Segmentación de redes: por qué se vuelve crítica con la Ley 21.663
Qué exige realmente la ley, qué pide la ANCI a los operadores de importancia vital y cómo dividir la red en zonas para que un incidente no se propague.
La segmentación de redes pasó de ser una recomendación técnica a una pieza clave del cumplimiento de la Ley 21.663. Cuando un atacante entra a una red plana, puede moverse de un equipo a otro hasta llegar a los sistemas más sensibles. Dividir la red en zonas controladas reduce ese riesgo y limita el daño de un incidente.
En este artículo explicamos qué dice realmente la ley, qué pide la ANCI a los operadores de importancia vital y cómo diseñar la segmentación de redes con VLAN, zonas, DMZ y un firewall, incluyendo un plan de implementación en 90 días y los errores que conviene evitar.
- Qué exige la ley y qué no dice
- Lo que pide la Instrucción General N.º 4
- El problema: el movimiento lateral
- VLAN, zonas, DMZ y microsegmentación
- Tipos de segmentación y Zero Trust
- Cómo diseñar las zonas y sus reglas
- Ejemplo de plan de direccionamiento
- Segmentación según el tipo de organización
- Cómo elegir un firewall para segmentar
- De la ley al control y la evidencia
- Plan de implementación en 90 días
- Cómo probar que funciona
- Errores frecuentes
- Cómo demostrar que segmentó
- Preguntas frecuentes
Qué exige la Ley 21.663 y qué no dice
Conviene ser precisos: la Ley 21.663 no establece, con esas palabras, que una empresa deba segmentar su red. Lo que exige es adoptar medidas para prevenir los incidentes y reducir su impacto y su propagación. La segmentación de redes es una de las medidas técnicas más eficaces para lograr exactamente ese objetivo, por eso aparece una y otra vez en las guías de cumplimiento.
En resumen: la ley fija el objetivo (contener y reducir la propagación de incidentes). La segmentación es una forma concreta de cumplirlo, no un artículo que la nombre literalmente.
Lo que pide la Instrucción General N.º 4 de la ANCI
Para los Operadores de Importancia Vital, la ANCI fue más específica. La Instrucción General N.º 4, publicada en diciembre de 2025, detalla medidas para reducir el impacto y la propagación de incidentes. Según el resumen de Garrigues, entre ellas figuran:
- Limitar accesos y aislar sistemasRestringir accesos y aislar los entornos comprometidos; si es necesario, suspender servicios de forma parcial o temporal.
- Credenciales bajo controlCambiar contraseñas de cuentas privilegiadas y eliminar cuentas genéricas o inactivas en un plazo de 3 horas tras un impacto relevante, y revisar credenciales cada 6 meses.
- Accesos remotos expuestosBloquearlos o darlos de baja en 3 horas, exigir VPN o restricción por IP, y deshabilitarlos al terminar la gestión.
- Firewall con bloqueo entrante por defectoMantener cortafuegos que bloqueen el tráfico entrante salvo el que esté justificado.
- Segmentar y proteger lo críticoSegmentar redes para evitar desplazamientos laterales, proteger los respaldos y restringir el tráfico entre sistemas críticos.
- Documentar y comunicarRegistrar las decisiones, conservar evidencias e informar a la alta dirección y a la ANCI.
Estas medidas están dirigidas a los OIV. Para el resto de las organizaciones funcionan como una referencia clara de qué se considera una buena práctica razonable.
El problema real: el movimiento lateral
La mayoría de los ataques no comienzan en el sistema más valioso. Comienzan en un correo falso, en una credencial filtrada o en un equipo sin actualizar. Desde ahí, el atacante explora la red buscando servidores y respaldos. Ese recorrido se llama movimiento lateral, y es justamente lo que la segmentación busca impedir.
El mismo ataque en dos redes. Con segmentación, el firewall corta el recorrido antes de llegar a servidores y respaldos.
En una red plana, cada equipo puede ver a todos los demás, así que el recorrido es directo. Con segmentación, el firewall decide qué tráfico cruza entre zonas y deja registro de cada intento. El incidente puede seguir existiendo, pero queda acotado y visible.
VLAN, zonas, DMZ y microsegmentación: qué es cada cosa
El vocabulario de la segmentación suele mezclarse. Estas son las piezas y para qué sirve cada una:
| Concepto | Qué es | Para qué sirve | Quién lo controla |
|---|---|---|---|
| VLAN | Red virtual que separa equipos a nivel de switch | Aislar grupos sin cambiar el cableado | Switches y router |
| Zona de seguridad | Conjunto de segmentos con el mismo nivel de confianza | Aplicar políticas distintas según el riesgo | Firewall |
| DMZ | Zona intermedia para servicios expuestos a internet | Que un servicio público comprometido no abra la red interna | Firewall |
| Microsegmentación | Reglas por aplicación o carga de trabajo | Contener incidentes dentro de una misma zona | Firewall y plataformas de virtualización |
| Acceso remoto (VPN) | Túnel cifrado para quien trabaja fuera | Dar acceso solo a lo necesario, con autenticación fuerte | Firewall o concentrador VPN |
Tipos de segmentación de redes y su relación con Zero Trust
No toda segmentación es igual. Según el nivel en que se aplique, ofrece distintos grados de control y también distintos costos de operación. Conocer las diferencias ayuda a elegir el punto de partida y a saber cuándo conviene avanzar al siguiente nivel.
| Tipo | Cómo funciona | Ventaja | Limitación |
|---|---|---|---|
| Física | Redes con equipos y cableado separados | Aislamiento total entre entornos | Costosa y poco flexible; difícil de escalar |
| Lógica (VLAN y zonas) | Separación en la misma infraestructura con VLAN y un firewall que decide el tráfico | Buen equilibrio entre costo y control; es el punto de partida habitual | Requiere reglas bien definidas; sin ellas no contiene |
| Por aplicación (microsegmentación) | Reglas por servidor, servicio o carga de trabajo, incluso dentro de la misma zona | Contiene incidentes con gran precisión | Más trabajo de diseño y mantención |
La segmentación también es una pieza de la arquitectura Zero Trust. Zero Trust parte de la idea de no confiar automáticamente en nada, ni siquiera en el tráfico que viene de dentro de la red. Segmentar es lo que permite aplicar esa idea en la práctica: si cada zona tiene sus propias reglas, un equipo comprometido no hereda la confianza de toda la red. Por eso muchas organizaciones comienzan con zonas amplias y, a medida que maduran, afinan el control hacia la microsegmentación.
Cómo diseñar las zonas y sus reglas
El diseño parte de una pregunta: ¿qué debería poder hablar con qué? Una vez inventariados activos y flujos, se agrupan en zonas por nivel de riesgo y se define una política de mínimo privilegio entre ellas. Las VLAN separan, pero es el firewall el que decide y registra lo que cruza.
Reglas por zona: solo pasa el tráfico que tiene una justificación.
Un conjunto inicial de reglas, simple y fácil de auditar, podría verse así:
| Origen | Destino | Servicio | Acción |
|---|---|---|---|
| Usuarios | Servidores de aplicaciones | Solo los puertos de la aplicación | Permitir y registrar |
| Invitados | Red interna | Cualquiera | Bloquear |
| Internet | DMZ | HTTPS al servidor publicado | Permitir con inspección |
| Internet | Servidores internos y respaldos | Cualquiera | Bloquear |
| Servidores | Respaldos | Protocolo de respaldo definido | Permitir solo desde el servidor autorizado |
Ejemplo de plan de direccionamiento por zonas
Un plan ordenado de VLAN y rangos de direcciones facilita escribir reglas claras y revisarlas después. Este esquema es solo ilustrativo; los números deben adaptarse a su red actual:
| VLAN | Zona | Rango de ejemplo | Regla base hacia otras zonas |
|---|---|---|---|
| 10 | Usuarios | 10.10.10.0/24 | Acceso solo a los servicios que necesita; sin acceso a respaldos |
| 20 | Servidores internos | 10.10.20.0/24 | Reciben conexiones de usuarios solo en los puertos de cada aplicación |
| 30 | DMZ | 10.10.30.0/24 | Reciben tráfico de internet; no inician conexiones hacia la red interna |
| 40 | Invitados | 10.10.40.0/24 | Solo salida a internet; sin acceso a la red interna |
| 50 | Respaldos | 10.10.50.0/24 | Accesibles únicamente desde el servidor de respaldo autorizado |
| 99 | Gestión | 10.10.99.0/24 | Acceso restringido a administradores, con autenticación reforzada |
La zona de gestión merece una mención aparte: es la que permite administrar el firewall, los switches y los servidores. Si un atacante llega a ella, controla la infraestructura completa, así que debería ser la mejor protegida y la menos accesible.
Segmentación de redes según el tipo de organización
Los principios son los mismos, pero las zonas prioritarias cambian según la actividad. Estos ejemplos ilustran dónde suele estar el mayor riesgo:
Salud
Separar la red clínica (fichas, imágenes, equipos médicos) de la administrativa y de la red de invitados. Los equipos biomédicos, difíciles de actualizar, deberían quedar en su propia zona.
Retail y comercio
Aislar los terminales de pago y los sistemas de inventario de la red de oficina y del wifi de clientes, y proteger la base de clientes en una zona de servidores.
Industria y operación
Mantener la red de control industrial separada de la red corporativa, con un punto de intercambio controlado y registrado por el firewall.
Servicios públicos y municipales
Separar los sistemas de atención ciudadana, los de pago y los de gestión interna, y exponer solo lo necesario mediante una DMZ.
Cómo elegir un firewall para segmentar la red
La segmentación se apoya en el firewall, así que su capacidad condiciona hasta dónde se puede llegar. Más allá de la marca, conviene revisar estos criterios antes de decidir:
- Rendimiento con inspección activadaEl rendimiento real con inspección de amenazas y registro suele ser mucho menor que el que indica la hoja de datos con el firewall básico.
- Cantidad y flexibilidad de zonas e interfacesDebe soportar las VLAN y zonas del diseño, y las que se agreguen en el futuro.
- VPN y acceso remotoCapacidad para dar acceso remoto seguro con autenticación reforzada y restricciones por usuario.
- Registros y reportesRetención de eventos, búsqueda y reportes que sirvan como evidencia ante una auditoría.
- Alta disponibilidadUn firewall que concentra el tráfico entre zonas no puede ser un punto único de falla en servicios críticos.
- Licenciamiento y soporteLas funciones de seguridad suelen depender de licencias vigentes; conviene considerarlas en el costo total.
De la ley al control técnico y a la evidencia
Una forma práctica de ordenar el cumplimiento es traducir cada objetivo en un control y en la evidencia que lo respalda. Esta tabla resume esa relación para la segmentación de redes:
| Objetivo | Control técnico | Evidencia |
|---|---|---|
| Reducir la propagación de incidentes | Zonas y reglas entre ellas en el firewall | Diagrama de zonas y tabla de reglas aprobada |
| Evitar desplazamientos laterales | Bloqueo por defecto entre zonas y mínimo privilegio | Registros de tráfico bloqueado entre zonas |
| Proteger los respaldos | Zona aislada, accesible solo desde el servidor autorizado | Regla específica y registros de acceso |
| Controlar accesos remotos | VPN, restricción por IP y autenticación reforzada | Configuración de VPN y registros de conexión |
| Documentar decisiones | Gestión de cambios sobre las reglas | Historial de cambios con responsable y fecha |
¿Su red sigue siendo plana? Evaluamos su arquitectura actual y le proponemos un esquema de segmentación con firewall alineado con la Ley 21.663.
Solicitar cotizaciónPlan de implementación de la segmentación de redes en 90 días
Inventario y diseño
Listar activos y flujos, definir zonas por nivel de riesgo y documentar qué debe hablar con qué. Priorizar respaldos y sistemas críticos.
Implementación por etapas
Crear las zonas críticas primero, aplicar reglas en modo de observación y asegurar los accesos remotos con VPN y restricciones.
Ajuste y evidencia
Pasar las reglas a modo de bloqueo, depurar excepciones, activar alertas y guardar la documentación y los registros como evidencia.
Cómo probar que la segmentación realmente funciona
Una red segmentada en el papel no es lo mismo que una red segmentada en la práctica. Antes de dar por terminado el proyecto, conviene verificar que las reglas hacen lo que se espera:
- 1Probar la conectividad entre zonasDesde cada zona, intente llegar a las demás y confirme que solo pasa lo que está permitido.
- 2Escanear puertos expuestosRevise qué puertos quedan visibles desde la zona de usuarios, la de invitados y desde internet.
- 3Buscar reglas demasiado ampliasIdentifique reglas de tipo cualquier origen a cualquier destino y reemplácelas por reglas específicas.
- 4Simular un incidenteHaga un ejercicio en que un equipo de usuario se considera comprometido y compruebe hasta dónde podría llegar.
- 5Revisar los registrosConfirme que el firewall registra el tráfico bloqueado y que alguien revisa esos registros periódicamente.
Errores frecuentes al segmentar una red
Crear VLAN sin reglas entre ellas
Si el tráfico entre VLAN se permite por defecto, la red sigue siendo prácticamente plana. Lo que contiene es la política, no la etiqueta.
Dejar respaldos en la misma zona que los usuarios
Los respaldos son el primer objetivo de un atacante que quiere impedir la recuperación. Deben estar aislados y accesibles solo desde el servidor autorizado.
Abrir accesos "temporales" que nunca se cierran
Las excepciones sin fecha de término se acumulan y terminan anulando la segmentación. Cada excepción necesita un responsable y una caducidad.
No documentar el diseño
Sin un diagrama y una tabla de reglas, nadie puede demostrar qué se segmentó ni mantener el esquema cuando cambia el equipo.
Bloquear todo de golpe
Aplicar reglas estrictas sin período de observación suele interrumpir flujos legítimos. Conviene observar primero y bloquear después.
Cómo demostrar que su organización segmentó la red
Ante la ANCI o una auditoría, no basta con decir que la red está segmentada. Hay que poder mostrarlo. La evidencia que suele solicitarse incluye un diagrama actualizado de zonas, la tabla de reglas del firewall, los registros de tráfico entre zonas y el historial de cambios aprobados. Un firewall de nueva generación entrega gran parte de esto de forma automática.
Para implementarlo se necesita un equipo con capacidad de definir zonas y políticas por zona. Puede revisar nuestras opciones de firewalls para empresas, como Fortinet, o conocer nuestros servicios de implementación. Y si su institución debe designar un responsable, lea también sobre el delegado de ciberseguridad, quien necesitará precisamente esta evidencia.
Preguntas frecuentes sobre segmentación de redes
¿La Ley 21.663 obliga a segmentar la red?
La ley no usa esa expresión. Exige medidas para prevenir incidentes y reducir su impacto y propagación, y la segmentación de redes es una medida técnica que ayuda a cumplir ese objetivo. Para los OIV, la Instrucción General N.º 4 de la ANCI la menciona expresamente.
¿Segmentar la red es lo mismo que crear VLAN?
No. Las VLAN separan la red, pero la segmentación efectiva también requiere un firewall que controle y registre el tráfico entre zonas. Sin esas reglas, las VLAN por sí solas ofrecen poca contención.
¿Qué zonas conviene separar primero?
Lo más habitual es separar usuarios, servidores, invitados y la DMZ, y luego aislar los sistemas críticos y los respaldos, que son los activos que más daño causan si se ven afectados.
¿Cuánto demora segmentar una red?
Depende del tamaño y del estado de la documentación. Una red mediana puede avanzar en tres etapas: inventario y diseño en el primer mes, implementación de zonas críticas en el segundo, y ajuste de reglas y monitoreo en el tercero.
¿Segmentar afecta el rendimiento o el trabajo diario?
Bien diseñada, no. El riesgo está en bloquear flujos legítimos que nadie documentó, por eso conviene partir inventariando conexiones y aplicar las reglas primero en modo de observación.
Fuentes y referencias oficiales
Ley 21.663 Marco de Ciberseguridad y normativa de la Agencia Nacional de Ciberseguridad: sitio oficial de la ANCI.
Instrucciones Generales de la ANCI publicadas el 26 de diciembre de 2025: Diario Oficial de la República de Chile.
Resumen de las nuevas reglas para servicios esenciales y OIV: Garrigues. Este artículo es informativo y no reemplaza asesoría legal.
