Copyrights. Ariel Germán,
2026. Todos los derechos reservados.
Las redes corporativas modernas han dejado de ser perímetros estáticos y confiables. La adopción del trabajo híbrido, la nube y el Internet de las Cosas ha disuelto las fronteras tradicionales, obligando a las organizaciones a replantear sus estrategias de seguridad. En este escenario, la segmentación dinámica de redes surge como un pilar fundamental: ya no basta con dividir la infraestructura en zonas fijas, sino que se requiere un aislamiento inteligente, adaptable al contexto y capaz de contener las amenazas en tiempo real.
Esta guía técnica explora las estrategias de aislamiento y control de acceso que ofrecen dos gigantes de la industria: Cisco y Fortinet. Ambos fabricantes integran la automatización, la inteligencia artificial y los principios de Confianza Cero para crear políticas que cambian según la identidad del usuario, el estado del dispositivo y el comportamiento de las cargas de trabajo. A lo largo del artículo, analizamos los tipos de segmentación, las mejores prácticas de implementación y cómo combinar las capacidades de Cisco TrustSec, SD-Access o FortiGate NGFW con plataformas SASE para defender los entornos híbridos y multicloud.
La segmentación de red consiste en dividir la infraestructura en zonas o subredes más pequeñas, cada una con sus propias políticas de seguridad. Tradicionalmente, se implementaba mediante VLAN, firewalls y listas de control de acceso para separar departamentos o funciones. Sin embargo, en la actualidad la segmentación debe ser dinámica y basada en la identidad, ya que una sola credencial comprometida puede desencadenar un movimiento lateral devastador. Incidentes como el ataque a Colonial Pipeline demostraron que una red plana permite que un intruso salte desde sistemas de TI hasta la tecnología operativa (OT) sin apenas resistencia.
La segmentación efectiva reduce la superficie de ataque, limita la propagación del ransomware y facilita el cumplimiento de normativas como PCI DSS, HIPAA o el marco NIST. Las soluciones modernas de Cisco y Fortinet automatizan la creación de microperímetros alrededor de cada carga de trabajo, aplicando políticas que se ajustan cuando un usuario cambia de rol, un dispositivo se vuelve no conforme o una aplicación migra a la nube. Así, el aislamiento se convierte en un control continuo y no en una configuración estática que caduca al día siguiente.
El modelo de Confianza Cero (Zero Trust) rechaza la idea de una zona de confianza implícita. NIST SP 800-207 establece que “toda comunicación se asegura independientemente de la ubicación de red” y que el acceso se concede por sesión, verificando continuamente la identidad, la postura del dispositivo y el contexto. En la práctica, esto significa que un equipo del departamento financiero no puede hablar con servidores de producción sin una autorización explícita, aunque ambos estén en la misma red interna.
La segmentación dinámica materializa la Confianza Cero desplegando puntos de decisión de políticas (PDP) y puntos de aplicación (PEP). Cuando un endpoint intenta comunicarse con otro segmento, el PDP evalúa reglas basadas en grupos de seguridad, etiquetas de identidad y señales de amenaza en tiempo real. El PEP, ya sea un switch Cisco con TrustSec o un FortiGate con inspección profunda, permite o bloquea la conexión. Esta arquitectura de microsegmentación, defendida por CISA y el NIST, es la base sobre la que Cisco y Fortinet construyen sus plataformas de seguridad.
La segmentación física utiliza hardware independiente (switches, routers y firewalls dedicados) para aislar segmentos por completo. Proporciona el aislamiento más robusto, pero a costa de una gran rigidez y un coste elevado, ya que cada zona requiere su propia infraestructura. Este enfoque sigue siendo relevante para separar redes OT de TI en entornos industriales, donde Fortinet ofrece equipos como FortiGate Rugged NGFW, diseñados para soportar condiciones adversas y aplicar políticas de parcheo virtual.
La segmentación lógica, en cambio, aprovecha tecnologías como VLAN (IEEE 802.1Q) y subredes para dividir la red de forma virtual. Es más flexible y económica, pero una mala configuración puede generar fugas de tráfico mediante ataques de salto de VLAN. Tanto Cisco como Fortinet recomiendan complementar la segmentación lógica con firewalls internos y controles de acceso basados en identidad. Por ejemplo, los switches Cisco Catalyst pueden integrar Cisco TrustSec para etiquetar el tráfico con grupos de seguridad (SGT) y así aislar flujos sin depender exclusivamente de las direcciones IP.
La microsegmentación lleva el aislamiento al nivel de carga de trabajo individual: una máquina virtual, un contenedor o incluso un proceso. Según la guía de CISA, este enfoque es fundamental para la Confianza Cero porque aplica políticas granulares que limitan la comunicación lateral incluso dentro del mismo centro de datos. Con Cisco ACI (Application Centric Infrastructure) y Cisco Secure Workload, los administradores pueden definir contratos entre grupos de endpoints (EPGs) que se aplican automáticamente en entornos virtualizados o en la nube. Fortinet, por su parte, ofrece la plataforma FortiCNAPP para seguridad nativa de la nube y microsegmentación a nivel de aplicación, integrando visibilidad y detección de amenazas.
La segmentación definida por software (SDN) desacopla las políticas de la topología física. Un controlador central orquesta las reglas y las distribuye a los puntos de aplicación, permitiendo cambios instantáneos sin tocar el hardware. Cisco DNA Center y Fortinet FortiManager ejemplifican esta filosofía. Con SD-Access de Cisco, las políticas se basan en grupos de seguridad escalables, mientras que Fortinet propone la convergencia de SD-WAN con SASE para extender la microsegmentación a sucursales y usuarios remotos, garantizando que cada conexión pase por un NGFW virtual en la nube.
La evolución más significativa es la segmentación que ya no depende de direcciones IP, sino de la identidad y el contexto. Usuarios, dispositivos y aplicaciones se clasifican en grupos lógicos que heredan políticas de acceso dinámicas. Cisco TrustSec emplea etiquetas de grupo de seguridad (SGT) que viajan en los metadatos de cada paquete, lo que permite que un firewall, como los Cisco Secure Firewall, aplique reglas basadas en roles incluso si la dirección IP cambia. De forma similar, FortiNAC (Control de Acceso a la Red de Fortinet) descubre cada dispositivo que se conecta, lo perfila y asigna una política de segmentación automática, revocando el acceso si detecta un comportamiento anómalo.
Este enfoque es crucial en entornos con BYOD y dispositivos IoT, donde la diversidad de endpoints es abrumadora. Al integrar la gestión de identidad y acceso (IAM) con la segmentación, Cisco y Fortinet permiten que un mismo usuario reciba distintos privilegios según si se conecta desde un portátil corporativo parcheado o desde un teléfono personal con software desactualizado. Así se cumple el precepto de mínimo privilegio de manera continuada, sin añadir fricción a la experiencia del usuario.
Aunque ambos fabricantes convergen hacia la Confianza Cero, sus ecosistemas presentan matices importantes. Fortinet destaca por la integración vertical de sus soluciones bajo el sistema operativo FortiOS, lo que simplifica la gestión de políticas de segmentación desde el firewall hasta la nube. Cisco apuesta por una arquitectura abierta, con múltiples productos especializados que se coordinan mediante DNA Center y plataformas de automatización, ofreciendo una flexibilidad extrema en entornos de gran escala. A continuación, desgranamos sus estrategias de aislamiento.
Fortinet construye su propuesta de segmentación sobre los NGFW FortiGate, disponibles como appliance físico, máquina virtual o servicio en la nube (FGaaS). Estos firewalls aplican políticas de segmentación entre zonas y realizan inspección profunda de paquetes impulsada por inteligencia artificial. Gracias a los servicios de seguridad FortiGuard, las reglas se actualizan automáticamente contra nuevas amenazas, facilitando el bloqueo de movimiento lateral incluso cuando los atacantes usan exploits de día cero.
Además, Fortinet extiende la segmentación a la fuerza laboral híbrida con FortiSASE, una plataforma de borde de servicio de acceso seguro que combina SD-WAN, acceso de red de Confianza Cero (ZTNA) y agente de seguridad de acceso a la nube (CASB). De esta forma, los usuarios remotos son aislados dinámicamente según su perfil de riesgo, y el tráfico hacia aplicaciones SaaS o infraestructura en IaaS pasa por puntos de aplicación unificados. La gestión se centraliza en FortiManager, desde donde se diseñan políticas de microsegmentación coherentes para toda la organización.
Cisco adopta una estrategia de segmentación basada en la red y la identidad. Con SD-Access, los switches y puntos de acceso crean una fábrica de red (fabric) en la que las políticas se definen mediante grupos de seguridad escalables y se distribuyen a través del controlador DNA Center. Esto permite, por ejemplo, que un empleado de recursos humanos solo acceda a las aplicaciones de nómina, independientemente de la ubicación física desde la que se conecte, mientras que los invitados solo ven internet.
El protocolo TrustSec añade una capa de segmentación en profundidad al etiquetar cada trama con un SGT. Los firewalls Cisco Secure Firewall y los routers integrados interpretan estas etiquetas para aplicar políticas de microsegmentación sin depender de direcciones IP. Además, la SD-WAN de Cisco (Cisco Catalyst SD-WAN, antes Viptela) puede trasladar la segmentación a las sucursales, creando túneles VPN segmentados por aplicación y enlazando con la nube a través de Cisco+ Secure Connect, que integra SASE y ZTNA. Este enfoque resulta ideal para grandes empresas con una infraestructura muy diversa.
A continuación se muestra una comparativa de las principales capacidades:
| Característica | Fortinet | Cisco |
|---|---|---|
| Segmentación en el firewall | FortiGate NGFW con políticas por zona e inspección profunda | Cisco Secure Firewall con reglas basadas en SGT y contexto |
| Microsegmentación en el centro de datos | FortiCNAPP y FortiGate VM para entornos cloud | ACI y Secure Workload (Tetration) para políticas a nivel de carga de trabajo |
| Control de acceso a la red | FortiNAC con perfilado automático y aplicación de políticas | ISE (Identity Services Engine) junto con TrustSec |
| Segmentación de sucursales | FortiSASE y SD-WAN integrada en un mismo sistema operativo | Catalyst SD-WAN con segmentación por VPN y Cisco+ Secure Connect |
| Gestión centralizada | FortiManager y FortiAnalyzer | DNA Center y Cisco Secure Analytics |
La adopción de la segmentación dinámica debe seguir un enfoque gradual para no interrumpir el negocio. Tanto Cisco como Fortinet recomiendan comenzar por un mapeo exhaustivo de los flujos de tráfico y una clasificación de activos. Herramientas como FortiAnalyzer o Cisco Secure Analytics (antes Stealthwatch) proporcionan visibilidad del tráfico este-oeste y ayudan a identificar las dependencias entre aplicaciones antes de imponer reglas restrictivas.
La fase inicial debe centrarse en los activos de mayor valor, como controladores de dominio, bases de datos financieras y sistemas de backup. Configure las políticas en modo de solo monitorización para validar su impacto y, progresivamente, active la aplicación. Documente cada política y excepción, y automatice la distribución mediante plantillas. Las mejores prácticas incluyen: aplicar siempre el principio de mínimo privilegio, segmentar las redes OT de las TI, utilizar autenticación multifactor junto con la segmentación y realizar pruebas de penetración periódicas que simulen un movimiento lateral para verificar la efectividad del aislamiento.
Una segmentación que no se monitoriza se degrada con el tiempo. Por ello, plataformas como FortiGuard AI o Cisco AI Network Analytics correlacionan eventos de seguridad con patrones de tráfico para detectar intentos de conexión no autorizada entre segmentos. Cuando se identifica una violación de política, el sistema puede aislar automáticamente la carga de trabajo comprometida, moverla a una VLAN de cuarentena o bloquear al usuario mediante una instrucción al controlador de acceso a la red.
La automatización es la clave para escalar la microsegmentación en entornos de nube híbrida. Con herramientas de infraestructura como código (Terraform, Ansible) y APIs abiertas tanto de Fortinet como de Cisco, las políticas de segmentación pueden integrarse en los pipelines de CI/CD, de forma que cada nuevo microservicio herede automáticamente las reglas de aislamiento adecuadas. Esta integración reduce drásticamente los errores humanos y mantiene la postura de seguridad alineada con la velocidad de despliegue del negocio.
La segmentación dinámica encuentra sus mayores retos cuando la organización opera con múltiples nubes públicas y una infraestructura local heterogénea. La proliferación de herramientas de seguridad inconexas genera puntos ciegos que dificultan la aplicación uniforme de políticas. Además, los sistemas heredados a menudo no soportan etiquetas de identidad ni agentes de microsegmentación, por lo que hay que recurrir a la segmentación tradicional como control compensatorio.
Para resolver estos problemas, tanto Cisco como Fortinet ofrecen soluciones de visibilidad unificada. FortiCSPM evalúa la postura de seguridad en AWS, Azure y Google Cloud, mientras que Cisco Multicloud Defense actúa como un proxy inverso que aplica políticas de segmentación en el tráfico hacia cualquier nube. La recomendación es desplegar un tejido de segmentación superpuesto que abstraiga las diferencias entre proveedores, utilizando SD-WAN y SASE para extender el mismo control desde la sucursal hasta las cargas de trabajo efímeras. Además, la madurez de la automatización debe evaluarse con el Modelo de Madurez de Confianza Cero de CISA para priorizar las inversiones.
La segmentación dinámica de redes es como organizar un edificio de oficinas con puertas de seguridad entre cada departamento. En lugar de permitir que cualquiera que entre al vestíbulo pueda acceder a todos los despachos, se instalan cerraduras inteligentes que solo se abren para las personas adecuadas, en el momento justo y tras verificar que no suponen un riesgo. Esto protege los datos más valiosos de la empresa, incluso si un intruso consigue colarse por una ventana o un empleado descuida su contraseña.
Empresas como Cisco y Fortinet han desarrollado tecnologías que automatizan esta protección, evitando que los equipos de seguridad tengan que configurar manualmente cientos de reglas. El resultado es una defensa más sólida, que cumple con las exigencias legales y, sobre todo, permite que los empleados trabajen desde cualquier lugar sin que la información corporativa quede expuesta. Invertir en segmentación dinámica es una de las decisiones más inteligentes para frenar los ataques de ransomware y las filtraciones de datos.
Para los responsables de infraestructura, la segmentación dinámica debe dejar de ser un proyecto aislado y convertirse en una capacidad transversal de la arquitectura de red. La convergencia de SD-WAN, SASE y microsegmentación basada en identidad ofrece una oportunidad única para unificar la política de seguridad en entornos locales, cloud y OT. Los modelos de Cisco (TrustSec + ISE + Catalyst SD-WAN) y de Fortinet (FortiGate + FortiNAC + FortiSASE) proporcionan rutas complementarias: mientras Cisco brilla en grandes corporaciones con una herencia de switching compleja, Fortinet simplifica la operación mediante su plataforma integrada y altamente automatizada.
La implementación exitosa requiere comenzar por una fase de visibilidad, aplicar políticas en modo monitorización y evolucionar hacia la aplicación automática basada en contexto. La integración con sistemas de gestión de eventos (SIEM) y la orquestación de respuesta (SOAR) permitirá cerrar el ciclo de seguridad, aislando automáticamente los activos comprometidos. En un panorama de amenazas en el que el movimiento lateral es el principal vector de daño, la segmentación dinámica con las herramientas adecuadas no es un gasto, sino la inversión más rentable para contener brechas y reducir el tiempo medio de detección y respuesta (MTTD/MTTR).
Ariel Germán ofrece una consulta experta en TIC. Somos líderes en diseño, administración y mantenimiento de infraestructuras con Cisco, Fortinet, Mikrotik y AWS.
