Redes abiertas y equipos propios, qué se puede controlar

En una empresa, cada equipo tiene dueño, agente y ventana de parcheo. En un campus, la mayoría de lo que se conecta es un equipo personal: la institución no lo compró, no lo inventaría y no puede exigirle actualizaciones. Intentarlo genera fricción y casi nunca funciona; además, escanear con credenciales un teléfono ajeno sería invadir un dispositivo que no es de la universidad.

Eso no significa mirar hacia otro lado. Significa cambiar la pregunta: ya no es «¿este equipo está parchado?» sino «¿qué puede alcanzar este equipo si está comprometido, y qué puede alcanzarlo a él?». El control se pone en la red y en los servicios, que sí son de la institución.

Abre redes.csv. Cada fila es un segmento con los equipos vistos, cuántos están gestionados y cuántos usan un sistema operativo sin soporte. Un número absoluto engaña: 410 equipos sin soporte en una red de 2800 pesan menos, en proporción, que 35 en una de 120. La proporción dice qué tan descuidado es el conjunto; no dice todavía qué tan grave es.

Calcula la proporción de equipos sin soporte en cada segmento (sin soporte entre equipos vistos) y quédate con la mayor.

El segmento más descuidado puede ser el menos peligroso: una red de invitados con salida solo a internet no alcanza nada interno. El riesgo sale de cruzar el estado del equipo con lo que tiene a su alcance. Por eso en el campus se mide primero qué se conecta con qué, y después cuántos equipos viejos hay.

Los equipos personales no se escanean ni se les pide agente (esa es la política del campus). Lo proporcionado es aislar: dejarles salida a internet y los servicios académicos publicados, y nada más. Eso reduce el riesgo sin tocar un solo dispositivo ajeno.

Una segmentación vale lo que valen sus excepciones. Las reglas «temporales» sin fecha de vencimiento son la forma más común de que un muro deje de serlo: alguien necesitó un acceso un día, nadie lo retiró, y la red de estudiantes termina alcanzando algo que no debe.

Abre reglas-cortafuegos.txt y compáralo con la tercera cláusula de politica-byod.txt: ningún equipo personal debe alcanzar la red administrativa.

Estudiantes y residencias son las dos redes más grandes y las dos sin ningún equipo gestionado. Para dimensionar el problema ante el comité sirve un número: cuántos equipos con sistema operativo sin soporte comparten esas dos redes. No es una lista de culpables, es el tamaño de lo que la segmentación tiene que contener.

Suma la columna de equipos sin soporte de los dos segmentos de estudiantes (Wi-Fi y residencias).