Cómo elegir un firewall para su empresa (y por qué el tamaño importa más que la marca)

El firewall es la puerta de entrada de la red de su empresa. Si elige uno muy pequeño, todo se pone lento el día que active sus funciones de seguridad; si lo elige sin las licencias correctas, se convierte en un router caro. Así se dimensiona correctamente un firewall de nueva generación (NGFW).

Qué hace un firewall de nueva generación

Además de permitir o bloquear tráfico, un NGFW lo inspecciona: prevención de intrusos (IPS), antivirus y antimalware, filtrado web, control de aplicaciones y acceso remoto seguro por VPN. Muchos modelos también administran puntos de acceso Wi-Fi y switches desde la misma consola, y balancean dos enlaces de internet con conmutación automática.

El número que importa: rendimiento con la seguridad activada

Las hojas técnicas muestran varias cifras de rendimiento. La más grande — el "firewall throughput" — se mide sin ninguna inspección. Lo que realmente obtendrá con IPS, antivirus y control de aplicaciones activos es el rendimiento de protección contra amenazas (o "NGFW"), que muchas veces es una fracción de la cifra principal. Dimensione con ese número y compárelo con su enlace de internet: un firewall que inspecciona 600 Mbps es un cuello de botella en un enlace de 1 Gbps.

Cinco preguntas para dimensionarlo

1. ¿Qué velocidad tiene su enlace hoy, y cuál tendrá en dos años? Elija un modelo cuyo rendimiento con protección lo cubra con holgura.
2. ¿Cuántos usuarios y dispositivos? Cuente laptops, celulares, cámaras, impresoras y dispositivos IoT, no solo personas.
3. ¿Cuántos usuarios remotos se conectan por VPN? El acceso remoto y los túneles entre sedes tienen sus propios límites.
4. ¿Necesita inspeccionar tráfico cifrado (inspección SSL/TLS)? Es la función más exigente; puede reducir mucho el rendimiento.
5. ¿El negocio aguanta si el firewall falla? Si no, planifique dos equipos en alta disponibilidad (HA).

Como guía aproximada

Para oficinas pequeñas de hasta unas pocas decenas de usuarios y enlaces de algunos cientos de megabits, los modelos de entrada como el FortiGate 40F o 60F suelen ser el punto de partida que recomendamos. Oficinas más grandes, enlaces más rápidos o mucho uso de VPN requieren modelos de gama media. Por debajo de eso, los routers domésticos no ofrecen la inspección, los registros ni el soporte que una empresa necesita.

No olvide las licencias

Las funciones de seguridad funcionan con suscripciones: firmas de amenazas, filtrado web, actualizaciones de antivirus y soporte del fabricante. Sin ellas, el firewall sigue pasando tráfico pero deja de protegerlo contra amenazas nuevas. Presupueste la licencia cada año — o elija un servicio administrado donde ya está incluida en la mensualidad.

Alta disponibilidad: dos es uno, uno es ninguno

Un par en HA mantiene un segundo firewall sincronizado, listo para tomar el control en segundos si el primero falla o necesita una actualización. Para empresas cuya operación se detiene cuando se cae internet, normalmente vale la pena.

¿Comprarlo o que se lo administren?

Un firewall no se instala y se olvida. Las reglas crecen, el firmware necesita parches, hay que leer los registros y las licencias vencen. Muchas empresas prefieren un firewall administrado: el proveedor lo dimensiona, lo instala, lo mantiene actualizado y lo vigila, por una mensualidad que incluye equipo, licencias y soporte. Si prefiere ser dueño del equipo, podemos suministrarlo y ayudarle a dimensionarlo.

Y recuerde que un firewall en su oficina no puede detener ataques DDoS grandes — esos hay que absorberlos antes de que lleguen. Lea nuestra guía sobre cómo proteger su empresa de ataques DDoS.