La pregunta no es si las cámaras llegan. Es a qué más llegan.

Fortinet prioriza que todo el tráfico pase por un sitio donde se mira y se decide. El producto central es el cortafuegos, y alrededor hay switches y puntos de Wi-Fi que se administran desde ese mismo cortafuegos. Para una empresa con un equipo de informática pequeño eso tiene una ventaja grande: una sola pantalla gobierna las reglas de seguridad, los puertos y el Wi-Fi.

Lo que sacrifica es la profundidad de la parte de conmutación. Sus switches resuelven bien el acceso y el PoE, y no son el equipo que se pone en el centro de una red de campus donde se afina caudal y recuperación al milisegundo. Quien compra Fortinet compra seguridad con red incluida, y conviene comprarlo sabiendo eso.

Se le reconoce en la puerta de la red: donde hay conexión con internet, con sedes o con terceros, y en empresas que han decidido que su red interior también se filtra y no sólo el borde. Es la marca que aparece cuando alguien se ha tomado en serio la pregunta de qué puede hablar con qué.

Hay una interfaz web completa y una línea de comandos detrás para lo que la interfaz no llega. La configuración se exporta a un fichero, se compara y se restaura, que es lo que permite trabajar con orden. Y hay una herramienta central para administrar muchos cortafuegos a la vez con políticas comunes, que es lo que usan las empresas con muchas delegaciones.

Separar las cámaras en su propia red es el primer paso y no es el último. Una red separada sigue necesitando hablar con algo: las cámaras con el grabador, el puesto del vigilante con el grabador, el sistema con el servidor de hora, alguien desde fuera para mirar. Cada una de esas conversaciones es una regla, y la diferencia entre una instalación bien hecha y una mal hecha es si esas reglas son cuatro líneas concretas o una que dice «que pase todo».

La lista corta, que cabe en una servilleta: el grabador habla con las cámaras y sólo por los puertos que necesita. Las cámaras no hablan entre ellas —no hay ninguna razón para que una cámara vea a otra, y si una se compromete, que no pueda saltar a las demás—. Las cámaras no salen a internet, ni para actualizarse: si tienen que actualizarse, se les lleva la actualización. Y nadie de la red de oficina entra en la de cámaras; quien mira, mira a través del grabador.

Y la cara honesta del mismo argumento: lo que NO conviene es hacer que el vídeo de las cámaras al grabador atraviese el cortafuegos. Ese tráfico es caudal constante y enorme, y meterlo por el sitio donde se inspecciona todo es pagar un cortafuegos cinco veces más grande para nada. El dibujo bueno es otro: las cámaras y el grabador en el mismo lado, hablando directamente, y el cortafuegos vigilando lo que ENTRA y SALE de esa burbuja — el puesto de operador, la salida al exterior, la integración con otros sistemas. Mucha menos máquina, mucha más seguridad.

Encaja como frontera: entre la red de seguridad y la de la empresa, entre la empresa y internet, entre sedes, y delante de cualquier acceso de un tercero —el mantenedor que entra a mirar un grabador, la central que recibe las alarmas—. Encaja también como red completa de una instalación mediana, con sus switches y su Wi-Fi administrados desde el mismo sitio, y ahí la sencillez de tener una sola pantalla vale dinero.

No la pondríamos en el centro de una red grande de vídeo haciendo el trabajo de un switch de campus: concentrar cientos de cámaras, afinar colas, recuperación en milisegundos y multidifusión fina no es su terreno, y forzarlo es pagar de más por menos.

Y no la dimensionaríamos por la cifra grande de la hoja de características, que es el error que más veces hemos visto cometer con esta clase de equipo. Esa cifra se mide con casi todo apagado. En cuanto se enciende la inspección de contenido y el análisis de amenazas, el caudal que de verdad mueve el equipo cae a una fracción — y si por ahí tenía que pasar el vídeo de cuarenta cámaras, la instalación se ahoga y nadie entiende por qué. Se dimensiona por el número de con-todo-encendido, y se diseña para que el vídeo no pase por ahí.

El equipo se compra y las suscripciones se pagan por periodos: el servicio de firmas de amenazas, el filtrado de contenidos, el antivirus y el soporte del fabricante, normalmente en paquetes. Es un coste anual previsible y hay que ponerlo en el presupuesto de explotación del cliente desde el primer día, porque es la mitad del sentido del producto.

Cuando caducan, el cortafuegos no se apaga. Sigue filtrando con las reglas que tiene escritas, sigue separando las redes y sigue dejando pasar sólo lo permitido. Lo que deja de llegar son las firmas nuevas, las listas de contenidos y el derecho a actualizar y a abrir un caso. Dicho en claro: la parte que te protege de lo que ya sabías sigue funcionando; la que te protege de lo de este mes, no.

Un cortafuegos es de informática. Si el cliente tiene departamento de TI, el equipo es suyo, las claves son suyas y las reglas las escribe él: no hay ninguna buena razón para que el instalador de cámaras sea dueño de la seguridad de una red ajena, y sí muchas para lo contrario. Nuestro trabajo es pedir lo que necesitamos con precisión y comprobar que funciona.

Y el tono, que va en las diez: llegar a un equipo de TI que ya tiene su marca de cortafuegos diciéndole que ponga otra es la forma más rápida de atascar el proyecto. Casi siempre lo que hace falta no es cambiar su cortafuegos: es escribir bien cuatro reglas en el que ya tiene. Nos adaptamos a lo que hay y sólo proponemos equipo cuando de verdad falta, con la cuenta hecha y antes de firmar.