Segmentación de dispositivos, la red como parche

Un equipo con un sistema operativo sin soporte no se arregla, pero sí se puede encerrar. La idea de la segmentación es agrupar los dispositivos médicos en una zona de red propia (una VLAN) y definir, con reglas explícitas, qué entra y qué sale de ella. Si alguien compromete una estación de la oficina, la zona de dispositivos sigue fuera de su alcance.

La segmentación no elimina la vulnerabilidad del equipo: reduce quién puede intentar usarla. Por eso en los equipos heredados es el primer control que se mira.

Un cortafuegos se lee regla por regla: origen, destino, puerto y acción. Una política sana para la VLAN 30 deja entrar solo a lo necesario (estaciones clínicas por un puerto de consulta, por ejemplo) y niega lo demás. Abre reglas.csv y vlans.csv: la VLAN 50 es la red de invitados, que no tiene ninguna necesidad de hablar con los dispositivos.

El cortafuegos de la clínica evalúa las reglas de arriba abajo y la primera que coincide decide. Una regla de «permitir» colocada antes de una de «denegar» gana aunque la política diga lo contrario, y una regla de denegar general al final solo protege de lo que no se haya permitido antes.

Por eso una revisión no basta con listar las reglas: hay que leerlas en su orden y preguntar, para cada flujo, cuál es la primera que lo toca.

Una buena regla no sirve si el dispositivo está en la zona equivocada: un monitor conectado a la red administrativa no recibe las restricciones de la zona de dispositivos, y se ve desde equipos que nunca deberían alcanzarlo. La subred de cada VLAN está en vlans.csv y la dirección de cada dispositivo en dispositivos.csv.

La regla que abre la zona tiene un alcance concreto: todos los dispositivos que viven en la subred de destino. Para medir el riesgo hay que contarlos, no estimarlos. La zona de dispositivos médicos es la subred 192.0.2.128/26, que va de la dirección .128 a la .191.