Un freelance conectado al Wi-Fi del quinto piso descarga un archivo de cliente mientras que un compañero de trabajo desconocido, a dos mesas de distancia, utiliza la misma red sin ninguna restricción de acceso. Este escenario se repite cada día en la mayoría de los espacios de coworking franceses. La seguridad informática de un espacio de coworking no se basa en una sola herramienta, sino en un conjunto de reflexos técnicos aplicados a diario por los gestores y los miembros.
Segmentación de red Wi-Fi: el primer muro a menudo ausente
En muchos espacios compartidos, una sola red Wi-Fi sirve a todos los puestos. Se cree que la contraseña mostrada en la recepción es suficiente. En realidad, en una red plana, cualquier dispositivo conectado puede potencialmente escanear el tráfico de los demás.
La primera medida concreta consiste en separar la red en VLAN distintas: un segmento para los miembros permanentes, uno para los visitantes ocasionales, uno para los objetos conectados (impresoras, cámaras). Cada VLAN tiene su propia subred y reglas de firewall que prohíben la comunicación lateral entre segmentos.
Se complementa esta segmentación con la activación del protocolo WPA3 en cada punto de acceso, y con un portal cautivo que asigna identificadores nominativos en lugar de una contraseña compartida. Un gestor que detalla sus medidas en la página de seguridad de Open Syd muestra a los miembros que la protección de datos no es un discurso de marketing, sino una infraestructura verificable.
Las opiniones varían sobre este punto según el tamaño del espacio: un coworking de diez puestos puede conformarse con un router profesional con VLAN integradas, mientras que un sitio de varios cientos de miembros necesita un controlador Wi-Fi centralizado.
Autenticación multifactor y accesos nominativos en un espacio de coworking
La contraseña única sigue siendo el eslabón débil. Cuando un miembro deja el espacio, su acceso a los servicios compartidos (NAS, plataforma de reservas, herramienta de facturación) a menudo persiste durante semanas. Es un problema de gestión de identidades, no de tecnología.
Cada cuenta debe ser nominativa y asociada a una autenticación multifactor (MFA). En la práctica, esto significa que al conectarse a la red o a un servicio interno, el miembro ingresa su contraseña y luego valida a través de una aplicación de autenticación en su teléfono.
La eliminación de accesos debe seguir un proceso simple: cuando un miembro cancela su suscripción, sus identificadores son desactivados el mismo día. Una hoja de cálculo compartida no es suficiente para este seguimiento. Se recomienda un directorio centralizado (de tipo LDAP o un servicio en la nube de gestión de identidades) que permite cortar un acceso con un clic.
Lo que la directiva NIS2 cambia para los coworkings
La directiva NIS2, transpuesta en Francia por la ley sobre la resiliencia de infraestructuras críticas y la ciberseguridad adoptada en 2025, no se dirige directamente a los pequeños espacios de coworking. Se aplica a los proveedores de servicios digitales (nube, alojadores) que estos espacios utilizan.
El efecto cascada es concreto: los clientes sujetos a NIS2 exigen ahora accesos nominativos y copias de seguridad probadas por parte de su lugar de trabajo. Un espacio que no puede proporcionar un inventario de sus sistemas o un procedimiento de notificación de incidentes pierde a estos clientes en favor de un competidor mejor preparado. Las entidades afectadas deben registrarse ante la ANSSI a través de la plataforma MonEspaceNIS2.
Protección contra el visual hacking y las filtraciones físicas
La ciberseguridad no se limita a los cables y servidores. En un espacio abierto, una pantalla visible desde el pasillo expone datos confidenciales sin que ningún software malicioso intervenga.
- Instalar filtros de privacidad en las pantallas compartidas y animar a cada miembro a colocar uno en su portátil. El costo es bajo, el efecto inmediato.
- Posicionar los puestos de trabajo para que las pantallas estén orientadas hacia una pared o un tabique, nunca hacia una zona de paso o un ventanal.
- Bloquear sistemáticamente la sesión tan pronto como se abandona el puesto, incluso para ir a buscar un café. En Windows, el atajo Win+L toma menos de un segundo.
- Reservar las llamadas confidenciales en una cabina acústica o una sala cerrada. Una conversación telefónica con un cliente, escuchada por diez personas, constituye una fuga de datos en el sentido del RGPD.
Elección de proveedores de nube y referencia ANSSI 2026
Un espacio de coworking utiliza generalmente varios servicios en la nube: gestión de reservas, facturación, almacenamiento de documentos compartidos, supervisión de red. La elección de estos proveedores tiene un impacto directo en la protección de los datos de los miembros.
El marco de requisitos relativo a los proveedores de servicios de informática en la nube, aprobado por un decreto del 12 de agosto de 2026 en aplicación del artículo 31 de la ley del 21 de mayo de 2024, crea un marco oficial para calificar estos servicios. Para un gestor de espacio, priorizar un proveedor de nube calificado por la ANSSI reduce el riesgo jurídico y técnico.
Concretamente, se verifican tres puntos antes de firmar un contrato con un proveedor:
- La localización de los datos (servidores en la Unión Europea, fuera del alcance del Cloud Act estadounidense).
- La política de cifrado en reposo y en tránsito, con claves gestionadas por el cliente o por un tercero de confianza.
- Los compromisos contractuales sobre la notificación de incidentes: el proveedor debe alertar dentro de un plazo definido, compatible con las obligaciones NIS2 de sus miembros.
Sustituir una herramienta en la nube de consumo masivo por un servicio calificado requiere tiempo de migración, pero un espacio de coworking que almacena datos de decenas de empresas tiene una responsabilidad comparable a la de un alojador.
Rutina diaria de ciberseguridad para un espacio compartido
Las herramientas no compensan la falta de disciplina. Una lista de verificación diaria aplicada por el gestor ancla la seguridad en el funcionamiento real del espacio.
Cada mañana, se verifica que las actualizaciones del firmware de los routers y puntos de acceso se apliquen. Los parches de seguridad no instalados representan la puerta de entrada más explotada por los atacantes. Cada noche, se controla la lista de dispositivos conectados a la red para detectar cualquier máquina desconocida.
Una vez al mes, se prueba la restauración de una copia de seguridad. Una copia de seguridad que nunca ha sido probada no existe. Se aprovecha para revocar los accesos de los antiguos miembros y actualizar la documentación interna.
La seguridad informática de un espacio de coworking se juega menos en la compra de hardware que en la rigurosidad de los hábitos. Una red segmentada, accesos nominativos, proveedores calificados y una rutina de verificación diaria forman un cimiento que cada espacio puede implementar sin un presupuesto desmesurado. El marco ANSSI 2026 y los requisitos NIS2 solo aceleran un movimiento que beneficia tanto a los gestores como a los miembros.