Cuando un atacante consigue entrar en la red corporativa, lo que determina el daño real no es la puerta que abrió sino cuánto puede moverse por dentro. La microsegmentación es la técnica que corta ese movimiento lateral.

Qué es la microsegmentación

La microsegmentación divide la red en zonas pequeñas y aisladas en las que cada comunicación se autoriza o deniega por política. Va mucho más allá de una VLAN:

Una VLAN separa por red física/lógica (ejemplo: oficina vs invitados).
La segmentación tradicional separa por firewall interno (norte-sur).
La microsegmentación separa por identidad, aplicación y contexto en cualquier plano (este-oeste incluido).

Es una de las piezas centrales del modelo Zero Trust.

Por qué importa

El 95 % de las brechas graves implican movimiento lateral tras la intrusión inicial. Sin microsegmentación:

Un phishing exitoso en un portátil abre acceso a servidores.
Un ransomware cifra recursos compartidos que nunca debieron ser accesibles.
Un proveedor comprometido salta a la producción del cliente (cadena de suministro).

Con microsegmentación bien hecha:

Cada aplicación es una zona de un solo salto.
Un dispositivo comprometido no puede descubrir ni escanear el resto.
Los registros muestran quién intentó qué, para forense y NIS2.

Cómo implementarla con ZTNA

Un modelo ZTNA moderno ya incorpora microsegmentación por diseño:

Directorio de aplicaciones: se inventarían todas las apps internas (RRHH, ERP, historia clínica, cámaras…).
Políticas por identidad + grupo + dispositivo: quién puede llegar a qué y desde qué tipo de equipo.
Túnel efímero por aplicación: el usuario nunca ve la red completa; solo el puerto de la app autorizada.
Registro completo de sesiones para auditoría.

Con la plataforma ConnectaSec, la microsegmentación se activa creando grupos de aplicaciones y asignándolos a roles. No hace falta rediseñar la LAN.

Comparativa: enfoques de segmentación

Enfoque	Coste	Complejidad	Alcance	Este-oeste
VLAN + ACL	Bajo	Baja	Solo LAN	No
Firewall interno	Alto	Alta	LAN + datacenter	Limitado
SDN (VMware NSX, Cisco ACI)	Muy alto	Muy alta	Datacenter	Sí
ZTNA con microsegmentación	Medio	Baja	LAN + remoto + cloud	Sí

Casos de uso reales

Clínicas y hospitales: aislar historia clínica de sistemas administrativos.
Retail multi-sede: TPV separado del Wi-Fi de invitados y de cámaras.
Industria: OT (máquinas) separado de IT (ofimática).
Administración pública: expedientes ENS Alto aislados del resto.

Errores comunes

Empezar por todo a la vez: mejor un piloto con 3 aplicaciones críticas.
Políticas por IP en lugar de por identidad → se rompen al cambiar la red.
No registrar denegaciones: no verás los intentos sospechosos.
Olvidar los servicios internos (DNS, backup, monitorización).

Microsegmentación y cumplimiento

NIS2 (art. 21.2.d): exige medidas para limitar el impacto de incidentes.
ENS Alto: mp.com.1 — segmentación efectiva.
ISO 27001: A.13.1.3 — segregación en redes.
RGPD: minimizar el acceso a datos personales.

Ver también nuestra guía NIS2 y SASE vs ZTNA.

Preguntas frecuentes

¿Necesito cambiar mi red actual? No. Con ZTNA la microsegmentación se aplica en el plano de acceso; la LAN puede quedar igual mientras migras.

¿Cuánto tarda en implementarse? Un piloto con 3–5 aplicaciones se hace en 1–2 semanas.

¿Es lo mismo que una VLAN? No. La VLAN separa broadcast; la microsegmentación autoriza cada conexión por política.

¿Quieres ver microsegmentación funcionando en tu red? Solicita una demo o calcula el impacto con la calculadora ROI ZTNA.