NIVEL 1

Microempresa

Una asesoría, una clínica dental, un estudio de arquitectura, una agencia o una tienda con trastienda. Un único local con 3 a 15 personas. Es el momento de dejar el router de la operadora como único "cerebro" y montar un pequeño armario de comunicaciones.

3–15 personas 20–50 dispositivos Fibra 1 Gb + 5G respaldo Inversión 3–15 k€ IT: externo o empleado "manitas"

Perfil

Lo nuevo respecto al nivel 0: varias personas comparten archivos, impresora y conexión; hay clientes que entran al local (Wi-Fi de invitados); y si se cae Internet, todo el negocio se para. Además aparecen obligaciones legales (RGPD, en algunos sectores normativa específica).

Cambio de mentalidadA partir de aquí los equipos son de la empresa, no de las personas. Cuando alguien se va, su portátil y sus cuentas se quedan. Eso implica gestionar usuarios de forma centralizada.

Plano físico

Fibra operadora Cable Cat 6A Cobertura AP Cámaras PoE

Topología en estrella: cada roseta del local tiene su propio cable hasta el rack. Los APs van en el techo, alimentados por PoE desde el switch.

¿Por qué así?

Rack de pared en un sitio discreto pero accesible (almacén, office, bajo la escalera). No en el aseo (humedad) ni en recepción (cualquiera puede tocarlo). Debe tener enchufe dedicado y algo de ventilación; un rack cerrado en un cuarto sin aire puede superar 40 °C en verano.
Cada puesto, 2 rosetas: PC + teléfono IP o un dispositivo extra. El cable cuesta poco; tirar uno nuevo después cuesta mucho.
APs en el techo, uno cada ≈ 150–250 m² diáfanos o uno por zona separada por paredes gruesas. Alimentados por PoE: no hace falta enchufe en el techo.
Impresora por cable, siempre. Las impresoras Wi-Fi son una fuente inagotable de incidencias.

Interior del rack

U	Equipo	Notas
1	Bandeja: ONT + router 5G	La ONT es de la operadora. Se coloca en una bandeja.
2	Firewall UTM	Formato sobremesa en bandeja o 1U.
3	Patch panel 24 puertos Cat 6A	Etiquetado: P01…P24.
4	Pasacables	Latiguillos de 0,5 m entre panel y switch.
5	Switch 24p gestionable PoE+	2 puertos SFP+ para crecer.
6	Regleta 8 tomas	Conectada al SAI.
7–8	NAS 2–4 bahías en bandeja	O en el suelo junto al rack si no cabe.
9–10	SAI 1.000–1.500 VA rack 2U	Con tarjeta de red o USB al NAS para apagado ordenado.

Diagrama lógico

Primer nivel con VLANs. Con un firewall UTM y un switch gestionable sencillo ya se puede separar la oficina, los servicios, las cámaras y los invitados.

Hardware

Equipo	Ejemplos de gama	Por qué	Coste
Firewall UTM	Fortinet FortiGate 40F/50G, Sophos XGS 88/107, WatchGuard T25/T45, Ubiquiti UCG, pfSense/OPNsense en mini PC	Dual WAN con conmutación automática, VPN, VLANs, filtrado web, antivirus de perímetro, informes.	300–900 € + licencia 150–500 €/año
Switch 24p gestionable PoE+	Aruba Instant On 1930, Ubiquiti USW Pro, TP-Link Omada, Cisco CBS350, Netgear	VLANs, PoE para APs y cámaras, ver errores por puerto.	300–700 €
2–3 APs Wi-Fi 6/6E/7	Ubiquiti, Aruba Instant On, TP-Link Omada, Meraki Go	Gestión centralizada (app/nube), roaming, red de invitados con portal.	120–350 €/u
Router 5G de respaldo	Teltonika, Zyxel, Huawei	Segunda conexión por otra tecnología y otro operador.	150–400 € + 15–30 €/mes
NAS 4 bahías	Synology DS925+ / DS1825+, QNAP	Carpetas compartidas con permisos, copia de los PCs, grabación de cámaras, réplica a la nube.	600–1.000 € + 4 discos
Discos NAS 4× 8 TB en RAID 5/SHR	Seagate IronWolf, WD Red Plus, Toshiba N300	Discos preparados para 24/7. ~24 TB útiles, aguanta 1 disco roto.	4× 180 €
Rack de pared 9–12U + patch panel + latiguillos	—	Orden, ventilación, seguridad física (con llave).	200–400 €
SAI 1.500 VA line-interactive	APC Smart-UPS, Eaton 5P, Salicru	15–20 min para el rack; apagado ordenado del NAS.	400–800 €
Instalación de cableado (20–30 puntos)	Instalador homologado	Cat 6A certificado, rosetas, canalización.	60–120 €/punto
PCs / portátiles	Gama business	Garantía 3 años in situ; misma marca/modelo simplifica el soporte.	700–1.500 €/u
Grabador + 2–4 cámaras PoE (opcional)	Hikvision, Dahua, Axis, Ubiquiti Protect	Seguridad del local. Ojo con RGPD: cartel informativo obligatorio.	400–1.200 €

Cableado

Cat 6A U/FTP o F/UTP, cubierta LSZH. La diferencia de precio con Cat 6 es pequeña frente a la mano de obra y te prepara para APs de 2,5/5/10 Gb.
Por falso techo en bandeja o por canaleta perimetral. Nunca suelto sobre las placas del techo ni grapado.
Todo termina en el patch panel. Etiquetado idéntico en roseta y panel (ej. P07).
Un mapa de puertos en una hoja de cálculo: puerto del panel → roseta → ubicación → puerto del switch → VLAN.
La fibra de la operadora llega al rack (pide que la ONT se instale ahí desde el primer día).

Software y servicios

Microsoft 365 Business Premium (≈ 20–22 €/usuario/mes) es la opción "todo en uno" más habitual porque incluye:

Entra ID (antes Azure AD): cuentas de usuario centralizadas, MFA obligatorio, acceso condicional.
Intune: gestión de dispositivos (MDM). Instalar apps, forzar cifrado, borrar en remoto un portátil robado.
Defender for Business: antivirus EDR (detecta comportamientos, no solo firmas).
Exchange, Teams, SharePoint, OneDrive.

Alternativa: Google Workspace Business Plus + un MDM. En entornos Mac: Jamf / Kandji / Mosyle.

Ya no hace falta un servidor de dominio (Active Directory local) para 15 personas: los PCs se unen a Entra ID directamente.

Dos estrategias válidas (o mixta):

Todo en la nube

SharePoint / Google Drive con bibliotecas por departamento. Acceso desde cualquier sitio. Requiere buena conexión. Hacer backup del propio M365 (no lo hace Microsoft por ti a largo plazo).

NAS local + sincronización

Archivos grandes (planos, vídeo, fotografía) en el NAS con acceso SMB rápido en LAN. Réplica cifrada a la nube (Synology C2, Backblaze B2, S3 compatible).

Firewall: reglas por VLAN, filtrado web por categorías, bloqueo por país, IPS, inspección antivirus.
VPN: del firewall para teletrabajo (WireGuard o IPsec/IKEv2; SSL-VPN si no hay alternativa) con MFA. O una solución ZTNA (Tailscale, Cloudflare Access, Twingate).
DNS filtrado: Cloudflare Gateway, Cisco Umbrella, NextDNS, Quad9. Bloquea phishing antes de que cargue.
Controlador Wi-Fi: en la nube del fabricante o en el firewall.

PCs ─────► OneDrive/Drive (sincronización, NO es backup)
M365 ────► Backup SaaS (Veeam, Acronis, Synology ActiveBackup)  ← copia 2
NAS ─────► Instantáneas (snapshots) inmutables cada hora       ← copia local rápida
NAS ─────► Nube cifrada fuera del local (B2, C2, S3)            ← copia 3, off-site
Disco USB ► mensual, desconectado y guardado fuera              ← copia offline

Probar la restauración cada trimestre. Un backup que no se ha restaurado nunca es una esperanza, no un backup.

Telefonía: centralita virtual en la nube (VoIP) o Teams Phone. Teléfonos IP con PoE o softphone.
Software de gestión: ERP/CRM SaaS (Holded, Odoo, Sage, A3, Salesforce Essentials…).
Monitorización: el propio portal del fabricante (Ubiquiti, Omada, Meraki) avisa por correo si cae un equipo.
Gestor de contraseñas de equipo: Bitwarden Teams / 1Password Business con bóvedas compartidas.

Seguridad mínima

Todo lo del nivel 0, y además:
MFA obligatorio por política (no opcional) para todas las cuentas.
Cuentas de administrador separadas de las de uso diario.
Wi-Fi de empresa con WPA3; si hay rotación de personal, WPA2/3-Enterprise con usuario individual (RADIUS en el firewall o en la nube).
Invitados y cámaras en VLANs aisladas.
Rack cerrado con llave.
Formación anual anti-phishing (15 minutos y simulaciones).
Procedimiento de alta/baja de empleados (checklist).
Registro de actividades de tratamiento (RGPD) y cláusulas con proveedores.

Problemas típicos y quién los arregla

Síntoma	Causa probable	Quién	Solución
Se cae Internet varias veces al mes	Línea residencial sin SLA	Dirección	Contratar fibra profesional con SLA de reparación (4–8 h) + respaldo 5G de otro operador. El firewall conmuta solo.
Wi-Fi lento en la sala de reuniones	Un AP para demasiada gente, o AP lejos	Interno	AP adicional en la sala por cable. Revisar canales y ancho de canal.
El NAS va lento al abrir planos	Red a 1 Gb saturada, discos mecánicos, RAM	Interno + compra	Caché SSD en el NAS, enlace de 10 Gb NAS-switch, más RAM.
Una impresora "desaparece"	IP cambia por DHCP	Interno	Reserva DHCP o IP fija. Instalar por IP, no por descubrimiento.
Al llover, se cae la conexión	Humedad en la acometida o caja de la operadora	Operadora	Abrir avería indicando el patrón (fechas/horas). Pedir revisión de la caja terminal.
El SAI pita y se apaga todo en un corte de 2 min	Baterías agotadas (vida útil 3–5 años)	Interno + compra	Sustituir baterías. Programar autotest mensual del SAI.
Un empleado ha caído en un phishing	Credenciales robadas	Interno (+ MSP)	Bloquear sesión, cambiar contraseña, revisar reglas de reenvío en su buzón, revisar registros de acceso. Si hay datos personales afectados: notificar a la AEPD en 72 h.
Necesitamos 20 nuevas tomas de red	Crecimiento	Instalador	Encargar a instalador con certificación. Pedir informe de certificación de cada punto.

Presupuesto orientativo (10 personas)

Inicial

Total infraestructura	≈ 8.500 €
Cableado 24 puntos + rack	2.500 €
Firewall + licencia 1er año	900 €
Switch PoE 24p	500 €
3 APs	600 €
NAS + discos	1.700 €
SAI	600 €
Router 5G	250 €
Puesta en marcha (MSP)	1.500 €
+ 10 portátiles	≈ 11.000 €

Mensual

Total	≈ 650–1.250 €/mes
Fibra profesional 1 Gb + IP fija	60–120 €
Línea 5G respaldo	20–30 €
M365 Business Premium ×10	≈ 210 €
Backup nube (≈ 5 TB)	30–60 €
Licencias firewall prorrateadas	25 €
Soporte MSP	300–800 €

Cuándo pasar al nivel 2

Más de 15–20 puestos y el switch de 24 se queda corto.
Aparecen aplicaciones que deben ejecutarse en local (ERP con base de datos propia, software técnico con licencia de red, servidor de impresión, contabilidad en SQL Server).
Hay departamentos con permisos distintos y el NAS se vuelve difícil de gestionar.
Alguien dedica más de un día a la semana a "temas de informática".
Un cliente grande o una certificación (ISO 27001, ENS, TISAX, auditoría de seguros) os pide controles de seguridad formales.