mantener conexiones entre sedes o accesos técnicos concretos y utilizar un modelo por aplicación para teletrabajadores, proveedores o servicios publicados.

La decisión no debería plantearse como una elección absoluta entre VPN o Zero Trust. En muchas organizaciones, la opción más realista es una arquitectura híbrida.

Ejemplo: una asesoría con accesos de empleados y proveedores

Una asesoría tiene veinte empleados. El correo, las videollamadas y el almacenamiento habitual ya funcionan en la nube, pero el programa de gestión continúa instalado en un servidor de la oficina. Además, su proveedor informático necesita acceder ocasionalmente al servidor y a determinados dispositivos.

Actualmente, todos los usuarios activan la misma VPN. Una vez conectados, pueden ver diferentes equipos de la red aunque solo necesiten abrir el programa de gestión.

No sería necesario eliminar inmediatamente la VPN. Una primera mejora podría consistir en crear grupos de acceso, exigir autenticación multifactor y limitar el tráfico al servidor de gestión.

Después, la empresa podría publicar esa aplicación mediante un acceso específico, condicionado a dispositivos autorizados. Los empleados accederían solo al programa, mientras que el proveedor informático conservaría una vía independiente, temporal y más controlada para las tareas de administración.

El resultado práctico sería una menor exposición de la red, permisos más fáciles de revisar y menos dependencia de una conexión general para servicios que ya funcionan directamente en la nube.

Cómo decidir si mantener, reforzar o sustituir la VPN

Mantenerla

Puede tener sentido mantener la VPN cuando conecta sedes, soporta sistemas locales difíciles de modificar o proporciona acceso técnico a recursos que no deben publicarse.

Aun así, deben revisarse la autenticación, las actualizaciones, los registros, la segmentación y los permisos. Mantener la tecnología no significa mantener la configuración actual sin cambios.

Reforzarla y limitar su alcance

Esta suele ser la opción más razonable para empresas que todavía dependen de aplicaciones internas, pero han concedido accesos demasiado amplios.

• Activar autenticación multifactor.
• Separar usuarios por grupos y funciones.
• Permitir únicamente los protocolos y destinos necesarios.
• Impedir conexiones desde equipos no autorizados cuando el riesgo lo justifique.
• Crear accesos independientes para proveedores.
• Revisar cuentas inactivas y permisos temporales.
• Supervisar los registros de conexión.

Sustituirla parcialmente

Conviene estudiar un acceso por aplicación cuando los usuarios solo necesitan utilizar servicios concretos y no existe una razón para introducir sus dispositivos en la red interna.

Este modelo puede simplificar el acceso de teletrabajadores, colaboradores externos y proveedores. También facilita aplicar condiciones diferentes según el recurso solicitado.

Replantear completamente el modelo

Una revisión más amplia puede tener sentido cuando la empresa trabaja principalmente con aplicaciones cloud, dispone de varias sedes, admite numerosos dispositivos o necesita aplicar políticas consistentes desde cualquier ubicación.

En ese escenario, conservar una VPN central para redirigir todo el tráfico a la oficina puede añadir complejidad, latencia y dependencia de la conexión principal sin aportar una protección proporcional.

Preguntas que debes responder antes de cambiar

• ¿Qué aplicaciones y servidores necesitan realmente acceso remoto?
• ¿Cuáles están en la oficina, en un centro de datos o en la nube?
• ¿Qué usuarios necesitan cada recurso?
• ¿Se conectan empleados, proveedores o ambos?
• ¿Los dispositivos pertenecen a la empresa y están gestionados?
• ¿Existe autenticación multifactor?
• ¿La VPN concede acceso a una aplicación o a una red completa?
• ¿Se pueden identificar y revisar todas las conexiones?
• ¿Qué ocurriría si la VPN dejara de estar disponible?
• ¿Existen aplicaciones antiguas que condicionen la arquitectura?

Sin estas respuestas, una migración puede limitarse a sustituir una herramienta por otra sin resolver los permisos excesivos, las cuentas compartidas o la falta de control sobre los dispositivos.

Errores habituales al modernizar el acceso remoto

El primer error es migrar todos los accesos al mismo tiempo. Los sistemas antiguos, los proveedores y las conexiones entre sedes pueden requerir tratamientos distintos.

Otro fallo consiste en conservar permisos históricos. Una nueva plataforma no mejora la seguridad si reproduce exactamente los mismos grupos y accesos generales que existían en la VPN.

También es frecuente centrarse exclusivamente en la autenticación. El acceso multifactor reduce determinados riesgos, pero no sustituye la segmentación, el control del dispositivo ni la supervisión de la actividad.

Por último, conviene evitar una implantación que complique innecesariamente el trabajo. Si los controles generan interrupciones constantes, los usuarios buscarán alternativas o el equipo técnico terminará creando excepciones difíciles de administrar.

Cómo puede ayudar Mafosan a revisar el acceso remoto

El punto de partida no debería ser elegir una nueva herramienta, sino revisar cómo trabaja actualmente la empresa.

Mafosan puede analizar los usuarios, dispositivos, sedes, aplicaciones, proveedores y sistemas internos que intervienen en el acceso remoto. Esta revisión permite identificar conexiones generales, permisos innecesarios, cuentas compartidas, recursos expuestos y dependencias que podrían bloquear un cambio.

Después se puede simplificar el modelo: retirar accesos que ya no se utilizan, separar perfiles, reforzar la autenticación y limitar cada conexión a los recursos necesarios.

Cuando la VPN continúa respondiendo a una necesidad concreta, puede mantenerse y endurecerse. Cuando introduce a demasiados usuarios en la red para acceder a una sola aplicación, conviene valorar alternativas más segmentadas.

La implantación debe incluir la configuración de políticas, la revisión de integraciones, la documentación de excepciones y la formación básica de los usuarios y del personal responsable.

La decisión correcta depende del recurso, no de la moda tecnológica

La VPN no ha dejado de ser útil. Sigue teniendo sentido para conectar redes, proteger accesos administrativos y mantener determinados sistemas internos. Lo que conviene revisar es la práctica de utilizarla como puerta general para cualquier usuario y aplicación.

Antes de renovarla o sustituirla, analiza qué personas necesitan entrar, desde qué equipos, a qué recursos y durante cuánto tiempo. Esa revisión mostrará si basta con reforzar la configuración actual, si debes limitar determinados accesos o si conviene avanzar hacia un modelo más segmentado.

Mafosan puede revisar los bloqueos y permisos de tu acceso remoto para comprobar si la VPN sigue respondiendo a una necesidad real o si está concediendo más alcance del necesario.