¿Qué es la Segmentación de Red?

¿Qué es la Segmentación de Red?

La segmentación de red es la práctica de dividir una red de ordenadores en secciones más pequeñas y aisladas, de modo que los datos y sistemas sensibles queden separados del resto del entorno. En el contexto de la seguridad de los pagos, significa crear fronteras claras entre los sistemas que manejan datos de tarjeta y todo lo demás de tu red.

Imagina un hospital donde los quirófanos, la farmacia y las plantas generales están separados por puertas con acceso controlado. Aunque alguien lograra acceder a una planta general sin autorización, no podría simplemente entrar al quirófano. La segmentación de red funciona con el mismo principio: limita el radio de impacto de cualquier brecha de seguridad y mantiene protegidas las zonas sensibles.

Cómo Funciona la Segmentación de Red

A nivel técnico, la segmentación se consigue normalmente combinando cortafuegos, redes LAN virtuales (VLAN), listas de control de acceso y reglas de enrutamiento. Estos controles crean barreras entre distintas partes de la red y aseguran que el tráfico solo pueda fluir entre segmentos de las formas que se hayan permitido explícitamente.

Para un negocio que gestiona pagos con tarjeta, la frontera de segmentación más importante es la que rodea el Entorno de Datos del Titular de la Tarjeta (CDE): el conjunto de sistemas, redes y procesos que almacenan, procesan o transmiten datos de tarjeta. Al aislar el CDE de la red corporativa más amplia, las organizaciones pueden reducir drásticamente el alcance del cumplimiento de PCI DSS.

Sin segmentación, cada dispositivo y sistema de tu red podría considerarse potencialmente dentro del alcance de PCI DSS. Eso significa que cada portátil, impresora y servidor tendría que cumplir los requisitos de seguridad de la norma: una empresa enormemente cara e inviable en la práctica para la mayoría.

Enfoques Clave de Segmentación

• Segmentación física usa hardware totalmente separado —switches, routers y cableado distintos— para el CDE. Es el enfoque más seguro, pero también el más caro
• Segmentación lógica usa VLAN, reglas de cortafuegos y redes definidas por software para crear fronteras virtuales sobre hardware compartido. Es más rentable y es el enfoque que adoptan la mayoría de las organizaciones
• Microsegmentación va más allá aplicando controles granulares a nivel de cada carga de trabajo o aplicación, a menudo usando herramientas de redes definidas por software

Por Qué la Segmentación Importa para PCI DSS

PCI DSS no exige estrictamente la segmentación de red, pero la recomienda con fuerza, y con motivo. Sin segmentación, toda la red está en alcance, lo que significa que cada sistema debe cumplir todos los requisitos aplicables de PCI DSS. El coste, la complejidad y el esfuerzo continuo de mantener el cumplimiento en toda una red sin segmentar resultan prohibitivos para la mayoría de las organizaciones.

Una segmentación eficaz reduce el alcance al confinar los datos de tarjeta a un área pequeña y bien definida. Esto se traduce en menos sistemas que asegurar, menos sistemas que monitorizar, menos sistemas que incluir en los escaneos de vulnerabilidades y un proceso de auditoría más sencillo y barato. Para muchos negocios, una segmentación adecuada es el paso aislado más impactante que pueden dar para reducir su carga de cumplimiento PCI.

Segmentación en Entornos de Pago Telefónico

Los centros de contacto y los negocios que aceptan pagos por teléfono se enfrentan a retos particulares con la segmentación de red. Los sistemas implicados en un pago por teléfono —puestos de agente, plataformas de telefonía, servidores de grabación de llamadas, aplicaciones CRM y terminales de pago— suelen estar profundamente interconectados.

Si los datos de la tarjeta pasan por el canal de voz (por ejemplo, si un agente oye al cliente leer su número de tarjeta), entonces la infraestructura de telefonía, el puesto del agente y los sistemas de grabación pasan a formar parte del CDE. Segmentar estos sistemas del resto de la red es posible, pero añade una complejidad significativa.

Un enfoque más eficaz para muchas organizaciones es evitar que los datos de tarjeta entren en el entorno de telefonía en primer lugar. Mediante la tecnología de supresión DTMF, los dígitos de la tarjeta se capturan directamente desde el teclado de quien llama y se enrutan al procesador de pagos sin pasar nunca por el entorno del agente. Esto saca de hecho a los sistemas de telefonía del CDE, simplifica la segmentación y reduce drásticamente el alcance del cumplimiento.

Consideraciones Prácticas

La segmentación no es algo que se configure una vez y se olvide. PCI DSS exige que los controles de segmentación se prueben al menos cada seis meses (en proveedores de servicios) o anualmente (en comercios) para confirmar que siguen siendo eficaces. Los cambios de red, las nuevas aplicaciones y las actualizaciones de infraestructura pueden romper sin querer las fronteras de segmentación.

• Documenta tu arquitectura de red con claridad, mostrando todas las fronteras de segmentación
• Prueba los controles de segmentación con regularidad usando técnicas de pruebas de penetración
• Revisa las reglas de cortafuegos y las listas de control de acceso periódicamente para asegurarte de que siguen reflejando las fronteras previstas
• Sé prudente con cualquier cambio de red: lo que parece una actualización menor puede crear un camino no intencionado hacia el CDE

El Futuro de la Segmentación

A medida que los negocios pasan a infraestructuras cloud e híbridas, la segmentación de red tradicional está evolucionando. Las redes definidas por software y las arquitecturas zero trust están cambiando cómo se implementa la segmentación, alejándose de las fronteras basadas en perímetro para acercarse a controles de acceso basados en identidad que verifican cada conexión, sin importar de dónde proceda.

Para los centros de contacto, la migración al cloud está simplificando la segmentación en muchos aspectos. Las plataformas de telefonía y de pagos basadas en cloud separan de forma natural distintas funciones en servicios diferenciados, cada uno con su propia frontera de seguridad. Cuando el servicio de pagos corre en su propio entorno cloud aislado y con su propia certificación PCI, la segmentación queda integrada en la arquitectura en lugar de ser algo que el comercio tenga que configurar y mantener por sí mismo.