Firewall para empresas: tipos y cómo elegirlo para tu PYME
Un firewall para empresas es el dispositivo o servicio que filtra todo el tráfico de red entre tu empresa e Internet, aplicando reglas que bloquean accesos no autorizados, detectan malware en tránsito y controlan qué aplicaciones pueden comunicarse. Para una PYME de 20 a 100 empleados, un firewall UTM bien configurado cubre el 90 % de las necesidades a un coste de entre 35 y 400 €/mes, dependiendo de si se gestiona internamente o se externaliza.
Por qué el firewall es la primera línea de defensa de cualquier empresa
El INCIBE gestionó 122.000 incidentes de ciberseguridad en 2025, un 18 % más que el año anterior. El 60 % afectó a PYMEs y autónomos (INCIBE, 2026). En ese mismo año, los ataques de ransomware registraron un aumento del 116 %, con 392 casos documentados solo en España.
El coste medio de un ciberataque para una empresa pequeña oscila entre 35.000 y 80.000 euros — cifra que supera la inversión en ciberseguridad de dos o tres años para la mayoría de PYMEs. Un firewall no evita todos los ataques, pero bloquea los vectores más habituales: escaneos de puertos, accesos no autorizados, tráfico de malware que intenta salir a internet, y conexiones a dominios maliciosos.
Sin un cortafuegos dedicado, cualquier equipo de tu red es potencialmente accesible desde internet si tiene un puerto abierto por error, una aplicación mal configurada o un servicio legado expuesto.
Qué es un firewall para empresas y en qué se diferencia del router
El router que proporciona el operador de telecomunicaciones incluye un firewall básico de tipo stateful packet inspection (SPI): filtra paquetes según IP de origen, puerto y protocolo. Funciona para un domicilio particular, pero resulta insuficiente para una empresa.
Un firewall empresarial va varios niveles más arriba:
- Inspección profunda de paquetes (DPI): analiza el contenido del tráfico, no solo la cabecera. Detecta malware oculto dentro de tráfico HTTP o HTTPS aparentemente legítimo.
- Control de aplicaciones: identifica y bloquea aplicaciones específicas (BitTorrent, clientes de acceso remoto no autorizados, shadow IT) independientemente del puerto que usen.
- Filtrado de URL y DNS: bloquea el acceso a dominios maliciosos antes de que el tráfico llegue al equipo del usuario.
- VPN integrada: permite que empleados en teletrabajo se conecten de forma cifrada a la red de la empresa.
- Logs y alertas: registra todos los eventos de seguridad y puede integrarse con sistemas de monitorización como Zabbix o Grafana para detectar patrones anómalos.
Qué hace que el router del operador no sea suficiente
Cuando en IBERSYA auditamos la red de una PYME nueva, el escenario más habitual es: router del operador, firewall del Windows activado en algunos equipos y antivirus instalado. Esta configuración no detecta tráfico de comando y control (C2) de un equipo infectado, no segmenta la red entre servidores y puestos de trabajo, y no registra qué aplicaciones salen a internet. Es el equivalente a tener cerradura en la puerta principal pero las ventanas abiertas.
Tipos de firewall para empresas: UTM, NGFW y firewall administrado
Firewall UTM: la opción más habitual en PYMEs de 20-100 empleados
Un UTM (Unified Threat Management) integra en un único dispositivo físico o virtual todas las funciones de seguridad perimetral:
- Firewall de capas 2 y 3
- Antivirus y antimalware de red
- Sistema de detección y prevención de intrusiones (IDS/IPS)
- Filtrado web y de contenido
- Antispam de correo
- VPN site-to-site y cliente
- Control de ancho de banda
La ventaja del UTM es su gestión centralizada: una sola consola, un solo fabricante, un solo soporte. Marcas como Fortinet (FortiGate), Sophos (XG/XGS), WatchGuard y Cisco Meraki dominan este segmento. Los modelos de entrada (FortiGate 40F, Sophos XGS 86) están dimensionados para empresas de 15 a 50 empleados y ofrecen rendimiento suficiente para la mayoría de PYMEs.
El UTM es la recomendación de INCIBE para organizaciones con hasta 500 terminales que no disponen de un equipo de seguridad propio (INCIBE).
NGFW (Next Generation Firewall): cuándo lo necesitas
Un NGFW (Next Generation Firewall) añade sobre las capacidades UTM:
- Inspección SSL/TLS completa: descifra y analiza el tráfico cifrado, donde hoy se esconde la mayoría del malware avanzado.
- Integración con inteligencia de amenazas (Threat Intelligence): actualización en tiempo real con feeds de IOCs (indicadores de compromiso).
- Control de aplicaciones granular: distingue entre Dropbox personal y Dropbox empresarial, o permite Teams pero bloquea la descarga de archivos ejecutables.
- Análisis sandboxing: ejecuta archivos sospechosos en un entorno aislado antes de permitirlos.
Los NGFW (Fortinet FortiGate serie 100+, Palo Alto Networks, Check Point) están diseñados para empresas con más de 100 empleados, entornos con normativas exigentes (sector salud, finanzas, industria con OT) o infraestructuras distribuidas con varias sedes.
Para la mayoría de PYMEs españolas de 20 a 100 empleados, un UTM bien mantenido cubre las necesidades actuales. El NGFW se justifica cuando hay auditorías de cumplimiento (NIS2, ENS, PCI-DSS) que exigen inspección de tráfico cifrado o segmentación avanzada.
Firewall administrado: el modelo que más crece en 2026
El firewall administrado (FWaaS, Firewall-as-a-Service o firewall en renting con gestión incluida) es el modelo en el que un proveedor IT especializado se encarga de:
- Seleccionar, instalar y configurar el hardware
- Definir las políticas de seguridad adaptadas al negocio
- Monitorizar el tráfico de forma continua
- Actualizar firmas y reglas ante nuevas amenazas
- Gestionar incidentes y generar informes
El coste parte desde 35 €/mes para el hardware en renting (FortiGate 40F, licencias incluidas) más entre 150 y 400 €/mes de gestión, para empresas de hasta 30 empleados. Esta estructura es especialmente adecuada para PYMEs sin responsable IT dedicado o con un técnico interno que no puede asumir la monitorización continua.
Cómo elegir el firewall adecuado para tu empresa
La elección del firewall para empresas depende de cuatro factores:
| Factor | UTM | NGFW | Administrado |
|---|---|---|---|
| Tamaño | 15-100 empleados | +100 empleados | Cualquier tamaño |
| IT interno | Sí, con conocimiento básico | Sí, con equipo de seguridad | No es necesario |
| Normativa | RGPD, estándar | NIS2, ENS, PCI-DSS | Cualquiera |
| Presupuesto | 35-150 €/mes | 300-900 €/mes | 200-600 €/mes |
Las 5 funciones que no deben faltar en un firewall para PYMEs
Independientemente del modelo elegido, cualquier firewall empresarial debe incluir:
- IDS/IPS activo: detección y bloqueo de intrusiones en tiempo real.
- VPN con autenticación de doble factor: el acceso remoto sin 2FA es el vector más explotado en ataques dirigidos a PYMEs.
- Segmentación de red (VLAN): separar la red de servidores, la de puestos de trabajo, la de dispositivos IoT y la de invitados. Si un equipo se infecta, la segmentación limita el movimiento lateral.
- Filtrado DNS: bloquear dominios maliciosos antes de que el tráfico salga hacia internet.
- Logs centralizados con retención mínima de 12 meses: requisito habitual en auditorías de cumplimiento NIS2 y RGPD.
¿Tu empresa tiene el firewall correcto para su tamaño y sector? En IBERSYA auditamos la configuración actual, identificamos las brechas y nos encargamos del firewall administrado para PYMEs con monitorización incluida. Cuéntanos tu situación.
Qué debe configurarse en un firewall profesional para PYMEs
Tener el hardware instalado no es suficiente. Un firewall mal configurado protege casi igual que no tenerlo. Las configuraciones críticas que revisamos en cada despliegue:
Política de mínimo privilegio
Denegar todo el tráfico por defecto y permitir solo lo explícitamente necesario. Muchas PYMEs llegan a nosotros con reglas del tipo “permitir todo tráfico saliente”: una política que deja salir sin restricciones a cualquier malware instalado en la red.
VPN y acceso remoto seguro
El teletrabajo masivo de 2020-2021 dejó muchas PYMEs con accesos VPN configurados de urgencia y nunca revisados. Los puntos críticos: certificados caducados, contraseñas débiles sin 2FA y usuarios de exempleados con acceso activo. En clientes de 30-50 empleados, el error más frecuente que encontramos en auditoría es precisamente este: cuentas VPN de empleados que llevan meses o años fuera de la empresa.
Segmentación de red por VLAN
Una PYME con un único segmento de red plana permite que un equipo infectado acceda directamente al servidor de ficheros, al ERP o a las impresoras de red. La segmentación mínima recomendada:
- VLAN servidores: ERP, NAS, backups, controladores de dominio
- VLAN puestos de trabajo: equipos de empleados
- VLAN dispositivos IoT: cámaras, impresoras, sistema de control de acceso
- VLAN invitados / WiFi visitantes: sin acceso a recursos internos
Con esta segmentación, un ataque de ransomware que cifre los equipos de una VLAN no puede propagarse automáticamente al servidor de backups en otra VLAN.
Errores frecuentes al implantar un firewall en una empresa
No revisar las reglas periódicamente: Las reglas de firewall acumulan excepciones con el tiempo — accesos abiertos para proyectos terminados, puertos habilitados para pruebas que nunca se cerraron. En clientes con más de 3 años de funcionamiento sin revisión, encontramos habitualmente entre 15 y 40 reglas obsoletas. La consecuencia: superficie de ataque mayor de la necesaria, invisible para el responsable IT.
Deshabilitar la inspección SSL por rendimiento: El 80 % del tráfico web actual va cifrado. Un firewall que no inspecciona HTTPS deja pasar el malware que se distribuye precisamente porque sabe que muchos cortafuegos no lo inspeccionan. El impacto en rendimiento de la inspección SSL con hardware adecuado es inferior al 15 % en equipos dimensionados correctamente.
Confundir el antivirus del endpoint con el firewall: El antivirus en el puesto de trabajo actúa en el equipo final. El firewall actúa en el perímetro de la red. Son complementarios, no intercambiables. Sin firewall perimetral, el tráfico malicioso llega al equipo antes de que el antivirus tenga oportunidad de analizarlo.
No configurar alertas activas: Un firewall sin alertas configuradas genera logs que nadie lee. Sin un sistema de alertas que notifique cuando se detecta tráfico anómalo, un ataque puede persistir días o semanas antes de ser detectado. La integración con herramientas de monitorización como Zabbix o con un servicio SOC externalizado convierte el firewall en un sistema de detección activo, no solo pasivo.
No contemplar el firewall como parte de una estrategia: El firewall protege el perímetro, pero no evita ataques internos, phishing dirigido o credenciales comprometidas. Una estrategia de ciberseguridad completa incluye también copias de seguridad con la regla 3-2-1, política de ciberseguridad documentada y formación contra phishing.
Preguntas frecuentes sobre firewall para empresas
¿Necesita una PYME un firewall físico o es suficiente con el del router?
El firewall integrado en el router del operador solo filtra tráfico básico por IP y puerto. Una PYME de 20 o más empleados necesita un firewall UTM o NGFW dedicado con inspección profunda de paquetes, VPN, filtrado web y control de aplicaciones. El router estándar no detecta malware en tránsito ni controla qué aplicaciones acceden a la red.
¿Cuánto cuesta un firewall para una empresa de 30 empleados?
Un firewall UTM en modelo de renting (hardware + licencias + soporte) parte desde 35-60 €/mes para empresas de hasta 30 empleados. La gestión externalizada a un proveedor añade entre 150 y 400 €/mes según el alcance. El coste medio de un ciberataque para una empresa pequeña oscila entre 35.000 y 80.000 €, lo que hace rentable la inversión desde el primer mes.
¿Qué diferencia hay entre un UTM y un NGFW?
Un UTM (Unified Threat Management) integra todas las funciones de seguridad en un único dispositivo: firewall, antivirus, filtrado web, VPN y antispam. Es la opción más habitual en PYMEs por su menor coste y facilidad de administración. Un NGFW (Next Generation Firewall) añade inspección profunda de paquetes, control granular de aplicaciones e integración con inteligencia de amenazas en tiempo real, y está diseñado para empresas con mayor volumen de tráfico o requisitos normativos más exigentes.
En IBERSYA desplegamos y gestionamos firewalls UTM y NGFW para empresas de 15 a 80 empleados, incluyendo configuración de VPN, segmentación de red, alertas activas y revisión periódica de reglas. Si quieres saber en qué situación está el perímetro de tu red ahora mismo, cuéntanos qué necesitas.