Cuando en una empresa conviven portátiles corporativos, dispositivos personales, equipos de visitantes, proveedores y dispositivos IoT, la red deja de ser un entorno homogéneo. Cada conexión puede representar una identidad, un nivel de confianza y una necesidad de acceso diferentes.
Por eso, el control de acceso a la red ya no consiste solamente en validar una contraseña. La empresa necesita saber quién intenta conectarse, desde qué dispositivo y qué recursos necesita realmente utilizar.
Cisco ISE permite llevar estas diferencias a políticas de acceso basadas en identidad y contexto. El objetivo es sencillo: estar conectado a la red no debería significar tener acceso a todo.
El problema empresarial detrás del control de acceso a la red
Una red puede ser relativamente sencilla de administrar mientras existen pocos usuarios, dispositivos y formas de conexión. La situación cambia cuando se incorporan trabajo híbrido, terceros, invitados, BYOD, IoT y aplicaciones con diferentes niveles de sensibilidad.
Dar un acceso similar a todos puede exponer recursos que determinados usuarios o equipos no necesitan. Aplicar demasiadas restricciones tampoco resuelve el problema: TI puede terminar gestionando excepciones manuales cada vez que una política interfiere con una actividad legítima.
El desafío consiste en transformar las necesidades de cada perfil en reglas administrables. Para hacerlo, es necesario conocer qué usuarios y dispositivos forman parte del entorno y qué recursos necesitan para cumplir su función.
No todos los usuarios y dispositivos deberían tener el mismo acceso
El control de acceso a la red define quién puede conectarse, desde qué dispositivo y a qué recursos puede acceder según las políticas establecidas por la organización.
Para tomar esa decisión pueden considerarse diferentes elementos:
| Elemento | Pregunta de decisión | Resultado esperado |
|---|---|---|
| Identidad | ¿Quién intenta conectarse? | Usuario o grupo identificado |
| Dispositivo | ¿Desde qué equipo se conecta? | Dispositivo reconocido y evaluado |
| Contexto | ¿Desde dónde y bajo qué condiciones? | Política adecuada al escenario |
| Recurso | ¿Qué necesita utilizar? | Acceso limitado a lo necesario |
Este modelo permite distinguir, por ejemplo, entre un empleado utilizando su equipo corporativo y un proveedor que necesita acceder temporalmente a un recurso específico.
Del acceso por contraseña al control basado en identidad
El Network Access Control (NAC) permite aplicar políticas para decidir cómo usuarios y dispositivos acceden a una red. En lugar de depender únicamente de su ubicación o dirección IP, la decisión puede incorporar información sobre identidad, tipo de dispositivo y otras condiciones.
Cisco define Cisco Identity Services Engine (ISE) como una plataforma de control de acceso basada en identidad capaz de aplicar políticas contextualizadas en entornos cableados, inalámbricos y VPN.
Cisco ISE permite centralizar políticas de acceso basadas en la identidad del usuario, el dispositivo y el contexto de conexión para aplicar diferentes niveles de acceso a la red empresarial.
Ovnicom integra estas capacidades dentro de su solución de Cisco ISE para empresas, orientada a controlar y segmentar el acceso de usuarios y dispositivos.
Cómo Cisco ISE aplica las políticas de acceso
Desde una perspectiva empresarial, el proceso puede resumirse en una secuencia:
Usuario o dispositivo se conecta → se obtiene información de identidad y contexto → se evalúa la política → se determina el acceso correspondiente.
La documentación de Cisco explica que ISE puede utilizar información sobre el usuario, dispositivo y otros atributos de contexto para tomar decisiones de acceso.
Esto permite que una organización establezca políticas diferentes según el escenario. Un empleado autenticado desde un dispositivo corporativo, por ejemplo, puede necesitar permisos distintos de los asignados a un visitante conectado mediante Wi-Fi.
La política deja así de depender únicamente de dónde se encuentra conectado el dispositivo y considera también quién intenta acceder y bajo qué condiciones.
Empleados, invitados, terceros e IoT: cuatro accesos diferentes
Los perfiles que comparten una infraestructura empresarial no necesitan los mismos recursos.
Un empleado corporativo puede requerir aplicaciones internas, plataformas de trabajo y servicios asociados con su función. Un invitado, en cambio, normalmente necesita conectividad sin acceso general a los sistemas internos.
Un proveedor o tercero puede requerir acceso temporal a determinados recursos para realizar una tarea concreta. Un dispositivo IoT presenta otro escenario: necesita comunicarse con los sistemas indispensables para cumplir su función, pero no necesariamente con otras áreas de la red.
Cisco ISE contempla diferentes escenarios de acceso cableado, inalámbrico y de invitados, permitiendo aplicar políticas de acuerdo con las características de cada conexión.
La finalidad es que cada perfil reciba el nivel de acceso adecuado sin convertir cada conexión diferente en una excepción manual.
Segmentación: estar conectado no significa acceder a todo
El control de acceso también puede combinarse con la segmentación de red para determinar cómo diferentes usuarios y dispositivos se comunican con los recursos empresariales. Este enfoque puede complementarse con otras capas de seguridad informática de redes y Firewall Cisco para proteger y controlar el tráfico dentro de la arquitectura empresarial.
Esto ayuda a aplicar un principio importante: un usuario o dispositivo debería acceder a los recursos que necesita, no automáticamente a todo lo disponible por encontrarse dentro de la red.
Sin embargo, segmentar requiere conocer previamente el entorno. Una política demasiado amplia pierde efectividad, mientras que una segmentación diseñada sin suficiente información puede afectar aplicaciones, equipos especializados o procesos legítimos. Por eso, inventario, identidad y políticas deben analizarse en conjunto.
Antes de implementar Cisco ISE, revise su entorno actual
Una implementación debería comenzar por entender la red existente y no directamente por configurar reglas.
Conviene inventariar usuarios, grupos, dispositivos y endpoints; identificar switches, Wi-Fi y mecanismos de acceso remoto; revisar directorios e identidades; y determinar qué aplicaciones o recursos son críticos para cada perfil.
También es necesario definir políticas simples y comprobables, responsables de su administración y procedimientos para gestionar excepciones. Un piloto sobre un grupo de usuarios, dispositivos o una parte controlada de la infraestructura puede ayudar a identificar comportamientos inesperados antes de ampliar el alcance.
La compatibilidad de los equipos de red, los métodos de autenticación disponibles y las integraciones existentes también deben formar parte de esta revisión.
Ordenar el acceso comienza por saber quién se conecta
El control de acceso a la red necesita evolucionar a medida que aumenta la variedad de usuarios, dispositivos y formas de conexión. Identidad, contexto y segmentación permiten aplicar políticas más precisas que un modelo donde todas las conexiones reciben un tratamiento similar.
Cisco ISE aporta una capa centralizada para convertir esa información en decisiones de acceso, pero su implementación debe partir de las necesidades y arquitectura reales de cada organización.
Si su empresa necesita evaluar cómo aplicar políticas de acceso basadas en identidad y contexto, conozca las capacidades de Cisco ISE o contacte con Ovnicom para revisar las necesidades de acceso y segmentación de su infraestructura.