Cumplimiento de la Ley Federal 152 y VPN en 2026: datos personales, ISPDn, requisitos del RKN — lista de verificación

Introducción: por qué este tema es relevante y qué obtendrás

El año 2026 consolidó una realidad clara: las redes corporativas dejaron de ser simplemente distribuidas para volverse verdaderamente sin perímetro. Los empleados trabajan desde casa y coworkings, los contratistas acceden de manera ocasional, los servicios se han migrado parcialmente a la nube y el intercambio de datos transita por múltiples túneles cifrados. En este contexto, cumplir con los requisitos sobre datos personales dejó de ser un mero trámite legal para convertirse en una disciplina de ingeniería. Cualquier cambio imprudente en la política de VPN puede sacar al sistema del ámbito de localización, afectar la transferencia transfronteriza o romper el principio de minimización del tratamiento.

Esta guía es tu herramienta de trabajo para un cumplimiento integral de la Ley Federal 152 con foco en la VPN corporativa. Recorreremos desde conceptos fundamentales hasta arquitecturas y procedimientos avanzados: clasificaremos ISPDn, construiremos un modelo de amenazas y un mapa de perímetros, seleccionaremos protocolos y configuraciones, y vincularemos los requisitos legales con las medidas tecnológicas. Obtendrás instrucciones paso a paso, listas de verificación para auditorías, recomendaciones de herramientas, casos reales y respuestas a preguntas complejas, incluyendo localización, transferencia transfronteriza e interacción con supervisores. El objetivo es brindarte un marco práctico que te permita superar evaluaciones, auditorías internas y externas con confianza, y escalar rápidamente la madurez en seguridad y cumplimiento sin afectar los procesos del negocio.

Fundamentos: conceptos esenciales (para principiantes)

Términos clave de la Ley Federal 152 y su importancia para la VPN

• Datos personales (DP): cualquier información relacionada directa o indirectamente con una persona física identificada. En TI no son solo nombre y pasaporte, sino también identificadores de dispositivos, logins, direcciones, metadatos de sesión o registros de sistemas de tickets.
• Categorías especiales y datos biométricos: datos sensibles que requieren mayores protecciones y fundamentos específicos para su tratamiento.
• Operador de DP: quien define los fines y medios del tratamiento. En grupos empresariales puede haber varios operadores, lo que afecta notificaciones, contratos y la arquitectura.
• Encargado del tratamiento (por encargo): persona que actúa según instrucciones del operador. Es clave para contratos y restricciones de acceso en outsourcing y servicios en la nube.
• ISPDn: sistema de información de datos personales. No es solo un servidor, sino un conjunto de subsistemas, segmentos de red, software y procesos donde se tratan datos personales.
• Localización: la contabilidad primaria y almacenamiento de DP de ciudadanos rusos dentro del territorio ruso. Implica dónde físicamente y lógicamente están las bases, backups y puntos de salida.
• Transferencia transfronteriza: envío de DP a otro país u organización extranjera. Implica notificaciones, evaluación de la adecuación de protección, obligaciones contractuales y control técnico de los canales.

VPN como medio de control, no solución mágica

VPN es un método para construir un canal seguro sobre una red no confiable. Soluciona la confidencialidad e integridad del transporte, pero no reemplaza la gestión de identidades, permisos, registros, minimización y localización. La VPN corporativa debe integrarse en la arquitectura de ISPDn, relacionarse con la segmentación y respetar los perímetros legales de tratamiento. El cifrado por sí solo no legitima el tratamiento, y rutas mal configuradas pueden expor inadvertidamente los datos personales al extranjero.

Protocolos y sus características (resumen)

• WireGuard: minimalista, de alto rendimiento y con criptografía moderna; ideal para automatización y entornos DevOps.
• OpenVPN: flexible, estándar maduro de facto, con ecosistema amplio y alta compatibilidad.
• IPsec/IKEv2: protocolo industrial, comúnmente elegido para site-to-site e integración con hardware de red.
• L2TP/SSTP: usados en entornos con limitaciones de compatibilidad y políticas, aunque se recomiendan alternativas modernas para nuevos proyectos.

Roskomnadzor, FSTEK, FSB: roles

• Roskomnadzor: supervisión del cumplimiento de la ley de DP, registro de operadores, guías metodológicas, inspecciones.
• FSTEK Rusia: requisitos para protección contra accesos no autorizados y guías sobre niveles de protección en ISPDn.
• FSB Rusia: regulación de SKZI, certificación de medios criptográficos, algoritmos GOST.

Para diseñar una arquitectura VPN, hay que vincular estas áreas: dónde se procesan los DP (perímetros operativos y legales), nivel de protección de ISPDn y medidas asociadas (organizativas, técnicas, criptográficas), y cómo se supervisa y se demuestra el cumplimiento (registros, procedimientos, informes).

Inmersión profunda: aspectos avanzados

Mapeo de requisitos de la Ley 152 a medidas técnicas

• Legalidad y minimización: inventario de fines y bases legales; a nivel técnico — segmentación, ZTNA/SDP, prohibición de túneles innecesarios, control de rutas, split-tunneling con listas blancas.
• Seguridad en el tratamiento: gestión de cuentas y MFA, cifrado de canales, acceso basado en roles, registro de eventos y operaciones administrativas, revisión periódica de permisos.
• Localización: almacenamiento y procesamiento primario en Rusia; políticas de red: priorización de PoP y gateways nacionales, suspensión de acceso a almacenamientos extranjeros para flujos con DP, control de DNS.
• Transferencia transfronteriza: inventario de destinatarios, notificaciones, medidas contractuales; controles técnicos: enrutamiento por gateways aprobados, tokenización/pseudonimización antes de la transferencia, cifrado con gestión de claves en Rusia.
• Derechos de los sujetos: procesos y SLA para respuesta; parte técnica: trazabilidad de origen de datos, registro de tratamientos, responsables únicos de sistemas.

ISPDn: niveles de protección y perímetros

ISPDn tiene un nivel de protección definido por la gravedad del daño y amenazas actuales. A mayor nivel, medidas más estrictas: desde segmentación y registros hasta medios certificados y cajas criptográficas gestionadas. En la práctica se piensa en "perímetros": usuario, perímetro, servicios, almacenamiento/analítica, administración. La VPN actúa como puerta entre el mundo externo y uno o varios perímetros. Idea clave: cada perímetro tiene su política de acceso, auditoría y control de rutas.

Confianza Cero y VPN clásico

El enfoque clásico de "confiar tras entrar al perímetro" ya no basta en 2026. Confianza Cero implica verificar continuamente usuario y dispositivo, política de mínimos privilegios, microsegmentación y decisiones contextuales. No elimina la VPN, pero redefine su papel: esta se vuelve el transporte, mientras que la gestión de acceso sube al nivel de aplicaciones e identidades. Las soluciones ZTNA/SDP complementan o sustituyen túneles gruesos, reduciendo riesgos de exfiltración y superficie de ataque.

Registro y demostración

El cumplimiento no es solo hacer las cosas bien, sino demostrarlo. Registros de autenticación, autorización, inicio/cierre de túneles, cambios en políticas, accesos a servicios específicos son la base para control interno e interacción con Roskomnadzor. Es vital asegurar correlación completa de identidades (IdP), actividad de red (VPN/SDP) y eventos en aplicaciones (SIEM). Para datos personales con altos niveles de protección, añada almacenamiento inmutable y control de integridad de logs.

Claves, certificados y algoritmos criptográficos

La gestión de claves requiere atención especial: rotación, almacenamiento, segregación de acceso a administradores, auditoría de operaciones y verificación independiente. Para perímetros productivos con altos requisitos de DP, considere usar SKZI certificados y algoritmos GOST según categoría ISPDn y normativa vigente.

Práctica 1: inventario de DP y clasificación ISPDn

Objetivo del método

Recolectar un panorama completo de flujos de DP, identificar operadores y encargados, destacar ISPDn, clasificar niveles de protección y documentar los límites arquitectónicos en los que operará la VPN.

Instrucciones paso a paso

1. Definir alcance de activos: lista de sistemas donde puede haber DP: HR, CRM, Service Desk, correo, almacenes de archivos, portales de socios, BI, backups, apps móviles, desarrollo/test.
2. Registro de tratamientos: para cada sistema registre objetivos, categorías de DP, bases legales, plazos de retención, roles (operador/encargado), flujos transfronterizos.
3. Mapa de flujos: documente fuentes y destinos, protocolos, puertos, tipos de cifrado, puntos de salida, servicios intermedios (proxy, brokers, SASE).
4. Definición de ISPDn: agrupe subsistemas y redes en ISPDn, establezca propietarios y límites (L3/L7), teniendo en cuenta el perímetro administrativo.
5. Clasificación: evalúe amenazas y daños para sujetos y operador, asigne nivel de protección, defina conjunto obligatorio de medidas (orgánicas + técnicas + cripto).
6. Actualización contractual: revise contratos con encargados, incluya compromisos de DP, medidas de protección, notificaciones de incidentes y requisitos de localización.
7. Asignación de responsables: defina roles: propietario ISPDn, responsable del tratamiento de DP, administrador de seguridad, curador de registros, contacto para supervisión.

Lista de verificación de artefactos

• Registro de tratamientos de DP con bases legales y plazos de conservación.
• Esquema de redes y rutas VPN con indicación de perímetros de localización.
• Memorando sobre asignación de niveles de protección ISPDn y listado de medidas.
• Órdenes de asignación de responsables y reglamentos de acceso.
• Plantillas de consentimientos de sujetos y procedimientos para su revocación.

Práctica 2: modelo de amenazas y selección de medidas

Objetivo del método

Identificar amenazas relevantes para ISPDn y configurar VPN y controles relacionados para reducir probabilidad y daño, acorde a la Ley Federal 152 y normativa secundaria.

Guía paso a paso para modelar amenazas

1. Identifique escenarios de ataque: compromiso de credenciales, abuso de privilegios, Man-in-the-Middle, rutas que evaden localización, exfiltración por túneles opacos, ataques a protocolos criptográficos, cadena de suministro.
2. Determine objetivos del atacante: acceso a DP, fuga masiva de datos, modificación encubierta de registros, denegación de servicio, retención de backups.
3. Evalúe superficie de ataque: clientes VPN, gateways, brokers de acceso, IdP, servicios de registros y SIEM, interfaces administrativas.
4. Asocie medidas: para cada escenario defina medidas técnicas y organizativas, relacionándolas con niveles de protección ISPDn.
5. Establezca métricas: tiempo medio de detección/respuesta, porcentaje de accesos administrativos con MFA, porcentaje de tráfico segmentado, errores de autenticación, exfiltraciones detectadas/bloqueadas en pruebas.

Matriz de medidas (extracto)

• Compromiso de cuentas: MFA, contraseñas según política, gestores de contraseñas, autenticación por dispositivo, alertas SIEM, accesos temporales Just-In-Time.
• MITM/vulnerabilidades en túnel: protocolos modernos, perfiles criptográficos estrictos, prohibición de cifrados débiles, pinning de certificados, rotación automática de claves.
• Exfiltración: control de salida, DLP, proxy con categorización, bloqueo de túnel completo para segmentos con DP o solo rutas permitidas, fijación DNS, monitoreo de anomalías.
• Privilegios: separación de roles administrativos, PAM, grabación de sesiones administrativas, perímetros separados para administración y operación.
• Logs y demostración: colección centralizada y segura de logs, control de integridad, acceso segregado a registros, retención según política.

Práctica de configuración de VPN corporativa bajo la Ley 152

1. Elección de protocolo: para acceso remoto — WireGuard o IKEv2/OpenVPN; para site-to-site — IPsec/IKEv2. Considere compatibilidad, rendimiento y soporte de hardware.
2. Cifrado y claves: use esquemas modernos, excluya obsoletos; configure rotación automática y segregue acceso a materiales clave.
3. Autenticación: SSO vía IdP corporativo, MFA obligatorio, dispositivos con certificación de confianza (chequeos MDM/EDR).
4. Enrutamiento: defina subredes/destinos; evite acceso ilimitado tras conexión; segmente por roles y perímetros.
5. Split-tunneling: úselo selectivamente. Para flujos con DP, solo túneles completos hacia gateways rusos o listas blancas estrictas de rutas y DNS.
6. DNS y fugas: configure resolvers corporativos, bloquee resolvers públicos desde el cliente, implemente DoH/DoT a servidores confiables.
7. Kill-switch: aplique políticas que interrumpan acceso de apps a red si el túnel cae, especialmente para sistemas con DP.
8. Registro: configure logs de conexiones, políticas, autenticación y accesos a subredes; integre con SIEM; respete políticas de retención y minimización.
9. Control de dispositivos: implemente perfiles MDM/EDR, verifique versión SO, cifrado de disco, bloqueo de pantalla, ausencia de root/jailbreak.
10. Pruebas de exfiltración: simule intentos de fuga de DP periódicamente, verifique bloqueos proxy/DLP y rutas correctas.

Práctica 3: localización y transferencia transfronteriza

Qué es localización en sentido de red

La localización no es solo la dirección del rack en el data center. Es un modo de red y proceso en que la primera recolección, grabación y mayoría de operaciones sobre DP ocurren en Rusia, y los flujos cross-border o no existen o están estrictamente regulados. La VPN influye directamente: punto de salida, enrutamiento, resolución DNS, proxies — todo debe cumplir con la política de localización.

Framework paso a paso para localización

1. Inventario de sistemas de almacenamiento: bases de datos principales, bases de logs, backups, colas, caches, cubos BI — dónde están ubicados física y lógicamente.
2. Puntos de entrada: apps y APIs de ingreso de DP; asegure que el registro primario sea en Rusia.
3. Salidas y espejado: evalúe replicaciones y canales de respaldo; limite o cifre con claves en Rusia; aplique pseudonimización antes de exportar.
4. Políticas VPN/proxy: para usuarios y servicios con DP — gateways y PoP en Rusia; listas blancas de direcciones/dominios; prohibición de egresos arbitrarios.
5. Documentación: registre en el registro de tratamientos, esquemas de red y reglamentos de localización; coordine con TI/seguridad y legal.

Transferencia transfronteriza: control y demostración

• Registro de flujos cross-border: destinatario, país, fines, base legal, medidas de protección, plazos, categorías de DP, contacto del receptor.
• Notificación y contratos: cumpla requisitos de aviso previo e incluya en contratos obligaciones de protección, notificación de incidentes y requisitos sobre ubicación del procesamiento en subcontratistas.
• Medidas técnicas: cifrado en transmisión, claves bajo control en Rusia, pseudonimización donde sea posible, auditoría de rutas.
• Monitoreo: configuración SIEM para vigilar entradas cross-border, alertas por países/ASN desconocidos, validación periódica de geolocalización de gateways.

Práctica 4: procesos operativos, incidentes e interacción con supervisores

Soporte procesal

• Gestión de accesos: solicitudes, justificaciones, revisión periódica, revocación de derechos, JIT para accesos admin.
• Capacitación: entrenamientos regulares para admins, DevOps y usuarios, enfocados en enrutamiento, localización y DP.
• Cambios y lanzamientos: Change Advisory para políticas de red, pruebas de rutas y revisión de logs antes y después de cambios.
• Auditoría y control: revisiones internas con checklist, pruebas de fuga, conciliación de registros y inventarios.

Incidentes: desde clasificación hasta forense

1. Clasifique: sospecha de fuga DP, fuga confirmada, indisponibilidad de servicios, acceso no autorizado.
2. Aísle: bloqueos temporales de cuentas/túneles, reinicio forzado de claves/certificados, segmentación.
3. Documente: capturas de configuración, exportación de logs con certificación de integridad, almacenamiento independiente.
4. Comunicación: avise responsables, área legal, y si es necesario a sujetos de datos y supervisores en tiempos y formas que exijan las políticas y leyes.
5. Lecciones: análisis post-mortem, actualización de reglamentos, entrenamientos de equipos, ajustes a políticas.

Preparación para auditorías

• Registro actualizado de tratamientos e ISPDn.
• Esquemas de red y VPN marcando localización y rutas transfronterizas.
• Logs de autenticación, políticas y acceso a almacenamientos de DP.
• Contratos con encargados, políticas y estándares.
• Resultados de auditorías internas y planes de acción.

Errores comunes: qué NO hacer

• VPN compartida sin IP dedicada: logs mezclados e imposibilidad de demostrar rutas para localización y auditoría.
• Túnel completo "as is": egreso sin control, pérdida de localización y transferencia transfronteriza incontrolada.
• Falta de MFA y control de dispositivos: compromiso de cuentas y escalada fácil de privilegios.
• Ausencia de registro de tratamientos: falta de claridad en legitimidad y minimización, discrepancias entre documentos legales y realidad técnica.
• Logs deshabilitados: imposibilidad de demostrar cumplimiento, forense dificultoso, alto riesgo de sanciones.
• Ruta única para admins y usuarios: fuga de claves administrativas y aumento del daño.
• BYOD sin MDM: dispositivos no confiables y fugas vía apps no detectadas.
• Cifrados débiles y protocolos obsoletos: ataques criptográficos y MITM.

Herramientas y recursos: qué usar

Capa de red y acceso

• Servidores VPN: WireGuard, OpenVPN, IPsec/IKEv2 para escenarios flexibles; para altos niveles de protección ISPDn considérese soluciones certificadas con algoritmos GOST cuando sea requerido.
• ZTNA/SDP: agentes y brokers livianos que gestionan acceso a nivel de aplicaciones y roles.
• Proxy y control de egreso: categorización, políticas por país/ASN, inspección TLS con excepciones para servicios confidenciales.

Control de identidades y dispositivos

• IAM/IdP y MFA: inicio de sesión único y autenticación multifactor estricta.
• MDM/EDR: verificación del estado del dispositivo, cifrado de discos, prohibición de root, agentes de seguridad obligatorios.
• PAM: control y grabación de sesiones administrativas, entrega de privilegios temporales.

Observabilidad y demostración

• SIEM: recolección y correlación de logs VPN/SDP, IdP, aplicaciones e infraestructura de red.
• Almacenamiento de registros: capas inmutables, control de integridad, segregación de accesos.
• DLP: prevención de fugas, especialmente en bordes de salida y gateways de correo.

Recomendación práctica para pilotos

Para pilotos rápidos y pruebas de concepto es conveniente desplegar un servidor VPN corporativo personal con IP dedicada para validar instantáneamente rutas de localización, políticas de egreso y registro. Aquí es ideal el servicio vpn.how: no ofrece VPN compartida, sino servidor personal con IP propia, soporta WireGuard, OpenVPN, IKEv2, L2TP, SSTP; permite elegir ubicación (Moscú, San Petersburgo, Ámsterdam, Fráncfort, Londres, Nueva York, San José, Chicago, Singapur, Sídney, Madrid, Helsinki, Estocolmo, Varsovia, Copenhague, Stavanger); acepta tarjetas rusas (incluyendo Tinkoff, Ozon), SBP, USDT/BTC; tarifas desde 490 ₽ por día y desde 2490 ₽ al mes con descuentos por períodos largos; autoarranque en 5 minutos tras pago; política sin logs. Para producción con altos requisitos de DP, evalúa infraestructura propia y/o implementa VPN certificadas GOST según nivel ISPDn.

Casos y resultados: ejemplos reales de aplicación

Caso 1: comercio electrónico, equipo distribuido

Problema: empleados y contratistas usaban VPN común con túnel completo, egreso por PoP extranjeros, algunos pipelines BI se replicaban en nubes extranjeras para análisis. Riesgos: incumplimiento de localización, transferencia transfronteriza incontrolada, baja trazabilidad de accesos.

Solución: inventario de DP y mapeo de flujos; grupos de acceso separados para usuarios y admins; cambio a WireGuard con SSO y MFA; control de egreso mediante gateways rusos; tokenización de identificadores personales antes del envío a analítica; integración SIEM de logs VPN, IdP y apps; pruebas regulares de exfiltración.

Resultados en 90 días: tráfico con DP fuera de Rusia reducido a cero sin excepciones justificadas; tiempo promedio de entrega de accesos -40% por JIT; tiempo de investigación de incidentes -55% por correlación de logs; inspección regulatoria superada sin observaciones, correcciones en 2 semanas.

Caso 2: empresa industrial con contratistas

Problema: contratistas tenían acceso a sistemas internos contables; dispositivos mezclados; registro parcial; perímetro admin no segregado.

Solución: implementación de ZTNA para acceso usuario (orientado a apps), túneles VPN IPsec para site-to-site; perímetro admin separado con PAM; perfiles MDM con certificación de dispositivos; registro en almacenamiento inmutable; categorización de egreso.

Resultados: 100% de acciones admin vía sesiones PAM grabadas; 0 incidentes críticos en 12 meses; onboarding de contratistas reducido en 60%; auditoría interna exitosa y avance en madurez de seguridad.

Caso 3: I+D internacional con flujos cross-border

Problema: intercambio de DP con centros de desarrollo externos para soporte; red de túneles compleja, logs dispersos, localización no óptima.

Solución: registro de flujos cross-border con medidas contractuales; pseudonimización previa a envío; cifrado con claves en Rusia; broker centralizado de salida con categorización por países; revisión de políticas DNS; implementación SIEM con geo-alertas.

Resultados: mapa claro y demostrable de transferencias; reducción de costos en canales en 20% por optimización; neutralización de 3 intentos de exfiltración en pruebas piloto; interacción exitosa con supervisión.

Preguntas frecuentes: 10 dudas complicadas

1. ¿Es necesario usar VPN para cumplir la Ley 152?

VPN no es un requisito explícito, pero suele ser necesario para proteger canales en acceso remoto e integraciones. El cumplimiento es la suma de documentos legales, procesos y controles técnicos, y la VPN es solo una pieza.

2. ¿WireGuard/OpenVPN son suficientes para perímetros con altos requisitos?

Para muchos escenarios sí, con configuraciones y entornos adecuados. Para ISPDn con fuertes requisitos puede ser necesario usar SKZI certificados y algoritmos GOST. La elección depende de la clasificación ISPDn y modelo de amenazas.

3. ¿Cómo manejar localización si el equipo trabaja desde el extranjero?

El almacenamiento y procesamiento primario de DP de ciudadanos rusos debe ser en Rusia. El equipo remoto se conecta a recursos en Rusia vía gateways controlados con política de egreso, evitando trasladar DP fuera salvo escenarios justificados con registros, notificaciones y medidas.

4. ¿Se pueden guardar logs con identificadores personales?

Sí, pero también constituyen tratamiento de DP. Aplique minimización (pseudonimización, hashing), control de acceso, plazos, fines y bases legales. Los logs deben estar protegidos y su integridad confirmada.

5. ¿Cuándo aplicar split-tunneling?

Solo con listas blancas estrictas de rutas y DNS. Para flujos con DP que requieren localización use egresos rusos o túneles completos desde el segmento corporativo. Evite túneles completos por defecto a PoP extranjeros.

6. ¿Qué ventajas tiene ZTNA frente a VPN clásico?

ZTNA reduce la superficie de ataque: el acceso se da no a la red sino a apps específicas según contexto y rol. Esto simplifica minimización, auditoría y reduce riesgo de exfiltración. Frecuentemente ZTNA y VPN operan conjuntamente.

7. ¿Cuánto tiempo conservar los logs VPN?

Depende de políticas internas, requisitos investigativos y contratos. Usualmente entre 6 y 24 meses para eventos clave, aplicando minimización y control de acceso.

8. ¿Es útil tener IP dedicada en VPN?

Para cumplimiento facilita demostrar rutas, segregación de logs y aplicar políticas de egreso; también ayuda a servicios externos con listas blancas.

9. ¿Cómo trabajar con un encargado extranjero?

Evalúe país y medidas de protección, firme contrato con obligaciones en DP e incidentes, registre la transferencia, asegure cifrado y registro de rutas y aplique pseudonimización antes del envío.

10. ¿Cómo medir madurez del cumplimiento en VPN?

Métricas: porcentaje de accesos con MFA, tráfico con DP fuera de Rusia (objetivo 0 o excepciones documentadas), tiempo de onboarding/revocación, cobertura MDM/EDR en dispositivos, exhaustividad y correlación de logs en SIEM, éxito en pruebas de exfiltración.

Conclusión: resumen y próximos pasos

El cumplimiento de la Ley 152 en 2026 es una labor de ingeniería en la intersección de derecho, seguridad y operación. La VPN es clave, pero ganan quienes construyen el sistema: registro de tratamientos, perímetros ISPDn claros, modelo de amenazas, separación entre accesos admin y usuarios, rutas gestionadas, observabilidad y preparación para auditorías. Comienza con inventario y mapa de flujos, luego clasifica ISPDn y liga requerimientos legales con medidas técnicas. Un piloto rápido valida hipótesis en rutas y logs reales, y luego avanza hacia la estandarización: ZTNA para reducir superficie de ataque, criptomecanismos certificados para perímetros altos, y un ciclo continuo de auditoría y mejora.

Plan 30-60-90

• 30 días: registro de tratamientos, esquema de redes y rutas, políticas básicas VPN, MFA, MDM, integración SIEM de logs.
• 60 días: modelo de amenazas, control de egreso y políticas DNS, segmentación de perímetros, despliegue ZTNA para apps prioritarias, procedimientos para incidentes.
• 90 días: registro cross-border y marcos contractuales, pruebas de exfiltración, almacenamiento inmutable de logs, auditoría interna y plan de mejoras.

La clave: mantén control sobre datos, rutas y evidencia. Así, tanto las auditorías como el crecimiento del negocio avanzarán sin sobresaltos.