Ciberseguridad y continuidad operativa

Trabajar desde fuera de la oficina no debería dejar el Escritorio remoto de Windows accesible para cualquiera en Internet. Revisa la ruta de conexión, la identidad de cada usuario y el alcance de sus permisos antes de dar por seguro el acceso.

Una empresa necesita consultar su sistema administrativo durante el fin de semana. Alguien habilita una redirección en el router, comprueba que puede entrar y da el trabajo por terminado. La conexión funciona, pero esa prueba no responde la pregunta importante: ¿quién más puede alcanzar el servicio y qué controles tendría que superar?

Esta guía práctica, revisada el 8 de noviembre de 2026, aborda un riesgo vigente de operación remota. No anuncia una vulnerabilidad nueva, una campaña de ataques de hoy ni un incidente en clientes de Tiser. Contrasta documentación de Microsoft, recomendaciones de CISA y una explicación histórica de How-To Geek para convertirlas en verificaciones concretas para una pyme.

Qué significa tener RDP expuesto

RDP es el protocolo que permite utilizar un escritorio de Windows a distancia. CISA identifica el puerto TCP 3389 entre los servicios que deben deshabilitarse cuando no son necesarios y recomienda no exponer servicios como Escritorio remoto directamente a la web. Si una organización mantiene una exposición necesaria, exige controles compensatorios adecuados.

En la práctica, puede existir exposición por una regla del router, una dirección pública del servidor o una regla de firewall de la nube. No basta con revisar el router de la oficina si también hay servidores alojados fuera. Tampoco basta con comprobar un único puerto: una redirección puede publicar el mismo servicio con un número externo diferente.

Cambiar 3389 por otro puerto no sustituye la autenticación multifactor, las actualizaciones ni la restricción de acceso. Ocultar el número habitual puede modificar el ruido que observas, pero no convierte un escritorio accesible desde Internet en una red privada.

Dos rutas que conviene evaluar

Una VPN de acceso remoto administrada por la empresa no es lo mismo que una aplicación comercial destinada a cambiar la dirección IP de navegación. Debe conectar con los recursos autorizados del negocio y aplicar sus políticas. Si permite llegar a toda la red sin restricciones, el alcance del riesgo sigue siendo demasiado amplio para muchas tareas.

Microsoft describe tres funciones de RD Gateway: establecer un túnel cifrado, autenticar al usuario y transportar la conexión hacia el recurso permitido. Sus políticas de autorización de conexión y de recursos permiten delimitar quién puede entrar y a qué equipos. La documentación contempla integración mediante RADIUS con soluciones de MFA; instalar el rol no significa que MFA quede activado automáticamente.

Para producción, Microsoft indica usar un certificado de una autoridad de certificación de confianza pública. No acostumbres al equipo a ignorar advertencias del certificado para poder trabajar. El nombre, la vigencia y la confianza del certificado deben verificarse como parte de la puesta en servicio.

Ninguna de estas rutas es una garantía absoluta. CISA también advierte sobre el abuso de credenciales comprometidas y la explotación de VPN. El equipo perimetral, la puerta de enlace, el servidor y los dispositivos desde los que se trabaja necesitan mantenimiento y versiones con soporte. Revisa por separado requisitos, compatibilidad y licencias de la solución elegida.

No copies una receta antigua de redirección de puertos

How-To Geek explicó en diciembre de 2016 la diferencia entre entrar por VPN y publicar Escritorio remoto mediante el router. El artículo recomienda la VPN como alternativa más segura, pero también muestra cómo exponer el servicio y modificar el puerto.

Lo consultamos como contraste especializado histórico, no como una noticia actual ni como un procedimiento que debas replicar. Esta guía no adopta sus instrucciones de apertura directa ni sus referencias a ediciones antiguas de Windows. Para decidir la configuración de hoy, prevalecen la documentación aplicable al entorno y las recomendaciones de CISA sobre exposición, MFA, registros y actualización.

Checklist antes de habilitar trabajo remoto

La prueba debe demostrar lo permitido y lo prohibido

Haz las comprobaciones desde una conexión externa controlada y únicamente sobre sistemas propios o expresamente autorizados. Probar desde la misma red de la oficina puede no reproducir la ruta de una persona que trabaja fuera.

Prueba positiva: una cuenta autorizada supera la autenticación prevista, llega al equipo asignado y utiliza la aplicación necesaria. Registra fecha, responsable, destino y resultado, sin guardar contraseñas ni datos de clientes en la evidencia.

Prueba negativa: sin la conexión autorizada, el escritorio interno no debe quedar disponible directamente. Una cuenta sin permisos tampoco debe llegar a otros servidores. El administrador debe contrastar estas pruebas con las reglas reales: que un intento aislado falle no demuestra por sí solo que toda la superficie de acceso esté cerrada.

Prueba de baja: retira el permiso de una cuenta de ensayo y confirma que ya no pueda iniciar una nueva conexión. Revisa aparte las sesiones existentes y el procedimiento para finalizarlas; quitar una pertenencia a un grupo no debe asumirse como desconexión instantánea de toda sesión.

Como criterio operativo propuesto por Tiser, la revisión queda completa cuando puedes explicar la ruta, mostrar qué cuenta tiene acceso a qué recurso, demostrar que el control de autenticación funciona y repetir la baja sin depender de una contraseña compartida.

Ejemplo: acceso al equipo administrativo en fin de semana

Escenario hipotético: una responsable necesita consultar un reporte. Se autoriza su cuenta y un dispositivo gestionado, se exige MFA en el acceso remoto elegido y se limita el destino al equipo requerido. No se le otorgan privilegios de administrador ni acceso general a la infraestructura por comodidad.

Antes de la primera jornada fuera de la oficina, se prueba la aplicación con información de ensayo. También se confirma quién atenderá una falla de conexión y cómo recuperar el acceso legítimo si se pierde el segundo factor. Ese procedimiento no debe consistir en desactivar MFA indefinidamente.

Si la conexión deja de funcionar, no abras el escritorio directamente como solución improvisada. Revisa primero conectividad, autenticación, certificado y permisos; utiliza el canal de soporte acordado y registra cualquier cambio temporal con responsable y fecha de retiro.

Qué revisar después de la puesta en marcha

Repite la validación cuando cambien usuarios, routers, reglas de nube, certificados o aplicaciones de acceso. CISA recomienda auditar el uso de RDP, cerrar puertos no utilizados y registrar intentos de inicio de sesión. Guardar registros sin revisar alertas ni tener una persona responsable aporta menos capacidad de respuesta.

El acceso remoto tampoco sustituye los respaldos. Mantén un plan de recuperación independiente y ensayos de restauración. Una cuenta comprometida puede ejecutar acciones dentro de sus permisos aunque el transporte esté cifrado; por eso importan tanto el alcance mínimo como la recuperación.