Barrapunto

Cuando he heco de sysadmin he sido más bien "junior", aunque por supuesto eso no impide que tenga una opinión que darte :-).

Yo diría que dependerá mucho de toda la infrastructura IT de tu empresa. Si tienes todos tus puestos controlados (usuarios sin privilegios de administrador, antivirus instalados y gestionados, whitelist o blacklist de sitios de internet accedidos, pocos usuarios que necesiten acceder a internet y normalmente a sitios ya preconfigurados), no necesitas ninguna virguería de firewall (llevando el caso al extremo, si nadie puede navegar por internet te basta con un NAT).

Por otro lado, si los usuarios son administradores (o incluso se traen el equipo/smartphone propio), no hay antivirus (o no se gestiona/actualiza), los usuarios se pueden conectar donde quieran y descargar lo que sea (incluyendo ejecutables), el tener un control a nivel de aplicaciones te puede ayudar a prevenir algunas desgracias. Naturalmente, en un entorno como el descrito seguirás teniendo que añadir medidas para evitar que alguien te introduzca un equipo ya infectado en la red.

También depende de requisitos legales y de negocio... una panadería no va a necesitar el mismo nivel de logs que, por ejemplo, un banco.