Cuando una empresa empieza a preocuparse por su ciberseguridad, es fácil pensar primero en herramientas: un nuevo antivirus, una solución de protección del correo, otro sistema de copias de seguridad o una plataforma para controlar los accesos.
Pero hay una pregunta que debería hacerse antes: ¿tenemos bien organizada la seguridad que ya depende de nosotros?
En muchas pymes, mejorar la ciberseguridad no empieza comprando más tecnología. Empieza revisando usuarios, dispositivos, contraseñas, permisos, copias de seguridad, actualizaciones y procedimientos.
De hecho, tanto INCIBE como la Agencia Española de Protección de Datos sitúan este tipo de medidas entre las bases de una protección empresarial adecuada.
¿Qué medidas básicas de ciberseguridad debería tener una pyme?
En términos sencillos, una pyme debería poder saber qué tiene conectado, quién puede acceder, qué información necesita proteger, cómo recuperarla si algo falla y qué hacer si ocurre un incidente.
Con el crecimiento de una empresa aparecen nuevos empleados, portátiles, móviles, aplicaciones, servicios cloud, cuentas de correo, proveedores externos y accesos que muchas veces se van acumulando sin una revisión conjunta.
Por eso, antes de ampliar el número de herramientas de seguridad, conviene comprobar algunos puntos básicos.
1. Saber qué dispositivos, cuentas y servicios utiliza la empresa:
El primer paso consiste en disponer de una visión razonablemente clara de ese ecosistema.
No hace falta crear un inventario complejo. El objetivo es poder responder a preguntas como:
- ¿Qué dispositivos tienen acceso a información de la empresa?
- ¿Qué aplicaciones son importantes para trabajar?
- ¿Quién administra cada servicio?
- ¿Existen cuentas que ya no deberían estar activas?
- ¿Qué proveedores tienen acceso a nuestros sistemas?
Este ejercicio permite detectar riesgos que una nueva herramienta difícilmente puede solucionar por sí sola.
2. Revisar usuarios, contraseñas y accesos
Una cuenta antigua que continúa activa puede ser un problema. También lo es compartir contraseñas entre empleados o conceder permisos de administrador a personas que realmente no los necesitan.
Conviene aplicar una idea sencilla: cada usuario debería tener únicamente los accesos necesarios para realizar su trabajo.
También es recomendable activar la autenticación multifactor siempre que sea posible, especialmente en servicios críticos como el correo electrónico, aplicaciones empresariales, servicios cloud o accesos de administración.
3. Tener copias de seguridad y comprobar que pueden recuperarse
Hacer una copia de seguridad es importante. Saber que esa copia funciona lo es todavía más.
Una estrategia de backup debería definir, al menos:
| Pregunta | Qué debemos tener claro |
|---|
| ¿Qué copiamos? | Información y sistemas necesarios para mantener la actividad |
| ¿Cada cuánto? | Según la importancia y frecuencia de cambio de los datos |
| ¿Dónde se guarda? | En una ubicación protegida y suficientemente independiente |
| ¿Quién puede acceder? | Solo usuarios autorizados |
| ¿Se puede recuperar? | Debe comprobarse mediante pruebas periódicas |
La continuidad de negocio y las copias de seguridad ocupan también un lugar relevante entre las recomendaciones de INCIBE y dentro de las medidas relacionadas con NIS2.
4. Mantener equipos y aplicaciones actualizados
Posponer constantemente las actualizaciones puede dejar abiertas vulnerabilidades que ya han sido identificadas y corregidas por los fabricantes.
Por eso conviene establecer una política clara de actualización para ordenadores, móviles, sistemas operativos, navegadores, aplicaciones, dispositivos de red y cualquier otro elemento conectado a la infraestructura empresarial.
No tiene por qué convertirse en una tarea manual para cada empleado.
5. Revisar qué ocurre cuando alguien entra o sale de la empresa
La ciberseguridad también forma parte del onboarding y del offboarding de los empleados.
- Cuando una persona se incorpora, deberían definirse sus dispositivos, permisos y accesos.
- Cuando abandona la organización o cambia de puesto, esos permisos deberían revisarse.
Es especialmente importante controlar accesos a correo, aplicaciones cloud, carpetas compartidas, VPN, herramientas comerciales y sistemas internos.
6. Proteger la información, no solamente los dispositivos
Una empresa puede tener equipos protegidos y, aun así, exponer información sensible mediante un correo enviado al destinatario equivocado, un portátil perdido o documentos almacenados sin las medidas adecuadas.
7. Tener claro qué hacer cuando algo falla
La prevención es importante, pero ningún sistema puede garantizar que nunca vaya a producirse un incidente.
Por eso una pyme debería saber, al menos: a quién avisar, qué sistemas aislar, cómo recuperar la información, qué proveedor debe intervenir y cómo mantener la actividad mientras se resuelve el problema.
No hace falta empezar con un procedimiento de decenas de páginas. Un protocolo sencillo y conocido por las personas responsables puede reducir mucho el tiempo de reacción.
Y aquí aparece una de las ideas que está ganando peso en el ámbito de la ciberseguridad empresarial: la seguridad ya no consiste únicamente en evitar ataques, sino también en mantener la continuidad del negocio cuando ocurre un problema.
Antes de comprar más seguridad, conviene ordenar la que ya tienes
La ciberseguridad de una pyme no debería construirse mediante una colección de herramientas independientes.
Correo, usuarios, dispositivos, conectividad, WiFi, cloud, copias de seguridad, accesos y soporte forman parte del mismo entorno. Analizarlos de manera conjunta permite detectar qué medidas son realmente prioritarias y dónde tiene sentido invertir.
A veces hará falta incorporar nuevas soluciones. Otras veces, el mayor avance llegará simplemente al configurar correctamente las que ya existen.
La tecnología ayuda a proteger una empresa, pero funciona mucho mejor cuando detrás existe una estrategia clara.
En Proyecta TIC ayudamos a las empresas a revisar su entorno tecnológico de forma global, desde la conectividad y los puestos de trabajo hasta los accesos, el cloud, el backup y la seguridad, para construir una infraestructura que no solo funcione, sino que esté preparada para seguir funcionando.
Descubre más contenido de TIC junto a Proyecta TIC, tecnologías de la información y comunicación para tu negocio!
Síguenos en Linkedin para estar al día de todas las novedades.