No puedes proteger lo que no sabes que existe. Antes de cualquier política, firewall o herramienta, el primer trabajo de quien asume la seguridad es saber qué hay, dónde está y quién lo usa.
Cuando asumí la seguridad en una institución de salud pública, conocía parte del funcionamiento, pero no todo. Había inventarios y diagramas, pero estaban incompletos o desactualizados: se habían hecho para cumplir, no para usarlos.
Es lo más común, y es peligroso porque da una falsa sensación de control. Esta guía es el camino que seguí, con lo que funcionó y lo que haría distinto. Está pensada para quien recién parte, sobre todo si eres el único o uno de muy pocos en el área.
01Entiende qué hay
Antes de abrir cualquier herramienta, responde cuatro preguntas básicas. Parecen obvias, pero casi nadie las tiene claras:
- ¿Cuántos usuarios hay? Funcionarios, honorarios, reemplazos, practicantes. Pídele a Recursos Humanos el listado vigente: es tu fuente de verdad para saber quién debería tener acceso.
- ¿Cuántos equipos hay? PC, notebooks, impresoras, teléfonos IP, equipos clínicos o de laboratorio conectados a la red.
- ¿Cuántos servidores hay y qué hace cada uno? Físicos y virtuales, incluidos los que "siempre han estado ahí".
- ¿Dónde está cada cosa? Edificio, piso, oficina, sala de servidores. Si puedes, recorre las dependencias en persona: siempre aparece algo que no estaba en ningún papel.
Ten a mano la documentación existente, aunque esté mal hecha. No la descartes: sirve como punto de comparación para encontrar lo que falta.
02Escanea la red y compara
Lo que está documentado y lo que realmente está conectado casi nunca coinciden. El escaneo de red te muestra la realidad. Yo usé nmap, que es gratuito y suficiente para empezar.
Primero, descubre qué equipos responden en cada segmento de red:
nmap -sn 192.168.1.0/24Luego, sobre los equipos encontrados, identifica sistema operativo y servicios abiertos:
nmap -sV -O 192.168.1.0/24 -oX resultado.xmlCruza el resultado con tu inventario en una planilla. Cada diferencia es un hallazgo:
- Está en la red, pero no en el inventario: equipo desconocido. Averigua de quién es y qué hace.
- Está en el inventario, pero no responde: dado de baja, apagado o en otra red. Confírmalo.
- Responde con servicios inesperados: escritorio remoto, carpetas compartidas o paneles web abiertos que nadie recuerda haber configurado.
En mi caso, el escaneo dejó en evidencia algo más grande: ningún equipo estaba en dominio, porque no existía un dominio. Los PC tenían nombres genéricos, sin indicar área ni usuario, así que era imposible saber a quién pertenecía cada uno sin ir a verlo.
03Ordena la identidad: dominio y nombres
Sin un dominio, cada equipo es una isla: las cuentas y contraseñas se gestionan una por una, no hay políticas centralizadas y no sabes quién inició sesión dónde. Tomé la iniciativa de crear el dominio, adaptado a cómo funcionaba la institución.
La decisión más útil fue la convención de nombres. Un buen nombre te dice de quién es o dónde está un equipo sin tener que ir a verlo. Usé dos criterios según el tipo de puesto:
| Tipo de puesto | Criterio | Ejemplo |
|---|---|---|
| Cargo estable, con una persona asignada | Nombre asociado al funcionario | PC-JPEREZ |
| Cargo con alta rotación (turnos, reemplazos, puestos compartidos) | Nombre del área y número | PC-ADMISION-02 |
Por qué la diferencia: en los puestos con alta rotación, un nombre de persona queda desactualizado en semanas. El nombre del área se mantiene aunque cambie quien se siente ahí.
Antes de aplicarla, escribe la convención en un documento corto y que la apruebe tu jefatura. Así todo equipo nuevo nace con el nombre correcto, aunque lo instale otra persona.
04Busca lo olvidado
Aquí aparecen los riesgos más graves. Encontré varios servidores que nadie administraba activamente: algunos con accesos sin contraseña y otros que compartían la misma contraseña entre sí y con cuentas de funcionarios. Ninguno estaba en los diagramas.
Por cada servidor o equipo olvidado, responde:
- ¿Qué hace? Si nadie lo sabe, no lo apagues de inmediato: monitorea su tráfico unos días para ver quién lo usa.
- ¿Quién es el responsable? Todo activo necesita un dueño con nombre, aunque sea provisorio.
- ¿Cómo se accede? Cuentas, contraseñas, servicios remotos abiertos.
Y corrige en este orden:
- Accesos sin contraseña: ciérralos primero. Es la puerta más fácil para cualquiera dentro de la red.
- Contraseñas repetidas: cámbialas por contraseñas únicas por servidor. Para la cuenta de administrador local de los equipos Windows, Microsoft LAPS genera una distinta en cada máquina automáticamente.
- Guárdalas en un gestor de contraseñas (como Bitwarden o KeePass), nunca en una planilla ni en un papel junto al servidor.
- Cuentas de personas que ya no trabajan ahí: desactívalas. Cruza con el listado de Recursos Humanos del paso 1.
05Define qué es crítico
No todo merece la misma protección, y con pocos recursos no puedes cuidar todo igual. La criticidad la define el contexto en que trabajas. En salud, un sistema caído puede afectar la atención de un paciente, y los datos clínicos son de los más sensibles que existen.
Para cada sistema o servidor, hazte tres preguntas:
| Pregunta | Si la respuesta es sí |
|---|---|
| Si se cae, ¿se detiene o se afecta la atención o el servicio principal? | Crítico por disponibilidad |
| ¿Guarda datos personales o sensibles (salud, datos de menores, biométricos)? | Crítico por confidencialidad |
| Si alguien altera su información, ¿puede causar un daño (un diagnóstico, un pago, un registro oficial)? | Crítico por integridad |
Un sistema que cumple al menos una es prioritario: parte por él con respaldos, accesos y parches. Conversa con las jefaturas de cada área para validar la lista, porque ellos saben qué se detiene si un sistema falla.
06Lo que haría distinto
Ordené la parte técnica primero y dejé las reglas para después. Si empezara de nuevo, haría ambas cosas en paralelo desde el inicio.
Cada cosa que instalas o cambias, como el dominio, un servidor nuevo o una herramienta de monitoreo, necesita reglas claras de uso: quién puede usarla, para qué, cómo se piden accesos y qué pasa cuando alguien se va. Sin eso, el orden que logras con la parte técnica se vuelve a desordenar con el tiempo, y la próxima persona que llegue encontrará lo mismo que encontraste tú.
En la práctica, eso significa acompañar cada avance técnico con su documento: la convención de nombres, el procedimiento de altas y bajas de usuarios, la política de contraseñas y las normas de uso de los equipos. No tienen que ser largos. Tienen que existir, estar aprobados y conocerse.
07Checklist y plantilla
- Tengo el listado vigente de usuarios desde Recursos Humanos.
- Sé cuántos equipos y servidores hay, y dónde está cada uno.
- Escaneé la red con autorización y crucé el resultado con el inventario.
- Los equipos están en dominio, con una convención de nombres aprobada.
- No quedan accesos sin contraseña ni contraseñas repetidas entre servidores.
- Cada servidor tiene un responsable con nombre.
- Identifiqué los sistemas críticos y los validé con las áreas.
- Cada cambio técnico tiene su documento de reglas de uso.
0 de 8 completados
Para el inventario, una planilla con estas columnas es suficiente para empezar:
| Nombre del equipo | Tipo | Ubicación | Responsable | IP | Sistema operativo | En dominio | Criticidad | Última revisión |
|---|---|---|---|---|---|---|---|---|
| PC-ADMISION-02 | PC | Admisión, piso 1 | Jefatura de Admisión | 10.0.1.25 | Windows 11 | Sí | Media | 2026-11 |
| SRV-ARCHIVO | Servidor | Sala de servidores | Encargado de TI | 10.0.0.10 | Windows Server 2019 | Sí | Alta | 2026-11 |
La columna más importante es Responsable: un activo sin dueño es un activo que nadie va a parchar ni dar de baja.
¿Qué va primero: las políticas o la parte técnica?
Si escribes las reglas sin conocer el entorno, terminan siendo papel. Si ordenas todo sin reglas, el orden no dura. La respuesta, y cómo escribir políticas que sí se cumplan, en la próxima guía.