La mayoría de las empresas cree que instalar un antivirus es suficiente para proteger sus equipos. No lo es. El antivirus es el último recurso, no el primero. Y cuando llega al último recurso, el daño generalmente ya está hecho.

El problema de confundir herramienta con estrategia

Un endpoint —cualquier dispositivo que accede a la red corporativa: laptop, desktop, smartphone, impresora inteligente— es una puerta de entrada potencial para un atacante. Cada endpoint sin protección adecuada representa un vector de compromiso que puede escalar hasta el servidor central, los respaldos o los datos de clientes.

En la práctica, hemos auditado redes de empresas costarricenses donde el único control activo era un antivirus gratuito o preinstalado, con definiciones desactualizadas. El antivirus detecta amenazas conocidas mediante firmas. Pero el panorama actual de amenazas está dominado por ataques polimórficos, exploits de día cero y técnicas de evasión que no tienen firma registrada.

Qué requiere una protección de endpoint real

Una estrategia de endpoint security efectiva incluye al menos cuatro capas:

• Firewall de host: controla qué conexiones entran y salen del equipo, independientemente del firewall perimetral. Un equipo fuera de la oficina conectado a una red pública necesita su propio perímetro.
• IPS basado en comportamiento: el sistema de prevención de intrusiones observa patrones de actividad anómala —no firmas conocidas— y bloquea antes de que el payload se ejecute.
• EDR (Endpoint Detection and Response): registra telemetría continua del endpoint. Cuando ocurre un incidente, permite reconstruir exactamente qué proceso ejecutó qué acción, en qué momento y con qué privilegios. Sin EDR, la respuesta a incidentes es ciega.
• Control de aplicaciones y dispositivos: impide que usuarios instalen software no autorizado o conecten memorias USB sin autorización. El vector USB sigue siendo una de las principales formas de infección en entornos sin controles de endpoint.

Un caso real: el equipo que «nunca tuvo problemas»

En 2024 auditamos la red de una empresa de servicios profesionales en San José. El gerente nos dijo que nunca habían tenido un incidente de seguridad. Cuatro horas después de iniciar el análisis, encontramos un endpoint con un keylogger activo que llevaba siete meses operando silenciosamente. Las credenciales del sistema contable habían sido comprometidas. El antivirus instalado nunca lo detectó.

El keylogger usaba una técnica de inyección en proceso legítimo de Windows. Para el antivirus basado en firmas, era invisible. Para un EDR con análisis de comportamiento, habría sido una alerta inmediata.

El costo real de no actuar

Muchas empresas evitan invertir en endpoint security porque el costo parece alto. La ecuación cambia cuando se calcula el impacto real de un incidente: horas de personal afectadas, datos comprometidos, posible notificación a clientes, daño reputacional y el costo de remediación —que casi siempre supera en 10x el costo de prevención.

En Costa Rica, la Ley 8968 de Protección de Datos Personales establece responsabilidades concretas para las organizaciones que manejan datos de terceros. Un endpoint comprometido que filtra datos de clientes puede derivar en consecuencias legales además de operativas.

Recomendaciones inmediatas

Si su empresa todavía depende solo de antivirus, estos son los primeros pasos:

1. Inventariar todos los endpoints activos — incluyendo dispositivos personales que acceden a recursos corporativos.
2. Evaluar una solución EDR. Existen opciones enterprise como CrowdStrike, SentinelOne y Malwarebytes ThreatDown que AVN Networks implementa y administra.
3. Habilitar firewall de host en todos los equipos con políticas restrictivas por defecto.
4. Establecer política de control de aplicaciones para bloquear instalaciones no autorizadas.
5. Programar una auditoría de seguridad de endpoints para identificar exposiciones actuales.

La protección de endpoints no es un gasto de TI. Es una garantía operativa para el negocio. Un solo incidente de ransomware en un endpoint mal protegido puede paralizar operaciones por días o semanas.