Puntos clave
- Por qué elegir SFTP o FTPS: la elección entre SFTP y FTPS influye en la coherencia del modelo de seguridad, en la posición de cumplimiento y en la compatibilidad con la red y el firewall.
- Pasos para implementar SFTP o FTPS:
- Decide con una matriz sencilla.
- Configura SFTP de forma segura (Windows y appliances).
- Configura FTPS de forma segura (Windows y appliances).
- Refuerza accesos, claves y certificados.
- Monitoriza, investiga y demuestra el cumplimiento.
- Cómo ayuda NinjaOne a implementar SFTP y FTPS:
- Despliegue de políticas y scripts
- Monitorización y Alertas
- Recopilación de evidencias
- Informes
- Los MSP deben elegir un protocolo de transferencia de archivos seguro (SFTP o FTPS) y, después, garantizar el cumplimiento continuo y un control verificable aplicando medidas de refuerzo, rotando las credenciales con regularidad e informando de las métricas clave de transferencia.
Los ciberataques han llegado para quedarse, pero las amenazas son cada vez más sofisticadas. Por eso las transferencias de archivos seguras son esenciales en las operaciones de TI, sobre todo para los proveedores de servicios gestionados (MSP) que manejan datos sensibles de clientes a diario. Compartir información de forma protegida se reduce a dos protocolos que suelen destacar: SFTP y FTPS.
Tanto el Secure File Transfer Protocol (SFTP) como el File Transfer Protocol Secure (FTPS) ofrecen canales seguros para el intercambio de datos. Sin embargo, se diferencian en su arquitectura, su autenticación y su comportamiento frente al firewall. Los MSP deben tener en cuenta estos factores al elegir entre ambos protocolos de transferencia de archivos, algo que a algunos puede resultarles complicado.
En esta guía encontrarás un marco práctico para decidir entre SFTP y FTPS, configurarlos correctamente y crear operaciones con evidencias listas para auditoría que simplifican las revisiones y reducen los riesgos.
Resumen de buenas prácticas
| Tarea | Finalidad y valor |
| Tarea 1: decide con una matriz sencilla | Garantiza que el protocolo de transferencia de archivos elegido se ajuste a la realidad del negocio y de la red. |
| Tarea 2: configura SFTP de forma segura (Windows y appliances) | Impone un servicio SFTP compatible con el firewall (un solo puerto), usa claves, limita la exposición y genera registros aptos para auditoría, poniendo en marcha SFTP con privilegios mínimos y una auditoría clara. |
| Tarea 3: configura FTPS de forma segura (Windows y appliances) | Garantiza un servicio FTPS centrado en certificados que se integra con los requisitos de auditoría, admite clientes heredados y utiliza reglas de puertos pasivos documentadas para anticipar las reglas de firewall. |
| Tarea 4: refuerza accesos, claves y certificados | Mantiene la autenticación sólida y fácil de mantener gracias a un control de acceso estricto y opciones de recuperación rápidas. |
| Tarea 5: monitoriza, investiga y demuestra el cumplimiento | Convierte las transferencias de archivos en registros fiables que aportan visibilidad operativa y evidencias listas para auditoría. |
Tarea 1: decide con una matriz sencilla
📌 Caso de uso:
Esta tarea garantiza que el protocolo de transferencia de archivos elegido se ajuste a la realidad del negocio y de la red. Además, favorece una selección respaldada por políticas, con motivos y excepciones documentados.
Empieza por conocer la siguiente información:
- ¿Qué tecnología y configuración de firewall usa tu cliente?
- ¿Qué limitaciones de red tienen tus clientes?
- ¿A qué nivel de cumplimiento están sujetos tus clientes?
- ¿Cuáles son los requisitos de los partners o de los sistemas heredados?
A partir de ahí, la elección entre SFTP y FTPS depende de la información recopilada. Estos son los parámetros que deberías valorar:
- SFTP es una buena opción por defecto cuando:
- Necesitas cambios mínimos en el firewall y un único puerto de escucha
- Los partners admiten claves SSH y quieres autenticación basada en claves o con MFA.
- Prefieres jaulas tipo chroot y un aislamiento de carpetas sencillo.
- FTPS es una buena opción por defecto cuando:
- Los auditores o los partners exigen TLS con certificados X.509
- Debes integrarte con herramientas FTP heredadas que ya funcionan con FTPS
- Puedes reservar y documentar un rango reducido de puertos pasivos en los firewalls
Documenta como política la elección de protocolo para cada perfil de cliente (consulta la Tarea 5).
Tarea 2: configura SFTP de forma segura (Windows y appliances)
📌 Caso de uso:
Esta tarea garantiza que dispongas de un servicio SFTP compatible con el firewall (un solo puerto), que use claves, limite la exposición y genere registros aptos para auditoría, poniendo en marcha SFTP con privilegios mínimos y una auditoría clara.
Si eliges SFTP, tienes que configurarlo correctamente. Estas son algunas acciones que deberías llevar a cabo:
- Instala y configura un servidor SSH, restríngelo a un puerto fijo, desactiva los inicios de sesión con contraseña y exige claves SSH.
- Crea cuentas para cada partner o cliente con directorios en chroot y privilegios mínimos en el SO.
- Limita los cifrados y los MAC a opciones modernas y desactiva el agente SSH y el reenvío de puertos salvo que sean necesarios.
- Envía los registros de autenticación SSH y de actividad de archivos a un recopilador central.
Tarea 3: configura FTPS de forma segura (Windows y appliances)
📌 Caso de uso:
Esta tarea garantiza un servicio FTPS centrado en certificados que se integra con los requisitos de auditoría, admite clientes heredados y utiliza reglas de puertos pasivos documentadas para anticipar las reglas de firewall.
Igual que con SFTP, si eliges FTPS debes asegurarte primero de que haya un servidor FTP con soporte SSL/TLS instalado y habilitado en el sistema (por ejemplo, IIS FTP en Windows o un servicio FTP basado en appliance). Una vez disponible el servicio compatible con FTPS, configúralo de forma segura con estas acciones:
- Instala un certificado de servidor de confianza, desactiva el acceso FTP sin cifrar y exige TLS tanto en el canal de control como en el de datos.
- Define un rango reducido de puertos de datos pasivos y comunícalo a los firewalls y a los partners.
- Establece versiones mínimas de TLS y conjuntos de cifrado modernos, opta por FTPS explícito y exige una autenticación de cliente sólida cuando sea posible.
- Registra los eventos de los canales de control y de datos, incluidos nombres de usuario, IP de origen, actividad de transferencia de archivos y detalles de las sesiones TLS.
Tarea 4: refuerza accesos, claves y certificados
📌 Caso de uso:
Esta tarea mantiene la autenticación sólida y fácil de mantener gracias a un control de acceso estricto y opciones de recuperación rápidas.
Reducir el riesgo de amenazas es una tarea básica en la gestión de la autenticación y de las credenciales, tanto si eliges SFTP como FTPS. Estas son las acciones que deberías llevar a cabo:
- Rotación periódica de claves y certificados: rota las claves SSH y los certificados de cliente FTPS según un calendario y caduca las credenciales obsoletas.
- Aplica el principio de privilegio mínimo: utiliza cuentas de servicio de corta duración y directorios delimitados para cada partner.
- Implanta restricciones de conexión: aplica listas de IP permitidas y límites de ancho de banda para los partners con SLA estrictos.
- Define procedimientos de emergencia: documenta los pasos de desactivación y revocación urgentes.
Tarea 5: monitoriza, investiga y demuestra el cumplimiento
📌 Caso de uso:
Esta tarea debe convertir las transferencias de archivos en registros fiables que aporten visibilidad operativa y evidencias listas para auditoría.
Demostrar que existe control es fundamental cuando se presta un servicio MSP crítico, como las operaciones con SFTP y FTPS. Por eso es importante establecer un registro de monitorización que resista auditorías e investigaciones. Estas son las tareas que debes completar:
- Detecta anomalías: genera alertas ante inicios de sesión fallidos, picos repentinos de volumen y transferencias desde regiones inesperadas.
- Contrasta los registros: correlaciona los registros de transferencia con los eventos de antivirus o EDR del endpoint y de DLP en los clientes de alto riesgo.
- Decide la retención de registros: define, aplica y documenta políticas de retención de registros asociadas a las obligaciones normativas de cada cliente, como HIPAA o PCI DSS.
- Publica informes con regularidad: elabora un informe mensual con los partners activos, el número de transferencias, los fallos y las excepciones.
Plan de despliegue
Como MSP, deberías contar con un plan de despliegue estándar y ágil para aplicar esta operación en varios partners o clientes. Esto es lo que debería incluir tu plan:
- Haz una prueba piloto con dos partners usando el protocolo elegido, valida las transferencias y el registro de actividad, y ajusta las reglas del firewall.
- Documenta el rango pasivo o el puerto SFTP, los procesos de claves o certificados y los flujos de trabajo para excepciones.
- Amplía el despliegue al resto de partners y programa revisiones trimestrales de claves, certificados y registros.
Integraciones de NinjaOne
NinjaOne cuenta con herramientas y funciones que ayudan a simplificar la complejidad de implementar SFTP y FTPS.
| Servicio de NinjaOne | Qué es | Cómo ayuda a implementar SFTP y FTPS |
| Despliegue de políticas y scripts | Una función de automatización centralizada que permite a los MSP enviar configuraciones, aplicar políticas y ejecutar scripts en todos los endpoints gestionados. | Envía la configuración del servidor, crea o rota claves SSH y certificados FTPS, y establece permisos de carpetas a gran escala. |
| Monitorización y Alertas | Un sistema de monitorización y alertas en tiempo real que controla las condiciones configuradas en los endpoints y métricas de servicio personalizadas, y que genera alertas o tickets cuando se alcanzan los umbrales definidos. | Vigila los servicios y puertos SFTP o FTPS, recopila registros de autenticación o de transferencias y abre tickets ante fallos o anomalías. |
| Recopilación de evidencias | Una función de documentación y apoyo a la auditoría que adjunta registros, configuraciones e informes a los expedientes de servicio o a los tickets. | Adjunta los resultados de configuración, los detalles de los certificados y ejemplos de registros de transferencias a los tickets de cambios para las auditorías |
| Informes | Una capacidad de informes y visualización que ofrece paneles e informes exportables con el estado de los endpoints, las condiciones de alerta y resúmenes de cumplimiento de políticas. | Publica paneles e informes a partir de los datos de monitorización recopilados y de las comprobaciones mediante scripts, como el estado de los servicios, los inicios de sesión fallidos y las claves o certificados próximos a caducar. |
Cómo elegir e implementar SFTP y FTPS
Implementar transferencias de archivos seguras en un entorno gestionado es una operación clave para los MSP. Todo empieza por elegir entre SFTP y FTPS, según cuál sea el protocolo por defecto más adecuado para los requisitos de cumplimiento, el diseño de red y las preferencias de autenticación de cada cliente.
Conclusiones principales:
- Elige SFTP por la sencillez de un único puerto y el control basado en claves, o FTPS por el cumplimiento basado en certificados y la compatibilidad con herramientas heredadas.
- Restringe cifrados, puertos y directorios, y centraliza los registros antes de pasar a producción.
- Rota claves y certificados según un calendario y documenta la revocación.
- Informa cada mes de un pequeño conjunto de métricas de transferencias y fallos para demostrar el control.
Seguir estas prácticas no solo ayudará a que tus clientes cuenten con una infraestructura segura al mover archivos, sino que también garantizará el cumplimiento continuo, la coherencia operativa y un control verificable de cada transferencia de datos en sus entornos gestionados.
Temas relacionados:
