¿Qué es un navegador empresarial y por qué la navegación segura es importante para las empresas modernas?
- Un navegador empresarial es una capa de control de seguridad, no solo una aplicación de navegación.
- Su implantación es aún incipiente, pero está ganando impulso. Gartner prevé que, para 2028, el 25 % de las organizaciones ampliarán sus soluciones de acceso remoto seguro existentes.
- El navegador es la principal vía de ataque para el robo de credenciales y el phishing.
- No es necesario que cambie de navegador; lo que debe hacer es proteger la sesión.
- La sustitución de los navegadores corporativos por nuevos modelos conlleva importantes dificultades de adopción.
- La seguridad del navegador es un requisito imprescindible del modelo «Zero Trust». Modelo de madurez «Zero Trust» v2 de la CISA.
- El coste de la inacción es cuantificable. El coste medio mundial de una filtración de datos ascendió a 4 dólares.
El navegador web se ha convertido, de forma discreta, en la aplicación más trascendental —y menos protegida— de la empresa. Cada inicio de sesión en un servicio SaaS, cada solicitud de IA, cada carga y descarga de archivos, cada contratista que accede a un portal interno: todo ello tiene lugar dentro de una pestaña del navegador. Gartner señala que los navegadores empresariales seguros «integran controles de seguridad corporativos en la experiencia nativa de navegación web mediante un navegador personalizado o una extensión para los navegadores existentes, en lugar de añadir controles externos en el terminal o en la capa de red». Sin embargo, la mayoría de las organizaciones siguen tratando el navegador como un producto básico, recurriendo a versiones de Chrome o Edge destinadas al consumidor sin aplicar políticas a nivel de sesión. Esta brecha constituye, en la actualidad, el mayor punto ciego de la arquitectura de seguridad empresarial.
¿Qué es un navegador empresarial?
Un navegador empresarial es un control de seguridad a nivel de navegador diseñado para garantizar el cumplimiento de las políticas de la organizacióndata loss prevention, controles de acceso, inspección de amenazas y gestión de sesiones— en el momento en que los usuarios interactúan con aplicaciones web, plataformas SaaS e Internet abierto.
Gartner define un SEB como una solución que aplica las políticas y controles de seguridad de la empresa a través de una extensión de navegador gestionada de forma centralizada y, opcionalmente, un navegador web personalizado de pila completa. Las SEB proporcionan seguridad y aplicación de políticas para aplicaciones web, SaaS y privadas, así como el refuerzo de la seguridad del navegador, que se lleva a cabo a través del propio navegador en lugar de en el sistema operativo del terminal o a nivel de red. Asimismo, permiten la visibilidad, el control y la auditabilidad de los datos de las aplicaciones web a los que acceden los usuarios finales desde dispositivos gestionados, poco gestionados o no gestionados, sin necesidad de descifrar el tráfico web en línea.
En la práctica, la categoría de navegadores empresariales abarca dos enfoques fundamentalmente distintos:
Sustitución completa del navegador: una aplicación basada en Chromium que sustituye por completo a Chrome o Edge; entre los ejemplos se incluyen Island Enterprise Browser y Prisma Access Browser, de Palo Alto Networks. Estas aplicaciones integran directamente en un navegador propio funciones de prevención de pérdida de datos (DLP), integración de identidades y controles de sesión.
Consolidar el enfoque actual basado en el navegador: extensiones del navegador, remote browser isolation, la inspección mediante SWG y las políticas CASB aplicadas a los navegadores que los empleados ya utilizan. Este enfoque evita tener que prescindir de Chrome, al tiempo que sigue aplicando controles de datos, bloqueando contenidos maliciosos y aislando las sesiones de riesgo.
Consideremos un ejemplo concreto: un perito de siniestros de una compañía de seguros utiliza Chrome para acceder a Salesforce, un portal interno de suscripción de pólizas y, ocasionalmente, a un asistente de IA generativa para resumir las notas de los casos. En un modelo de sustitución, el departamento de TI pediría al perito que cambiara a un navegador propio, que volviera a aprender los marcadores y las extensiones, y que aceptara que algunas aplicaciones web internas pudieran mostrarse de forma diferente. En un modelo de protección del navegador existente, el departamento de TI aplica RBI a las URL de riesgo o sin clasificar, utiliza DLP para evitar que se pegue información de carácter personal en la herramienta de IA y emplea un SWG para bloquear descargas maliciosas, todo ello sin alterar el flujo de trabajo diario del perito.
Por qué es tan importante la navegación segura en la actualidad
Tres factores han convergido para convertir la seguridad de los navegadores en una necesidad operativa, más que en un simple extra.
1. El navegador es el nuevo perímetro. El informe «Innovation Insight» de Gartner, de abril de 2025, señala que los navegadores web son el principal método de acceso para la mayoría de las aplicaciones corporativas modernas y proporcionan un punto de control de seguridad empresarial independiente del terminal. Cuando un comercial de campo inicia sesión en el CRM desde una red Wi-Fi de un hotel, el navegador es lo único que se interpone entre esa sesión y un proxy dedicado a la recopilación de credenciales. Los cortafuegos tradicionales y los concentradores de VPN ni siquiera detectan la sesión.
2. Los ataques basados en el navegador están aumentando considerablemente. El informe «Estado de la seguridad de los navegadores en 2025» de Menlo Security reveló que los ataques de phishing de «hora cero» aumentaron un 130 % en comparación con el año anterior. Uno de cada cinco ataques basados en navegadores en 2024 utilizó técnicas evasivas diseñadas para eludir los controles de seguridad tradicionales basados en la red y en los terminales. No se trata de simples problemas de bloqueo de URL. Los atacantes utilizan dominios SaaS legítimos, superposiciones de «navegador dentro del navegador» y señuelos de phishing generados por IA que las pasarelas web tradicionales tienen dificultades para detectar.
3. El robo de credenciales comienza en el navegador. El informe DBIR 2025 de Verizon señala que el 88 % de los ataques a aplicaciones web básicas implicaron el uso de credenciales robadas. Una directora de marketing guarda su contraseña de Salesforce en la función de autocompletar de Chrome. Un programa de robo de información instalado en un dispositivo personal que también utiliza para el trabajo copia todas las credenciales guardadas y las pone a la venta en un mercado de la web oscura. Seis semanas más tarde, un atacante accede al CRM con un token de sesión válido. No se activa ninguna alarma hasta que la filtración de datos ya se ha completado.
El informe «IBM Cost of a Data Breach Report 2024» reveló que las filtraciones relacionadas con el robo de credenciales tardaban una media de 292 días en identificarse y contenerse, lo que supone el periodo más largo de todos los vectores de ataque. Casi diez meses de tiempo de permanencia. Los controles a nivel del navegador que detectan comportamientos anómalos en las sesiones, imponen una autenticación resistente al phishing y evitan el almacenamiento en caché de credenciales en dispositivos no gestionados reducen ese plazo de meses a minutos.
Cómo funciona la seguridad del navegador en el ámbito empresarial
La seguridad de los navegadores en el ámbito empresarial se articula en torno a cuatro capas funcionales. Comprenderlas le ayudará a evaluar los enfoques de los proveedores y a detectar las exageraciones publicitarias.
Capa 1: Aislamiento e inspección de amenazas
Remote browser isolation el contenido web en un entorno aislado en la nube y transmite únicamente píxeles seguros (o elementos DOM depurados) al terminal del usuario. Un analista financiero hace clic en un enlace de un correo electrónico que le lleva a un dominio desconocido. Con el RBI, la página se ejecuta en un contenedor aislado. Aunque contenga un exploit de tipo «drive-by» o un programa de recolección de credenciales, el código malicioso nunca llega a afectar al equipo del analista. El usuario ve una página de aspecto normal; el equipo de seguridad detecta una amenaza contenida.
Una secure web gateway se sitúa en la fase inicial del proceso, inspeccionando el tráfico descifrado mediante TLS, aplicando políticas de categorización de URL y bloqueando destinos maliciosos conocidos antes incluso de que el navegador solicite la página. En conjunto, RBI y SWG cubren tanto las brechas de seguridad relacionadas con amenazas conocidas como las relacionadas con amenazas de «hora cero».
Capa 2: Data loss prevention nivel de sesión
El DLP en la capa del navegador intercepta las acciones de copiar/pegar, subir archivos, descargar archivos e imprimir dentro de la propia sesión del navegador. Imagine a un reclutador externo con acceso a su sistema de información de recursos humanos (HRIS) a través de una sesión de navegador gestionada. El reclutador puede ver los expedientes de los candidatos, pero no puede descargar un archivo CSV, pegar números de la Seguridad Social en una pestaña de correo electrónico personal ni realizar una captura de pantalla de la página, ya que las políticas de DLP se aplican en la capa de visualización, y no solo a la salida de la red.
Capa 3: Controles de identidad y acceso
La seguridad del navegador se integra con los proveedores de identidad (Okta, Entra ID) y las políticas CASB para aplicar el acceso condicional. Un colaborador externo inicia sesión desde un ordenador portátil personal no gestionado. En lugar de concederle acceso completo al SaaS o bloquear la sesión por completo, el motor de políticas redirige la sesión a través de RBI con restricciones de carga y descarga, bloqueo del portapapeles y aplicación de marcas de agua. El colaborador externo puede realizar su trabajo. La organización mantiene el control sobre sus datos.
Capa 4: Visibilidad y análisis
La telemetría de sesión —qué usuario accedió a qué aplicación, desde qué configuración del dispositivo y qué acciones intentó realizar— se integra en el flujo de trabajo de las operaciones de seguridad. Esta es la capa que transforma el navegador de un punto ciego en un sensor.
Cómo se integra la seguridad del navegador en la arquitectura empresarial
La seguridad del navegador no funciona de forma aislada. Se integra —o entra en conflicto— con todas las capas de su infraestructura de seguridad existente. La cuestión arquitectónica no es «¿Necesitamos seguridad del navegador?», sino «¿Dónde se sitúa la seguridad del navegador en relación con SSE, CASB, DLP, los terminales y la identidad?».
La norma NIST SP 800-46, Rev. 2, ofrece orientaciones básicas sobre las consideraciones de seguridad para las soluciones de acceso remoto, y recomienda que las organizaciones protejan todos los componentes de las tecnologías de teletrabajo y elaboren políticas que abarquen los tipos de dispositivos, los niveles de acceso y los controles de «traiga su propio dispositivo» (BYOD). El navegador es actualmente la tecnología de teletrabajo predominante; sin embargo, las arquitecturas de acceso remoto de muchas organizaciones siguen tratándolo como un canal transparente y sin control.
Un servicio de seguridad security service edge (SSE) unifica SWG, CASB, DLP, ZTNA y RBI bajo un único motor de políticas. Cuando un usuario abre una aplicación SaaS, la plataforma SSE evalúa la identidad, el estado del dispositivo, la ubicación y la sensibilidad de los datos para determinar si debe permitir la sesión directamente, redirigirla a través de RBI, aplicar restricciones de DLP o bloquear el acceso por completo. El navegador es el punto de aplicación; la plataforma SSE es el cerebro de las políticas.
Considere las dificultades prácticas que plantea la alternativa. Una organización sanitaria implementa un navegador empresarial independiente para 500 enfermeras que acceden a un sistema de historias clínicas electrónicas (EHR). Funciona bien para ese caso de uso. Sin embargo, esas mismas enfermeras también utilizan Chrome para una aplicación SaaS de programación de citas con pacientes, Edge para un portal estatal de Medicaid y Safari en sus teléfonos personales para la programación de turnos. Ahora, el departamento de TI debe gestionar cuatro entornos de navegador con diferentes niveles de seguridad. El navegador empresarial independiente resolvió un problema, pero fragmentó la arquitectura de seguridad.
El enfoque integrado de SSE garantiza la aplicación coherente de las políticas en los cuatro entornos de navegador, sin necesidad de cambiar de navegador. Las políticas de DLP se aplican a los datos independientemente del navegador con el que se abra la sesión. Los controles de seguridad web y en la nube se aplican de manera uniforme.
El problema de la resistencia a la adopción: ¿sustituir el navegador o reforzar su seguridad?
Gartner señala que los SEB permiten el acceso segmentado desde dispositivos de usuario final no gestionados o con un nivel mínimo de gestión, así como en entornos BYOD, en los que la implementación de agentes en los terminales resultaría inadecuada por motivos de privacidad o de mantenimiento. Este caso de uso resulta muy convincente. La cuestión estratégica es cómo se implementan dichos controles.
El nuevo modelo exige a los empleados que dejen de utilizar su navegador predeterminado y utilicen una aplicación propia. El proveedor controla el motor de renderizado, el ecosistema de extensiones y el ciclo de actualizaciones. Los equipos de seguridad obtienen un control exhaustivo a nivel de sesión.
El coste radica en las dificultades de adopción. Chrome cuenta con más del 65 % de la cuota de mercado mundial de navegadores de escritorio. Los empleados cuentan con años de hábitos arraigados, contraseñas guardadas, marcadores sincronizados y flujos de trabajo con extensiones basados en este navegador. Pedirles que cambien de navegador genera incidencias en el servicio de asistencia técnica, soluciones alternativas de «TI en la sombra» (empleados que abren Chrome de todos modos para «las cosas que no funcionan») y pruebas de compatibilidad con el navegador de forma constante para cada aplicación web interna.
Para realizar una comparación más detallada de las características de estos dos modelos, el análisis Skyhigh Securitysobre los navegadores empresariales frente a RBI examina las ventajas, los inconvenientes y cuál es la opción más adecuada para la empresa.
El modelo de navegador seguro mantiene Chrome, Edge o Safari tal y como están y protege la sesión mediante controles RBI, SWG, DLP, CASB y ZTNA proporcionados a través de una plataforma SSE. La experiencia del usuario sigue siendo la misma. La aplicación de las políticas es invisible hasta que un usuario intenta realizar alguna acción de riesgo, como pegar información de carácter personal en una herramienta de IA, descargar un archivo de una aplicación SaaS no autorizada o acceder a una página de phishing.
La contrapartida: el enfoque SSE requiere una inspección de TLS (lo que conlleva sus propias consideraciones en materia de gestión de certificados y privacidad) y no puede aplicar controles a nivel del DOM con la misma profundidad que un navegador propietario. Para la mayoría de los casos de uso empresariales —proteger el acceso a servicios SaaS, aplicar políticas de prevención de pérdida de datos (DLP), aislar la navegación de riesgo y proteger el acceso de los contratistas—, el modelo integrado de SSE ofrece una protección equivalente sin el coste de implementación.
Criterios de evaluación: cómo elegir una estrategia de seguridad para el navegador
A la hora de evaluar la seguridad de los navegadores en la empresa, hágase las siguientes preguntas antes de ponerse en contacto con cualquier proveedor:
Seguridad del navegador de sustitución frente a la del navegador integrado en SSE
El papel del modelo «Zero Trust» en la seguridad de los navegadores
La seguridad del navegador y el modelo «zero trust» no son iniciativas independientes, sino que se trata de una misma iniciativa vista desde diferentes perspectivas.
El Modelo de Madurez de «Zero Trust» v2.0 de la CISA ofrece un enfoque para la modernización continua en el ámbito del «Zero Trust» dentro de un panorama tecnológico en rápida evolución, y orienta a los organismos en el diseño y la implementación de planes de transición de conformidad con la Orden Ejecutiva 14028. El modelo se estructura en torno a cinco pilares —Identidad, Dispositivos, Redes, Aplicaciones y Cargas de trabajo, y Datos— además de tres capacidades transversales: Visibilidad y Análisis, Automatización y Orquestación, y Gobernanza.
Todos y cada uno de esos pilares convergen en el navegador:
Identidad: Los tokens de autenticación y de sesión se almacenan en el navegador. Los ataques de tipo «man-in-the-middle» roban las cookies de sesión a través del navegador.
Dispositivos: El navegador es la primera aplicación en interactuar con un terminal que podría estar comprometido. Las comprobaciones del estado del dispositivo controlan el acceso a través del navegador.
Redes: La inspección TLS en el SWG intercepta el tráfico del navegador antes de que llegue a la aplicación SaaS.
Aplicaciones y cargas de trabajo: Las aplicaciones SaaS se utilizan a través del navegador. Las políticas CASB controlan el acceso a las aplicaciones autorizadas frente a las no autorizadas.
Datos: Los datos confidenciales se visualizan, copian, descargan y cargan a través del navegador. La prevención de fugas de datos (DLP) en el nivel del navegador constituye la última línea de defensa antes de que los datos salgan de la organización.
Un caso práctico: el responsable de préstamos de un banco regional accede a una aplicación interna de gestión de préstamos a través de ZTNA / Private Access se encuentra en una cafetería. La plataforma Skyhigh SSE verifica la identidad del responsable (autenticación multifactorial de Okta), comprueba el estado del dispositivo (portátil gestionado, disco cifrado, nivel actual de parches del sistema operativo), redirige la sesión a través del SWG para la inspección de amenazas, aplica reglas de DLP que impiden la descarga de documentos de préstamo que contengan información de carácter personal de los clientes y registra cada acción para su auditoría. Sin VPN. Sin navegador propio. Simplemente un acceso regulado por políticas a través del navegador que el responsable ya utiliza.
¿Qué ocurre cuando se descuida la seguridad del navegador?
El informe DBIR 2025 de Verizon reveló que la participación de terceros en las violaciones de seguridad se duplicó con respecto al año anterior, representando ahora el 30 % del total de estas incidencias. Muchas de esas vulneraciones relacionadas con terceros se originaron cuando contratistas o socios accedieron a aplicaciones SaaS a través de navegadores no gestionados que carecían de DLP, de control de sesiones y de aislamiento.
Imagínese la siguiente secuencia: un analista de una empresa de consultoría accede a su instancia de Workday a través de un ordenador portátil personal no gestionado. El perfil de Chrome del analista sincroniza las credenciales con una cuenta personal de Google. Un familiar descarga en ese mismo ordenador portátil una modificación de un juego que contiene un programa de robo de información. Dicho programa recopila todas las contraseñas guardadas en el navegador, incluidas sus credenciales de Workday. Seis semanas más tarde, un atacante utiliza esas credenciales para acceder a su entorno de Workday y exportar los datos del formulario W-2 de 8.000 empleados.
No se trata de un escenario teórico: refleja el patrón que el DBIR de Verizon documentó en el grupo de incidentes de seguridad de Snowflake, en el que las credenciales comprometidas procedentes de dispositivos infectados con software de robo de información permitieron el acceso a entornos en la nube que carecían de la aplicación de la autenticación multifactorial (MFA).
La norma NIST SP 800-46, Rev. 2, hace hincapié en la importancia de proteger la información confidencial almacenada en los dispositivos de teletrabajo y transmitida a través del acceso remoto por redes externas. El navegador es, en la actualidad, el principal dispositivo de teletrabajo. En él se almacenan credenciales, tokens de sesión, datos almacenados en caché y el contenido del portapapeles. Dejar de gestionarlo equivale a mantener abierto permanentemente un túnel VPN sin autenticación.