Lista de verificación de ciberseguridad para WISP

Por qué la seguridad de un WISP es diferente

La mayoría de las pequeñas empresas defienden una sola red de oficina. Un WISP defiende una oficina, una red troncal y decenas de sitios remotos que nadie visita durante semanas. Cada router de torre es a la vez infraestructura crítica y una superficie de ataque físicamente accesible. Un dispositivo de torre comprometido puede utilizarse para interceptar el tráfico de los clientes, pivotar hacia su red troncal o dejar fuera de servicio toda una zona de cobertura.

Además, usted es un ISP a los ojos de sus clientes y, con frecuencia, de los proveedores de upstream. Las quejas por abuso, el tráfico de botnets procedente de dispositivos de suscriptores y los ataques DDoS dirigidos a su red terminan todos en su escritorio. La lista de verificación siguiente parte de esa realidad en lugar de ignorarla.

1. Proteja la infraestructura de las torres

Los routers, switches y radios de las torres son su superficie de ataque más grande y expuesta. Lo fundamental:

• Reemplace todas las credenciales predeterminadas y deshabilite los servicios y puertos no utilizados en todo el equipamiento de las torres.
• Coloque las interfaces de gestión en una VLAN de gestión dedicada, inalcanzable desde el tráfico de clientes y desde el internet público.
• Exija claves SSH o contraseñas únicas por dispositivo; nunca comparta una misma contraseña entre todos los sitios.
• Centralice la autenticación con RADIUS o TACACS+ para que el acceso de un técnico que deja la empresa pueda revocarse una sola vez, en todas partes.
• Mantenga el firmware actualizado en routers y radios, con una ventana de mantenimiento para cada sitio.
• Restrinja el acceso físico: gabinetes con llave, responsables de llaves documentados y un registro de visitas al sitio.

Para una versión sitio por sitio de esta lista, consulte nuestra lista de verificación de ciberseguridad para torres de WISP y la guía complementaria sobre protección de routers en sitios de torres sin supervisión. La página de la solución de seguridad para torres explica cómo se implementa esto habitualmente.

2. Segmente la red correctamente

Las redes planas son la forma en que un solo dispositivo infectado se convierte en un incidente para toda la empresa. Como mínimo, separe:

• El tráfico de clientes del tráfico de gestión de red
• Las estaciones de trabajo de oficina y la VoIP de la infraestructura de enrutamiento troncal
• El Wi-Fi de invitados de todo lo demás
• Los sistemas de facturación y de datos de clientes del acceso general de la oficina

Los firewalls entre segmentos deben denegar por defecto, con reglas documentadas y revisadas periódicamente. Si opera BGP o múltiples upstreams, asegúrese de que los filtros de rutas y las listas de prefijos formen parte de la misma revisión: un prefijo filtrado es un incidente de disponibilidad, no solo una curiosidad de enrutamiento.

La exposición a DDoS merece su propio plan: sepa qué proveedor de upstream ofrece mitigación, cuál es la ruta de escalación y cómo contactarlos a las 2 a. m. Nuestra guía sobre protección de la infraestructura de torres contra ataques DDoS recorre las opciones.

3. Refuerce la identidad y el acceso

La mayoría de las brechas comienzan con una credencial, no con un exploit. Para un WISP, las cuentas prioritarias son las que tocan el equipamiento de red, los sistemas de facturación y el correo electrónico:

• Autenticación multifactor (MFA) en el correo electrónico, la facturación, las herramientas RMM, la gestión de red y cualquier acceso remoto, sin excepciones para propietarios ni administradores.
• Cuentas nominales para cada técnico; ningún inicio de sesión compartido en ningún sistema.
• Un gestor de contraseñas para el equipo, con credenciales únicas por sistema.
• Un proceso documentado de altas, cambios y bajas para que el acceso se otorgue de forma deliberada y se retire el día en que alguien deja la empresa.
• Revisiones trimestrales de acceso de las cuentas de administrador en routers, firewalls y plataformas de facturación.

Si las herramientas de identidad son una brecha, la descripción general de gestión de identidades y accesos cubre opciones de SSO, MFA y acceso privilegiado dimensionadas para operadores más pequeños.

4. Aplique parches según un calendario, no cuando sea conveniente

Los sistemas sin parches son la vía más común de éxito de los ataques masivos. Un programa de aplicación de parches viable para la oficina y la red troncal de un WISP se ve así:

• Sistemas operativos y navegadores en todos los endpoints de la oficina, con parches automáticos y generación de informes.
• Aplicaciones de terceros —navegadores, lectores de PDF, herramientas remotas— incluidas en el mismo ciclo.
• Firmware del equipamiento de red con una cadencia definida, y las vulnerabilidades críticas atendidas fuera de banda.
• Un objetivo escrito sobre la rapidez con que se aplican los parches a las vulnerabilidades críticas, y una métrica que muestre si lo cumple.

El enfoque de gestión de parches y nuestro artículo sobre con qué rapidez deben aplicarse los parches a las vulnerabilidades críticas cubren los objetivos de SLA y la priorización con mayor profundidad.

5. Proteja los endpoints y vigile las señales de alerta

Cada estación de trabajo, portátil y servidor de la oficina necesita una protección de endpoints moderna con alertas centralizadas. El antivirus tradicional por sí solo ya no es suficiente para los sistemas que almacenan datos de clientes; la detección basada en comportamiento (EDR, detección y respuesta en endpoints) captura lo que las firmas no detectan, y un servicio administrado (MDR, detección y respuesta administrada) aporta la supervisión humana que la mayoría de los WISP no pueden mantener las 24 horas.

Nuestra comparación de EDR frente a MDR frente a antivirus explica dónde encaja cada uno. Sea lo que sea que implemente, las alertas deben llegar a un lugar donde alguien las lea: una consola sin supervisión llena de alertas sin revisar equivale a no tener detección alguna.

Centralice también los registros de firewalls, routers troncales y servidores clave. Cuando algo sale mal, la diferencia entre un incidente de dos horas y una investigación de dos semanas suele ser si los registros existen.

6. Proteja los datos de los clientes y la oficina

Los registros de suscriptores, los datos de pago y los tickets de soporte lo convierten en un objetivo aunque su equipamiento de red sea perfecto. Trate los datos de los clientes como su propio dominio de seguridad:

• Sepa exactamente dónde residen los datos de los clientes —plataforma de facturación, CRM, correo electrónico, hojas de cálculo— y quién puede acceder a cada copia.
• Cifre los portátiles y cualquier medio portátil que contenga registros de clientes.
• Mantenga los datos de pago dentro de un procesador de pagos conforme a la normativa en lugar de almacenar usted mismo los números de tarjeta.
• Defina una política de retención y elimine los datos que ya no necesita; los datos que no posee no pueden ser vulnerados.
• Capacite al personal sobre las señales de alerta de phishing y fraude en pagos, y póngalos a prueba con simulacros de phishing varias veces al año. El correo electrónico sigue siendo la vía de entrada más común de los atacantes, por lo que una capa de seguridad de correo electrónico se amortiza rápidamente.

7. Haga copias de seguridad y ensaye el mal día

Las copias de seguridad solo cuentan si sobreviven al mismo incidente que deja fuera de servicio la producción. Siga el esquema 3-2-1: tres copias, dos tipos de medios, una fuera de las instalaciones o desconectada; y asegúrese de que al menos una copia sea inmutable o esté aislada para que el ransomware no pueda cifrarla también. Pruebe las restauraciones con regularidad; una copia de seguridad no probada es una hipótesis, no un plan.

Combine las copias de seguridad con un plan de respuesta a incidentes por escrito: quién toma las decisiones, quién habla con los clientes, cuándo involucrar a las autoridades o a su aseguradora, y cómo preservar la evidencia. Nuestra guía para crear un plan de respuesta a incidentes y el recorrido sobre qué ocurre durante un ataque de ransomware son buenos puntos de partida. La página de copias de seguridad y recuperación cubre las opciones de copias de seguridad inmutables.

8. Haga que sea medible

Una lista de verificación que se ejecutó una sola vez no es un programa de seguridad. Elija un puñado de métricas —cumplimiento de parches, cobertura de MFA, tasa de fallos en pruebas de phishing, tiempo de restauración— y revíselas mensualmente. Las tendencias importan más que cualquier cifra aislada.

Si desea una línea base rápida, nuestra calculadora de puntuación de seguridad convierte las principales áreas de control en una autoevaluación puntuada que puede repetir trimestralmente. Y cuando llegue la temporada de renovaciones, las respuestas que prepare para un cuestionario de ciberseguros se corresponden casi uno a uno con esta lista de verificación: hacer el trabajo una vez sirve para ambas cosas.

Por último, recuerde que la postura de seguridad y el diseño de la red están conectados. La higiene del direccionamiento IP, la política de enrutamiento y la redundancia del backhaul afectan la resiliencia; la calculadora de tamaño de bloques IP y la calculadora de capacidad de backhaul pueden ayudarle con la parte de planificación mientras trabaja en los puntos de seguridad de esta lista.