Cómo documentar las comunicaciones permitidas entre segmentos
Documenta cada comunicación entre segmentos como una relación autorizada entre un origen, un destino y una función de negocio.
Equipo enginerIT· 2 min de lectura
Documenta cada comunicación entre segmentos como una relación autorizada entre un origen, un destino y una función de negocio. La matriz debe permitir decidir qué se permite y localizar la regla que lo aplica. Una lista de puertos sin responsables ni finalidad se queda obsoleta en cuanto cambia una aplicación.
Elige una fila que puedas verificar
Registra zona y activo de origen, zona y servicio de destino, protocolo, puerto o mecanismo equivalente, sentido de inicio, motivo y responsable. Distingue el equipo que inicia la conexión de las respuestas asociadas. Si usas nombres, grupos o direcciones dinámicas, explica cómo se mantienen y qué sistema los resuelve. No copies una dirección temporal a una política permanente sin prever su actualización.
Separa necesidad de implementación
Una aplicación puede necesitar comunicarse con su base de datos, mientras que la implementación concreta usa determinados objetos y reglas del firewall. Conserva ambas capas enlazadas: necesidad aprobada y referencia técnica. Así puedes cambiar una dirección sin perder la justificación, o detectar una apertura que ya no responde a ninguna necesidad. Incluye servicios auxiliares, como resolución de nombres y sincronización horaria, solo para los destinos requeridos.
Haz visibles las excepciones
Para un flujo temporal añade inicio, vencimiento, aprobación y método de retirada. Para una comunicación difícil de acotar, explica el motivo y el plan para reducirla; no la escondas como «servicios varios». NIST recomienda utilizar los flujos conocidos para organizar el aislamiento entre segmentos. En tu documentación, acompaña cada excepción de una prueba prevista y una revisión ligada a cambios del servicio, además de la revisión periódica.
Contrasta papel, configuración y tráfico
Elige algunas filas y comprueba que las reglas efectivas las permiten sin ampliar el alcance. Después recorre reglas sin fila asociada y decide si necesitan justificar o retirar. Observa tráfico para descubrir dependencias, pero no lo consideres autorización: una conexión existente puede ser innecesaria o indebida. Conserva fecha, persona revisora y resultado. Para compartir la matriz, limita el acceso porque describe rutas útiles para administrar, y también para atacar, tus sistemas.
Comprobaciones para cerrar la tarea
- ✓ Incluye sentido de inicio, finalidad y titular por flujo.
- ✓ Relaciona cada fila con objetos o reglas efectivos.
- ✓ Investiga reglas sin necesidad documentada.
Fuentes y documentación
- NIST SP 800-41 Rev. 1: políticas de firewall — Políticas, pruebas y mantenimiento de reglas de firewall; la configuración debe corresponder a la necesidad autorizada.
- NIST SP 800-82 Rev. 3: seguridad de tecnología operacional — Segmentación y flujos de OT; preservar seguridad física, disponibilidad y condiciones de prueba.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →