Red Hospitalaria: Segmentación Mínima NIS2

La ciberseguridad en las instituciones sanitarias ya no es una opción, sino un requisito legal y moral estricto. La Directiva NIS2, en particular el Artículo 21, exige a los operadores de servicios esenciales e importantes, incluidas las estructuras sanitarias, que adopten medidas técnicas y organizativas adecuadas para gestionar los riesgos de seguridad. Entre estas, la segmentación de red emerge como uno de los fundamentos imprescindibles para proteger datos sensibles y garantizar la continuidad operativa. No se trata de un lujo, sino del mínimo indispensable para superar una auditoría y, sobre todo, para proteger a los pacientes.

Cuando hablamos de redes hospitalarias, la complejidad es enorme: desde los sistemas de gestión clínica (HIS), hasta los sistemas de archivo y comunicación de imágenes (PACS), pasando por los dispositivos médicos conectados (IoT médico) y las infraestructuras IT tradicionales. Una red plana, donde un único punto de compromiso puede dar acceso indiscriminado a todo el entorno, es un riesgo inaceptable. He visto personalmente escenarios donde un malware en una única estación de trabajo administrativa estuvo a punto de propagarse a sistemas críticos, solo por la falta de segmentación adecuada. Este artículo explora las medidas mínimas de segmentación de red que una institución hospitalaria debería implementar para cumplir con las directivas actuales y, lo que es más importante, para ser resiliente a los ciberataques.

Tested on: Cisco Catalyst 9300 · FortiGate 200F · VMware NSX-T · Mayo 2026

Requisitos Previos / Entorno de Prueba

Antes de implementar cualquier estrategia de segmentación, es fundamental tener una clara comprensión del entorno de red existente. Esto incluye un inventario detallado de todos los dispositivos conectados, de los sistemas aplicativos críticos y de los flujos de tráfico. Es necesario disponer de infraestructuras de red capaces de soportar las VLAN (Virtual Local Area Network) y las ACL (Access Control List) a nivel de switch y router. Un firewall de nueva generación (NGFW) es esencial para la gestión de las políticas y para la inspección del tráfico. En nuestro entorno de prueba hemos utilizado switches Cisco Catalyst 9300, un firewall FortiGate 200F y, para algunas implementaciones avanzadas, VMware NSX-T para la micro-segmentación. Lee también: FortiGate: 3 Horas de Vulnerabilidad por Mala Configuración

1. Identificación y Clasificación de los Sistemas Críticos

El primer paso es identificar y clasificar todos los sistemas que gestionan datos sensibles o que son esenciales para las operaciones hospitalarias. Esto incluye:

Sistemas de Información Hospitalaria (HIS/EMR): Historias clínicas electrónicas, sistemas de gestión de pacientes.
Sistemas de Imagen (PACS/RIS): Imágenes diagnósticas e informes radiológicos.
Sistemas de Laboratorio (LIS): Análisis y resultados de laboratorio.
Sistemas de Farmacia: Gestión y distribución de medicamentos.
Dispositivos IoT Médicos: Bombas de infusión, monitorización de pacientes, equipos de diagnóstico conectados.
Infraestructura Crítica: Controladores de Dominio, servidores DNS, sistemas de respaldo.

Cada sistema debe ser evaluado en función de su impacto en la continuidad operativa y en la confidencialidad de los datos. Esta clasificación guiará la creación de las VLAN y la aplicación de las políticas de seguridad. Para un ejemplo de esquema de red anonimizado que muestra la segmentación, se puede hacer referencia a esquemas de arquitectura de referencia para la sanidad digital.

2. Implementación de las VLAN para la Segmentación Lógica

Las VLAN son el fundamento de la segmentación lógica. Permiten aislar grupos de dispositivos y sistemas aunque estén físicamente conectados al mismo switch. Esto reduce el dominio de broadcast y, crucialmente, limita la propagación lateral de un ataque. A continuación, un ejemplo de configuración VLAN en un switch Cisco:

configure terminal
vlan 10
 name HIS_VLAN
vlan 20
 name PACS_VLAN
vlan 30
 name IoT_Medicale
vlan 40
 name Workstations_Amministrative
vlan 50
 name Server_Infrastructure
exit
interface GigabitEthernet1/0/1
 switchport mode access
 switchport access vlan 10
exit

Es fundamental crear VLAN separadas para:

VLAN de Gestión Clínica: HIS, PACS, LIS.
VLAN IoT Médica: Todos los dispositivos médicos conectados. Estos dispositivos a menudo son difíciles de parchear y representan un riesgo elevado.
VLAN Workstation: Workstations administrativas, workstations clínicas, puestos de internet.
VLAN Servidores Core: Controladores de Dominio, DNS, DHCP, servidores de respaldo, SIEM.
VLAN Invitados: Para el acceso a internet de los visitantes, completamente aislada.

Lee también: Lynis Audit Linux: Guía Práctica de Hardening 2026

3. Firewalling entre las VLAN (Controles Este-Oeste)

La mera creación de VLAN no es suficiente. Es esencial que el tráfico entre estas VLAN sea filtrado y controlado por un firewall. Esto se conoce como control del tráfico Este-Oeste. Un firewall de nueva generación (NGFW) permite implementar políticas granulares basadas no solo en IP y puertos, sino también en aplicaciones, usuarios y contextos de seguridad.

Ejemplo de política FortiGate para permitir tráfico solo de HIS_VLAN a Server_Infrastructure (ej. Controlador de Dominio) en el puerto LDAP:

config firewall policy
    edit 0
        set name "HIS_to_DC_LDAP"
        set srcintf "HIS_VLAN_Interface"
        set dstintf "Server_Infrastructure_Interface"
        set srcaddr "HIS_VLAN_Address_Object"
        set dstaddr "DC_IP_Address_Object"
        set service "LDAP"
        set action accept
    next
end

Estas políticas deben ser rigurosas y seguir el principio del mínimo privilegio: permitir solo el tráfico estrictamente necesario. Todo lo demás debe ser denegado explícitamente.

4. Segmentación del Tráfico IoT Médico

Los dispositivos IoT médicos presentan desafíos únicos: a menudo están basados en sistemas operativos obsoletos, no soportan una autenticación robusta y son vulnerables a exploits conocidos. Aislarlos en una VLAN dedicada es un imperativo. Además, el tráfico desde y hacia estos dispositivos debería ser monitoreado cuidadosamente y limitado al mínimo indispensable para su funcionamiento. Se deberían considerar soluciones de Network Access Control (NAC) para autenticar y autorizar solo los dispositivos IoT reconocidos a conectarse a su VLAN dedicada.

Errores Comunes y Resolución de Problemas

Políticas demasiado permisivas: Uno de los errores más comunes es crear políticas de firewalling «any-any» entre VLAN para resolver problemas de conectividad. Esto anula completamente el beneficio de la segmentación. Es fundamental invertir tiempo en el mapeo de los flujos de tráfico y definir políticas precisas.
Falta de logging y monitorización: Sin un SIEM o un sistema de log centralizado, es imposible detectar intentos de acceso no autorizados o anomalías en el tráfico inter-VLAN. Asegurarse de que los logs de los firewalls y los switches sean enviados a un sistema de análisis.
Ignorar los dispositivos legacy: Viejos dispositivos médicos o sistemas IT que no pueden ser parcheados o actualizados representan un riesgo significativo. Deben ser aislados de forma agresiva y, si es posible, sustituidos.
Documentación deficiente: La falta de una documentación actualizada de las VLAN, las políticas y los flujos de tráfico convierte la gestión y la resolución de problemas en una pesadilla, además de hacer imposible demostrar la conformidad.

FAQ — Preguntas Frecuentes

¿La segmentación de red es suficiente para la conformidad NIS2?

No, la segmentación es un componente fundamental, pero la NIS2 requiere un enfoque holístico que incluye gestión de incidentes, evaluación de riesgos, seguridad de la cadena de suministro, y mucho más. Es un pilar, no la única medida.

¿Cuál es la diferencia entre segmentación de red y micro-segmentación?

La segmentación de red divide la red en segmentos más amplios (VLAN). La micro-segmentación lleva este concepto a un nivel más granular, aislando cargas de trabajo o aplicaciones individuales dentro de la misma VLAN, a menudo mediante firewalls de software o soluciones SDN como VMware NSX-T. Ofrece un control aún más preciso, pero es más compleja de implementar.

¿Cómo puedo probar la eficacia de mi segmentación?

A través de pruebas de penetración regulares, evaluaciones de vulnerabilidad y simulaciones de ataque (red teaming). Es crucial que estas pruebas incluyan escenarios de movimiento lateral entre los segmentos de red, para verificar la eficacia de las políticas de firewalling internas.

¿Debo segmentar también la red OT (Operational Technology) e IT?

Absolutamente sí. Las redes OT, que gestionan equipos médicos e infraestructuras críticas, deben estar rigurosamente separadas de las redes IT tradicionales. Los protocolos y las vulnerabilidades son diferentes, y un ataque a la red OT puede tener consecuencias directas en la vida de los pacientes.

Conclusiones con Puntos Clave Operativos

La segmentación de red en una institución hospitalaria no es un ejercicio teórico, sino una medida de seguridad pragmática y obligatoria para la conformidad NIS2. Implementar VLAN dedicadas para los sistemas críticos, los dispositivos IoT médicos y las estaciones de trabajo, y aplicar políticas de firewalling rigurosas entre estos segmentos, representa el mínimo indispensable. No solo protege de ataques externos, sino que también limita la propagación de amenazas internas. Invertir en una sólida arquitectura de red segmentada significa invertir en la seguridad de los pacientes y en la resiliencia operativa, reduciendo el riesgo de interrupciones que podrían tener consecuencias devastadoras.

Fuentes

Actualizado: Agosto 2026