Wifi de la oficina: separar la red de invitados y la de trabajo

Por qué separar la red de trabajo de las visitas y los móviles

En muchas gestorías, clínicas, inmobiliarias y despachos hay una única red wifi con la pegatina del operador todavía pegada debajo del router. A esa misma red se conectan el portátil de gerencia (PORT-GERENCIA-01), el ordenador del mostrador (PC-RECEP-02), la impresora multifunción del pasillo, los veinte teléfonos personales de la plantilla, el portátil del auditor que viene dos mañanas al trimestre y el cliente que espera en la recepción y pide la contraseña para descargar un PDF.

Mientras todo el mundo comparte la misma red local, cualquier aparato conectado tiene línea directa con los demás. Si un ordenador de administración tiene una carpeta compartida con permisos abiertos por comodidad, o si el disco de red (NAS) donde guardáis las copias de seguridad de la empresa responde en la misma subred, cualquier teléfono o portátil que entre en esa wifi puede ver esos recursos.

Separar la wifi resuelve cuatro problemas concretos del día a día sin encarecer la instalación:

• Visitas y proveedores externos. Cuando un comercial, un perito o un paciente se conecta a la wifi principal, su contraseña queda guardada en su móvil o portátil. La próxima vez que pase por la acera o se siente en la sala de espera, su dispositivo entrará automáticamente dentro de la red de tus ordenadores de trabajo.
• Móviles personales del equipo. Aunque confíes plenamente en tus empleados, tú no administras sus teléfonos particulares. En esos móviles se instalan juegos de los niños, aplicaciones fuera de tienda oficial o redes privadas gratuitas. Si uno de esos teléfonos se infecta, no debe tener visibilidad sobre PC-FISCAL-01 ni sobre el servidor contable.
• Cámaras, alarmas, televisores y climatización. Los aparatos de domótica, las cámaras IP económicas, el televisor de la sala de reuniones o el termostato conectado rara vez reciben actualizaciones de seguridad pasados dos años de su compra. Conviene que salgan a internet por su cuenta sin ver los puestos de trabajo.
• Saturación y cortes en videollamadas. Si treinta teléfonos están subiendo fotos a la nube en segundo plano o descargando vídeos en la misma banda que los portátiles de trabajo, las llamadas por Teams o el escritorio remoto empezarán a entrecortarse a media mañana.

La red de invitados del router: cuándo basta y cuándo no

Si tu oficina es pequeña (entre cinco y diez puestos en una sola planta), no tienes servidor local porque trabajáis con todo en SharePoint o OneDrive, y utilizas únicamente el router que instaló la operadora de fibra, la forma más rápida de separar el tráfico es encender la función «Red de invitados» o «Guest Wi-Fi» integrada en el propio router.

Al activarla desde el panel web del router (normalmente entrando en http://192.168.1.1 desde el navegador), el aparato emite un segundo nombre de red con una contraseña distinta. Los dispositivos que se conectan a ese segundo nombre salen a internet, pero el router bloquea por software cualquier intento de comunicarse con los ordenadores conectados por cable o a la wifi principal.

Esta solución del router del operador funciona bien en locales diáfanos pequeños, pero tiene una limitación importante: el aislamiento de invitados del router suele perderse en cuanto pones repetidores domésticos o PLC por la oficina. Si enchufas un amplificador wifi de enchufe en el pasillo para que llegue señal al despacho del fondo, ese amplificador suele puentear todo el tráfico de vuelta a la red principal. Por eso, en cuanto la oficina necesita más de un punto de emisión, conviene usar puntos de acceso profesionales que entiendan la separación de redes de extremo a extremo.

Impresoras en red, carpetas compartidas y aislamiento entre clientes

La duda más habitual cuando se plantea separar la wifi en un despacho es qué va a ocurrir con la fotocopiadora grande del pasillo o con el escáner que envía documentos a una carpeta del ordenador. Si los separas mal, un lunes a las nueve nadie puede imprimir desde los portátiles.

La regla práctica para no romper nada consiste en distinguir qué aparatos son herramientas de trabajo y cuáles no:

• La impresora va por cable y con IP fija en la red de trabajo. Siempre que sea posible, conecta la multifunción (por ejemplo, IMP-PASILLO-01) mediante cable Ethernet al switch y asígnale una dirección IP fija fuera del rango automático (por ejemplo, 192.168.10.20). Así los ordenadores de trabajo, tanto los sobremesas por cable como los portátiles en la wifi Oficina-Trabajo, la encontrarán siempre a la primera y el escaneo a carpeta (SMB) no fallará cada vez que se reinicie el router.
• En la red de invitados se activa el aislamiento de clientes (Client Isolation). Esta casilla, que en muchos puntos de acceso aparece como «Aislamiento de AP» o «Bloquear tráfico LAN a WLAN», impide no solo que un invitado vea la red de trabajo, sino también que dos invitados conectados a la misma wifi de sala de espera se vean entre sí. Ningún móvil en Oficina-Invitados necesita descubrir la impresora ni enviar trabajos a la bandeja de papel de administración.
• Perfil de red en Windows 11. En los portátiles de empresa, asegúrate de que la wifi Oficina-Trabajo esté marcada en Windows 11 (Configuración › Red e internet › Wi-Fi › Propiedades de la red) con el perfil Privado si necesitáis compartir recursos locales, pero que cualquier wifi externa (cafeterías, hoteles, clientes) quede siempre en perfil Público para que el cortafuegos de Windows oculte el equipo.

Si quieres comprobar desde un ordenador con Windows 11 a qué red wifi está conectado, qué canal utiliza, qué tipo de seguridad negocia y qué perfil de cortafuegos tiene aplicado, puedes abrir PowerShell y ejecutar estos dos comandos:

netsh wlan show interfaces

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

En macOS, un truco muy rápido para ver la calidad real de la señal, el canal y el estándar de seguridad sin abrir la terminal consiste en mantener pulsada la tecla Opción (⌥) mientras haces clic en el icono del wifi de la barra superior del reloj.

Cuándo dar el salto a VLAN con un switch gestionable

Cuando la oficina pasa de diez o doce puestos, o cuando el local tiene dos plantas, tabiques gruesos o varios despachos cerrados, el router de la operadora se queda corto. En ese escenario lo habitual es instalar un switch en el armario de comunicaciones (rack) y repartir dos o tres puntos de acceso de techo o pared por la oficina.

Si el switch es básico (no gestionable), todos los cables van al mismo saco. En cambio, con un switch gestionable y un router o cortafuegos capaz de manejar VLAN (redes locales virtuales), puedes llevar varias redes completamente separadas por el mismo cableado y emitirlas a la vez desde los mismos platos wifi del techo.

Esta separación también ayuda a cumplir las medidas de seguridad exigidas por el RGPD, la norma ISO 27001 o el Esquema Nacional de Seguridad (ENS), que piden que los sistemas donde se tratan expedientes de clientes o datos de salud estén protegidos frente a equipos no autorizados. Si estás revisando este punto, te servirá cruzarlo con nuestra guía de ciberseguridad básica para una oficina y tener controlados todos los aparatos en el inventario de equipos informáticos.

Contraseñas WPA2/WPA3 y cambiar el acceso del router del operador

De poco sirve dividir la red si la puerta de administración del router sigue con la contraseña de fábrica o el wifi utiliza un cifrado antiguo. Hay cuatro ajustes que conviene revisar en cualquier oficina:

• Usa WPA2/WPA3 Personal (AES) y desactiva WEP o WPA antiguo. El modo mixto WPA2/WPA3 permite que los portátiles y teléfonos recientes negocien WPA3 (más resistente frente a intentos de adivinar la contraseña por diccionario) sin dejar fuera a una impresora o un portátil de hace cuatro años que solo hable WPA2. Asegúrate de que el cifrado sea exclusivamente AES (CCMP), nunca TKIP.
• Desactiva el botón WPS. El sistema WPS por PIN de ocho dígitos en los routers domésticos permite entrar a la red en pocos minutos mediante herramientas automatizadas. Entra en la configuración inalámbrica del router y déjalo deshabilitado.
• Cambia la contraseña de administración del router del operador. Una cosa es la contraseña para conectarse al wifi y otra distinta la contraseña para entrar a configurar el router en 192.168.1.1. Muchos routers llevan esa contraseña impresa en la pegatina inferior o usan una combinación por defecto fácil de adivinar. Cámbiala por una contraseña larga y anótala en el gestor de contraseñas de gerencia.
• Pon contraseñas distintas y legibles en cada wifi, y un código QR en recepción. La red Oficina-Trabajo no debe sabérsela nadie de memoria: se configura una vez en los portátiles de empresa y no se comparte. Para Oficina-Invitados, usa una frase de tres o cuatro palabras con algún número (por ejemplo, Salamanca.Invitados.2026) o coloca una pequeña tarjeta con un código QR en la sala de espera para que las visitas se conecten apuntando con la cámara sin pedir nada en recepción.

Dónde poner los puntos de acceso para que la señal llegue bien

Incluso con el mejor router, si el aparato está metido dentro de un armario metálico junto al cuadro eléctrico en la entrada del local, el despacho del fondo tendrá mala cobertura. La señal wifi (sobre todo en la banda de 5 GHz, que es la más rápida y menos saturada) rebota en espejos, cristales blindados, archivadores metálicos y muros de carga.

Al planificar dónde colocar los puntos de acceso en una oficina de entre diez y cuarenta puestos, sigue estos criterios prácticos:

• En el techo o en la parte alta de la pared, a la vista. Las antenas de los puntos de acceso profesionales están diseñadas para repartir la señal hacia abajo y hacia los lados como un paraguas. Esconder el aparato detrás de un monitor, debajo de una mesa o encima de un falso techo metálico reduce la cobertura a la mitad.
• Cada punto de acceso, conectado por cable Ethernet (PoE). Evita encadenar repetidores inalámbricos que toman señal wifi débil y la vuelven a emitir. Tira un cable de red categoría 6 desde el switch hasta el techo de la zona central de mesas y alimenta el punto de acceso por el mismo cable mediante PoE (Power over Ethernet), sin necesidad de poner un enchufe eléctrico en el techo.
• Reparte los canales y ajusta la potencia. Si colocas dos o tres puntos de acceso en la misma planta, no los dejes todos en el mismo canal ni con la potencia al máximo. En la banda de 2,4 GHz utiliza únicamente los canales 1, 6 y 11 alternados entre puntos cercanos para que no se pisen entre sí, y reserva la banda de 5 GHz para los portátiles de trabajo cercanos.

Qué piden la ISO 27001 y el ENS sobre la wifi y la separación de redes

Cuando una empresa pasa una auditoría de seguridad o trabaja como proveedor de la Administración, compartir una única wifi plana para empleados, teléfonos personales y visitas se anota como no conformidad. La norma ISO/IEC 27001:2022 exige en su Anexo A el control 8.22 (segregación de redes), que obliga a dividir la red en dominios separados según el nivel de confianza para que los dispositivos ajenos no alcancen los servidores ni los equipos de la plantilla (8.1 dispositivos finales de usuario). Este requisito se apoya en el control 8.20 (seguridad de redes) para proteger y documentar la electrónica de red, junto con 5.15 (control de acceso) y 8.5 (autenticación segura) para impedir que la red interna use contraseñas por defecto o compartidas sin control.

En el Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022, BOE-A-2022-7191), aplicable al sector público y a las empresas privadas que le prestan servicios o soluciones en sus categorías BÁSICA, MEDIA y ALTA, la medida mp.com.4 (separación de flujos de información en la red) exige aislar el tráfico de distintos perfiles de usuario respecto a terceros, complementada con mp.com.1 (perímetro seguro) y op.acc.6 (mecanismo de autenticación para usuarios de la organización). Además, el ENS pide mantener un registro de routers, switches y puntos de acceso mediante op.exp.1 (inventario de activos) y aplicar parches de firmware con op.exp.4 (mantenimiento y actualizaciones de seguridad). Todo ello refuerza el artículo 32 del RGPD (seguridad del tratamiento) y la LOPDGDD (Ley Orgánica 3/2018) al evitar que un dispositivo en la sala de espera tenga visibilidad sobre carpetas con datos personales.

En una revisión, el auditor no se conforma con que le digas que existen dos nombres de wifi: te pedirá el esquema de red actualizado, el listado de equipos de comunicaciones inventariados (control 5.9 de ISO 27001 y op.exp.1 del ENS), la exportación o capturas de las reglas entre VLAN y una prueba rápida desde la red de invitados comprobando que no responde ningún equipo interno. Ten en cuenta que la certificación oficial (o la certificación de conformidad del ENS en categorías MEDIA y ALTA, siendo posible la autoevaluación en BÁSICA) la emite siempre una entidad acreditada por ENAC en España; en Inventariamos no auditamos ni certificamos, sino que ayudamos a preparar y mantener al día estas evidencias técnicas (inventario, copias, accesos e incidencias) según el alcance acordado.

Fuentes oficiales

• INCIBE, ciberseguridad para empresas
• CCN-CERT
• Real Decreto 311/2022, Esquema Nacional de Seguridad

Cómo lo hacemos en Inventariamos

En Inventariamos revisamos el mapa de red de tu oficina, configuramos la separación entre la red de trabajo, los invitados y el resto de dispositivos (ya sea sobre el router existente en despachos pequeños o montando switches gestionables y puntos de acceso por VLAN), dejamos las impresoras con IP fija para que no se desconfiguren y documentamos cada punto de acceso, switch y equipo en el panel de Inventariamos para vigilar su estado. Puedes ver qué incluye nuestro servicio de Sistemas y redes o escribirnos desde Contacto para que estudiemos la wifi de tu local.