Todas las estaciones de trabajo están protegidas, y el servidor lleva años funcionando sin ningún problema

El resumen de licencias parece claro y ordenado. Veinticinco estaciones de trabajo, todas con el mismo paquete de protección, todas con el indicador en verde en la consola. Entonces alguien pregunta por el servidor de archivos. Lleva funcionando en un rincón, sin cambios desde el traslado a la nueva sala de servidores, y nadie sabe a ciencia cierta si hay algo instalado en él. Si lo hay, probablemente sea la misma licencia que en las estaciones de trabajo: instalada en algún momento porque resultaba práctica en aquel momento.

Este es el punto ciego más habitual en entornos pequeños y medianos. Tiene dos causas distintas —una relacionada con las licencias y otra técnica— y ambas conducen al mismo resultado: el dispositivo en el que se almacenan realmente los datos está menos protegido que los portátiles que se utilizan para acceder a ellos. Este artículo explica por qué ocurre esto, qué productos hay disponibles para servidores de archivos, Exchange, sistemas NAS y máquinas virtuales, y qué aspectos se suelen pasar por alto a la hora de tomar decisiones de compra.

¿Por qué una licencia para terminales no es suficiente para el servidor?

Por dos razones que no guardan relación entre sí. La primera es la licencia: la mayoría de los proveedores ofrecen licencias de servidor como productos independientes. Sophos y ThreatDown comercializan productos distintos para estaciones de trabajo y servidores; ESET cuenta con su propia línea, ESET Server Security, junto a sus productos para puntos finales; y Bitdefender ofrece Security for Servers como producto independiente, junto a Security for Workstations. Por lo tanto, utilizar una licencia de estación de trabajo en un servidor no solo es desaconsejable, sino que simplemente no está cubierto por la licencia.

La segunda razón es de carácter técnico y tiene mayor relevancia en las operaciones diarias: un producto para estaciones de trabajo está diseñado para un dispositivo utilizado por un usuario humano. Muestra notificaciones, solicita la intervención del usuario a la hora de tomar decisiones, programa las actualizaciones para después del horario laboral y prevé que el sistema se reinicie de vez en cuando. Nada de esto se aplica a un servidor que funciona sin un usuario conectado y cuyo reinicio es un evento programado con aviso previo. Un producto para servidores, por el contrario, ofrece lo que importa en ese contexto: exclusiones preconfiguradas para funciones de servidor, un comportamiento de análisis que tiene en cuenta los archivos y bases de datos abiertos, compatibilidad con instalaciones sin interfaz gráfica de usuario y políticas diseñadas para sistemas que funcionan de forma continua.

En conjunto, esto significa que cualquiera que instale una licencia de estación de trabajo en un servidor ahorra en una partida del presupuesto, pero acaba con un dispositivo que, en el peor de los casos, está mal configurado o no debería estar funcionando en absoluto.

¿En qué se diferencia técnicamente la protección para servidores?

La diferencia más evidente son las exclusiones. Un escáner en tiempo real que detecte un archivo de base de datos abierto puede bloquearlo o trasladarlo a cuarentena, con lo que el servicio deja de funcionar. Por ello, los productos para servidores incluyen ajustes predefinidos para funciones habituales o las detectan automáticamente. Sophos lo describe como «exclusiones automáticas de análisis»; otros proveedores lo abordan mediante plantillas de funciones en la política.

Además, hay funciones que simplemente no existen en las estaciones de trabajo. Sophos Intercept X Advanced for Server incluye «Server Lockdown», un bloqueo de aplicaciones que, tras una fase inicial de captura, bloquea el servidor en su estado actual: a partir de ese momento, no se inicia nada que no estuviera ya allí. En una estación de trabajo, esto resultaría poco práctico, ya que constantemente se añade nuevo software. Sin embargo, en un servidor que lleva tres años ejecutando los mismos cuatro servicios, es una de las medidas más eficaces disponibles. Esta edición también incluye supervisión de la integridad de los archivos, que te avisa si alguien modifica archivos críticos.

Y, por último, la cuestión de la plataforma: los productos para servidores suelen admitir instalaciones sin interfaz gráfica de usuario y distribuciones de Linux. AVG File Server Business Edition, por ejemplo, solo menciona explícitamente los servidores Windows de 64 bits como sistemas compatibles y excluye las instalaciones de Server Core. Cualquiera que utilice Server Core debe tener esto en cuenta antes de realizar un pedido.

¿Por qué es el servidor de archivos el objetivo real de un ataque de cifrado?

Porque ahí es donde se almacenan los datos por los que alguien estaría dispuesto a pagar un rescate. Reinstalar un portátil cifrado lleva medio día. Un servidor de archivos cifrado paraliza por completo las operaciones.

Un detalle crucial que a menudo se pasa por alto es el siguiente: el cifrado ni siquiera tiene por qué realizarse en el propio servidor. Comienza en una estación de trabajo infectada y se propaga a través de las carpetas compartidas mediante la unidad de red conectada. Desde la perspectiva del servidor, un usuario que ha iniciado sesión normalmente está accediendo a sus archivos y modificándolos; técnicamente, esto parece completamente normal. Precisamente por eso, los productos para servidores incluyen mecanismos de protección contra el cifrado ejecutado de forma remota. Sophos denomina a este componente «CryptoGuard» y describe explícitamente el escenario en el que el ransomware se ejecuta en un terminal conectado en lugar de en el propio servidor.

Un producto para terminales que se ejecuta en el servidor no tiene esta perspectiva. Supervisa los procesos ejecutados localmente, no los patrones de acceso a través de carpetas compartidas.

¿Mi paquete Business actual cubre automáticamente los servidores?

En parte, y las condiciones varían. Bitdefender incluye un componente de servidor en sus paquetes GravityZone: el alcance de la cobertura especifica ordenadores de sobremesa y portátiles, así como hasta un treinta por ciento de servidores de archivos. Otro punto importante de la misma fuente es que los sistemas Linux siempre se contabilizan como servidores, incluso si son estaciones de trabajo. Por lo tanto, cualquiera que utilice muchos dispositivos Linux modificará su proporción sin darse cuenta.

Sophos y ThreatDown no utilizan este mecanismo. En estos casos, los servidores se tratan sistemáticamente como líneas de productos independientes, desde el nivel básico hasta la opción de servicio gestionado. Si actualizas tus estaciones de trabajo a un determinado nivel, deberías actualizar tus servidores al mismo nivel; de lo contrario, la cadena se rompe precisamente donde se produce el daño.

Implicación práctica a la hora de evaluar soluciones: no cuentes tus dispositivos por el número de usuarios, sino en tres grupos: estaciones de trabajo, servidores y cualquier dispositivo en el que no se pueda instalar un agente. El tercer grupo casi siempre se pasa por alto.

¿En qué se diferencian concretamente los productos para servidores?

Los productos que protegen un servidor de archivos de Windows son comparables. La tabla no incluye productos independientes de correo electrónico y almacenamiento, ya que tienen una finalidad diferente y se tratan en secciones separadas más adelante, ni incluye los servicios gestionados, que son una oferta de servicios más que un producto de servidor.

En cuanto a los campos sin rellenar: la compatibilidad con una instalación sin interfaz gráfica de usuario depende de la versión del producto utilizada en los tres principales proveedores y, por lo tanto, debe verificarse antes de realizar el pedido; solo AVG excluye explícitamente Server Core. El bloqueo de aplicaciones y la supervisión de la integridad de los archivos están incluidos en el nivel «Advanced» de Sophos para servidores; en el caso de Bitdefender, la supervisión de la integridad es un módulo adicional que debe adquirirse por separado; y en cuanto a ESET, no existe una especificación clara del fabricante a nivel de producto respecto a estas dos funciones. Sophos ofrece dos opciones de implementación para Linux con conjuntos de funciones diferentes que se excluyen mutuamente: la opción más básica incluye, esencialmente, protección contra malware y detección de tráfico malicioso.

¿Qué producto para servidores es el más adecuado para cada entorno?

Para entornos mixtos con servidores Windows y Linux y una consola que también puede ejecutarse en las propias instalaciones, ESET Server Security ⧉ es la elección obvia. El producto se conocía anteriormente como ESET File Security for Microsoft Windows Server; cualquiera que siga buscando con el nombre antiguo será redirigido aquí. Se gestiona a través de la misma plataforma que las estaciones de trabajo, lo que simplifica considerablemente las operaciones.

Si ya utilizas GravityZone y deseas adquirir licencias para los servidores por separado, elige Bitdefender GravityZone Security for Servers ⧉; de esta forma, mantendrás disponibles las licencias de servidor incluidas en tus paquetes de estaciones de trabajo por si añades dispositivos Linux más adelante.

Para servidores de archivos Windows en un entorno pequeño sin Linux y sin necesidad de bloquear aplicaciones, AVG File Server Business Edition ⧉ es suficiente. Las limitaciones están claramente indicadas: solo servidores Windows de 64 bits, sin instalaciones de Server Core y sin Linux. Si utilizas servidores Linux, necesitarás un producto independiente de la misma familia.

¿Qué nivel de Sophos necesito para los servidores?

Sophos clasifica sus productos para servidores de la misma manera que sus productos para endpoints, y las diferencias son especialmente notables en el caso de los servidores.

SOPHOS Central Intercept X Essentials for Server ⧉ ofrece protección contra malware y ataques de cifrado. Lo que falta es precisamente lo que distingue a los servidores de las estaciones de trabajo: no incluye bloqueo de aplicaciones, ni supervisión de la integridad de los archivos, ni políticas configurables múltiples.

SOPHOS Central Intercept X Advanced for Server ⧉ añade el bloqueo de servidores y la supervisión de la integridad de los archivos, así como el control de dispositivos, web y aplicaciones. Para un servidor que ejecute una versión estable de software, este es el nivel que ofrece el mayor beneficio práctico en materia de seguridad.

SOPHOS Central Intercept X Advanced for Server con XDR ⧉ es una opción si las estaciones de trabajo ya funcionan al nivel de XDR. Dejar los servidores en un nivel inferior significa que la reconstrucción de un ataque termina justo donde las cosas se ponen interesantes.

¿Por qué necesita Exchange su propio producto de protección?

Porque un escáner de archivos y un escáner de correo electrónico operan en puntos diferentes del sistema. La protección de archivos en el servidor comprueba lo que se está escribiendo en el disco duro. Por lo tanto, no puede ver lo que hay en la cola de correo, lo que está pasando en ese momento por el servicio de transporte ni lo que se almacena en un buzón sin llegar a existir nunca como un único archivo. Un producto de correo electrónico se integra en el flujo de correo y filtra allí mismo, lo que incluye la detección de spam y phishing, algo que, naturalmente, un escáner de archivos no puede ofrecer.

Por eso, todos los proveedores ofrecen un producto independiente para este fin. En el caso de Bitdefender, es GravityZone Security for Exchange Servers ⧉. Para ESET, es ESET PROTECT Mail Plus ⧉. Kaspersky ofrece Kaspersky Security for Mail Server ⧉. G DATA resuelve esto mediante paquetes, como G DATA Client Security Business con Exchange Mail Security ⧉, donde la protección del correo electrónico forma parte integral del paquete desde el principio —a menudo, la opción de adquisición más sencilla para las empresas que no desean gestionar dos productos independientes a la vez—.

En el caso de AVG, la protección para Exchange no está incluida en la File Server Business Edition, sino en una edición independiente para servidores de correo. Este es el escenario clásico en el que una empresa adquiere la licencia para el servidor de archivos y da por hecho que, por ello, Exchange también está cubierto.

¿Qué exclusiones antivirus necesita un servidor Exchange y por qué son peligrosas las listas desactualizadas?

Microsoft publica una lista de carpetas, procesos y extensiones de archivo para Exchange que deben excluirse del escáner de archivos: archivos de base de datos y de registro de transacciones, colas, conversión de contenido y más. La razón es clara: si el escáner bloquea una base de datos o un archivo de registro abiertos, puede provocar desconexiones inesperadas de la base de datos y, en el peor de los casos, datos dañados. Para implementarlo, Microsoft proporciona un script de PowerShell que determina las rutas reales utilizadas por la instalación, en lugar de obligarte a introducirlas manualmente.

Lo peligroso es justo lo contrario. En 2023, Microsoft revocó explícitamente cuatro exclusiones que antes recomendaba: las carpetas de archivos temporales de ASP.NET e Inetsrv, así como los procesos PowerShell.exe y w3wp.exe. El razonamiento fue que precisamente estas exclusiones impedían la detección de webshells de IIS y módulos de puerta trasera, que eran la forma más común de ataque contra Exchange en aquel momento. Cualquiera que haya adoptado una lista de exclusiones de un manual antiguo sigue ejecutando su servidor Exchange con una vulnerabilidad en su área más sensible.

En la práctica, esto significa lo siguiente: no copies la lista de exclusiones; en su lugar, compárala con la documentación actual del fabricante correspondiente a la versión específica de Exchange que estés utilizando.

¿Qué supone el fin del soporte técnico para Exchange 2016 y 2019 para la seguridad del servidor?

El soporte técnico para Exchange Server 2016 y 2019 finalizó el 14 de octubre de 2025. Desde entonces, Microsoft ha dejado de proporcionar actualizaciones de seguridad, correcciones de errores y soporte técnico para estas versiones. La única versión local que sigue recibiendo soporte es la Exchange Server Subscription Edition, que está disponible de forma generalizada desde el 1 de julio de 2025. El programa de duración limitada que ofrecía actualizaciones de seguridad ampliadas para las versiones de 2016 y 2019 estuvo vigente hasta el 14 de abril de 2026 y, por lo tanto, también ha caducado.

Esto tiene dos implicaciones para la seguridad. En primer lugar, un producto de seguridad de correo electrónico no puede compensar la falta de actualizaciones de seguridad para el servidor. Los graves incidentes de Exchange de los últimos años aprovecharon vulnerabilidades del propio servidor, no de los archivos adjuntos de los correos electrónicos. En segundo lugar: antes de comprar, comprueba si el producto de seguridad de correo electrónico sigue siendo compatible con tu versión. Las especificaciones de los proveedores relativas a las versiones de Exchange compatibles a veces van por detrás de la Edición de suscripción, y un producto que solo está homologado oficialmente hasta Exchange 2019 no te servirá de ayuda en una migración.

Para quienes tengan previsto realizar una migración de todos modos: el momento de cambiar de versión de Exchange es también el momento adecuado para reevaluar su protección del correo electrónico, en lugar de arrastrar consigo una licencia existente.

Utilizamos Microsoft 365, ¿seguimos necesitando protección del correo electrónico?

Sí, pero no el mismo producto. Los productos de Exchange mencionados aquí se basan en un servidor de Exchange alojado localmente. Si su tráfico de correo electrónico pasa por Exchange Online, no hay ningún servidor en el que se pueda instalar un agente; la protección debe comenzar allí donde se encuentran los buzones de correo, es decir, a través de una conexión con el servicio en la nube.

Los proveedores ofrecen productos independientes para este fin. En el caso de Bitdefender, «Security for Email» es un módulo complementario independiente; en el de ESET, «PROTECT Mail Plus» cubre tanto Exchange local como Microsoft 365. Es importante distinguir entre estas opciones a la hora de realizar la compra: un producto que incluya «Exchange» en su nombre suele referirse al servidor local. Si trabajas en un entorno híbrido con Exchange local y buzones de correo en la nube, es posible que necesites ambos.

¿Cómo protejo los archivos de un NAS en el que no se puede instalar ningún agente?

Utilice un producto que analice el almacenamiento desde el exterior. Un sistema NAS o una matriz de almacenamiento ejecuta un sistema operativo cerrado en el que no se puede instalar ningún agente de protección. Por lo tanto, el análisis debe realizarse a través de una interfaz proporcionada por el propio sistema de almacenamiento: este notifica la solicitud de acceso a un servicio de análisis, y el servicio, a su vez, analiza el archivo y lo aprueba o lo bloquea.

Existen productos específicos para este fin: Bitdefender GravityZone Security for Storage ⧉ como módulo complementario y Kaspersky Security for Storage ⧉ como producto independiente. Este es el tercer grupo de dispositivos de la sección anterior que casi siempre falta en las ofertas de productos: la empresa utiliza un NAS para almacenar datos de diseño; todo el mundo accede a él y allí no se analiza nada.

Si dichos módulos complementarios requieren una licencia base específica y en qué se diferencian las opciones «Base», «Base Plus» y «Add-On» es una cuestión aparte que debe aclararse antes de realizar un pedido.

Base, Base Plus, Add-On o Renovación: qué significan
estos términos. Explica cómo interpretar los nombres de los paquetes disponibles en el mercado y cuáles de ellos requieren una licencia preexistente.

¿Cómo se conceden las licencias para los servidores virtuales y el hipervisor?

Por regla general, cada máquina virtual se cuenta como un servidor independiente, ya que cada una ejecuta un sistema operativo que debe protegerse. Para entornos con mayor densidad, existen modelos alternativos: Bitdefender GravityZone Security for Virtual Environments ⧉ se licencia por CPU en lugar de por máquina, lo que resulta rentable en cuanto se ejecutan muchos sistemas virtuales en unos pocos hosts.

Técnicamente, hay una segunda consideración. Si veinte máquinas virtuales en el mismo host inician un análisis programado al mismo tiempo, el rendimiento de todo el host se reduce significativamente. Los proveedores resuelven esto mediante el análisis externalizado: un agente ligero en la máquina virtual reenvía el análisis a una instancia de seguridad central. Sophos ofrece una versión específica para servidores Windows en VMware ESXi y Microsoft Hyper-V, concebida como alternativa al agente completo para servidores.

A la hora de evaluar soluciones, esto significa: aclarar si las licencias son por máquina o por procesador, y si la instancia central de análisis requiere su propia licencia.

¿Qué ocurre con el controlador de dominio?

El controlador de dominio es el servidor cuya vulnerabilidad hace que todo lo demás pierda su valor: quien lo controla, controla todas las cuentas y todos los recursos compartidos. Requiere la misma protección de servidor que un servidor de archivos, con las mismas exclusiones específicas de su función para la base de datos de directorios y los archivos de registro asociados.

En la práctica, sin embargo, a menudo se pasa por alto porque no almacena ningún dato de usuario y, por lo tanto, no se considera que merezca la pena protegerlo. Esto es un error: en un ataque de cifrado, el controlador de dominio no es el objetivo, sino más bien la herramienta; el malware se distribuye posteriormente a todos los demás sistemas a través de él. Un producto de servidor con bloqueo de aplicaciones resulta especialmente eficaz en este caso, ya que la versión de software de un controlador de dominio prácticamente nunca cambia.

¿Los servidores también necesitan EDR, o basta con la protección antivirus?

Si las estaciones de trabajo cuentan con capacidades de registro e investigación, sin duda los servidores también las tienen. La razón es la misma que en el caso de los niveles de licencia: un ataque que comienza en un portátil acaba afectando al servidor. Si el registro de eventos se detiene en el perímetro del servidor, es imposible reconstruir a posteriori lo que ocurrió con los datos, y esa es precisamente la pregunta que se planteará en caso de incidente.

Todos los principales proveedores ofrecen versiones para servidores con este fin, como ThreatDown Advanced Server ⧉, que es la contrapartida para servidores del paquete para estaciones de trabajo del mismo nombre. Al comparar dos ofertas, asegúrate de que las licencias para servidores sean del mismo nivel que las de las estaciones de trabajo. Un presupuesto parece más asequible si los servidores se han calculado discretamente en el nivel básico.

Qué nivel tiene sentido para su empresa y en qué se diferencian las siglas se determina independientemente de la cuestión de los servidores y, deliberadamente, no se aborda aquí.

EDR, XDR y MDR: qué significan las siglas y cuándo necesitas
cada una. Explica las diferencias entre el registro de eventos, las fuentes de datos ampliadas y los servicios gestionados, y describe qué nivel se adapta a cada escenario.

¿Cómo ayuda la protección de servidores a cumplir con la obligación de notificación en Suiza?

Desde el 1 de abril de 2025, Suiza cuenta con un requisito de notificación obligatorio para los ciberataques contra infraestructuras críticas, basado en la Ley de Seguridad de la Información revisada y en la Ordenanza de Ciberseguridad. Esto se aplica a los organismos y organizaciones públicos tal y como se definen en el art. 74b de la Ley de Seguridad de la Información (ISG), incluidas las empresas de suministro de energía y agua potable, las empresas de transporte, los hospitales incluidos en la lista, los proveedores de servicios en la nube y los centros de datos, así como las administraciones cantonales y municipales. El informe inicial debe presentarse a la Oficina Federal de Ciberseguridad en un plazo de 24 horas desde el descubrimiento del incidente; cualquier información que falte puede facilitarse en un plazo de 14 días. La ordenanza prevé excepciones para las organizaciones más pequeñas y para los incidentes con repercusiones menores.

Hay un aspecto fundamental en el informe: debe poder especificar qué sistemas se vieron afectados y si los datos se vieron comprometidos. Esto se determina a nivel de servidor, no a nivel de estación de trabajo. Un producto de servidor con supervisión de la integridad de los archivos y registro del comportamiento de acceso proporciona información verificable a tal efecto. Un servidor desprotegido o que solo cuente con una licencia de estación de trabajo no proporciona esta información; en ese caso, el informe solo contendrá una suposición.

Lo que la protección de servidores no hace: no determina si su organización está sujeta a requisitos de notificación; no sustituye a una persona responsable designada ni a una cadena de notificación bien establecida; y no proporciona información sobre qué datos estaban realmente almacenados en el servidor afectado. Esta determinación es una tarea de la organización.

¿Qué exige la Directiva NIS 2 con respecto a los servidores?

Para las organizaciones con sedes o clientes en la Unión Europea, la Directiva NIS 2 es vinculante. Exige categorías de medidas, no un software específico: análisis de riesgos y políticas de seguridad, respuesta ante incidentes, continuidad del negocio y gestión de copias de seguridad, seguridad de la cadena de suministro, gestión de vulnerabilidades, políticas de evaluación de la eficacia, formación, así como control de acceso y autenticación multifactorial. No existe un único producto que garantice el cumplimiento normativo.

En lo que respecta a los servidores, se admiten las siguientes medidas: respuesta ante incidentes, gestión de vulnerabilidades (en la medida en que la evaluación de vulnerabilidades y la gestión de parches se extiendan a los servidores) y control de acceso a nivel del sistema. Los requisitos de notificación por niveles de la directiva —alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas e informe final en el plazo de un mes— se basan en los mismos registros que los requisitos de notificación suizos.

No se incluyen las copias de seguridad y la recuperación, la gestión de proveedores, la formación de los empleados ni la responsabilidad a nivel directivo. Quienes deban cumplir ambos conjuntos de normativas en paralelo —porque su empresa tiene su sede en Suiza y suministra a la UE— pueden encontrar una comparación detallada en otra publicación.

Comparación de las obligaciones en materia de ciberseguridad en Suiza y la UE En
esta sección se comparan los requisitos de notificación suizos con los de la Directiva NIS 2 y se destacan las diferencias entre ambos.

¿Qué no cubre la protección de los servidores?

La mayor parte de lo que realmente previene o minimiza el tiempo de inactividad de los servidores. Un producto de seguridad no sustituye a una copia de seguridad de los datos con procedimientos de restauración probados y, en caso de un ataque de cifrado exitoso, es la recuperación —y no la detección— lo que determina la duración de la interrupción del servicio. Tampoco sustituye a una gestión adecuada de los derechos de acceso: si todos los usuarios tienen acceso de escritura a todas las carpetas compartidas, el ransomware cifrará todo aquello a lo que ese usuario pueda acceder.

Hay otros dos factores que entran en juego. En primer lugar, el acceso al escritorio remoto desde Internet sin autenticación de dos factores: un punto de entrada habitual que un escáner de archivos no puede impedir, ya que el atacante inicia sesión de forma normal. En segundo lugar, el propio estado de actualización del servidor. Los incidentes graves de los últimos años aprovecharon vulnerabilidades conocidas y sin parchear en los servicios del lado del servidor.

Cómo no solo implementar la gestión de parches en los servidores, sino también demostrarla a terceros, es un tema en sí mismo y no se tratará aquí.

Gestión y verificación de parches para terceros:
muestra cómo documentar el estado de actualización del servidor para que resista las auditorías y las consultas de los clientes.

¿Cómo se lleva esto a la práctica?

Empieza por hacer un inventario de cuatro grupos, no por preparar una propuesta. En primer lugar, las estaciones de trabajo. En segundo lugar, los servidores, separados en Windows y Linux, y anotando cuáles funcionan sin interfaz gráfica de usuario. En tercer lugar, las funciones que requieren su propio producto: Exchange, bases de datos, Servicios de Terminal. En cuarto lugar, todo aquello en lo que no se pueda instalar un agente: sistemas NAS, matrices de almacenamiento, dispositivos con sistemas operativos cerrados.

Solo entonces merece la pena fijarse en los productos. Y ahí se aplica una regla sencilla: los servidores deben recibir el mismo nivel de protección que las estaciones de trabajo, no uno inferior. Cualquier otra cosa invierte las prioridades: se protegería el acceso, pero no aquello a lo que se accede.