«Somos demasiado pequeños para que nos ataquen.» Si alguna vez lo has pensado, tenemos malas noticias: los atacantes también lo saben, y por eso las pymes son un objetivo tan habitual. No porque sean valiosas por separado, sino porque suelen estar menos protegidas y los ataques son automáticos: un correo engañoso no distingue entre una multinacional y un taller de diez personas.
La buena noticia: la mayoría de incidentes que vemos no requerían tecnología punta para evitarse. Requerían estas ocho medidas. Ninguna es cara. Todas evitan disgustos.
1. Contraseñas fuertes y un gestor para recordarlas
El problema no es que la gente elija malas contraseñas: es que necesita cincuenta y solo puede recordar tres. El resultado es la misma contraseña en todas partes, y cuando se filtra en un servicio, se filtra en todos.
Qué hacer: implanta un gestor de contraseñas en la empresa. Cada servicio, una contraseña distinta y larga, generada por el gestor. La única que hay que recordar es la maestra.
2. Doble factor de autenticación (2FA) en todo lo que importe
El doble factor —el código del móvil, la app de autenticación— es la medida con mejor relación coste-beneficio que existe. Aunque alguien te robe la contraseña, no puede entrar.
Qué hacer: actívalo como mínimo en el correo, la banca online, la nube y el programa de gestión. Empezando por el correo: quien controla tu correo puede restablecer casi todo lo demás.
3. Actualizaciones al día
Una gran parte de los ataques aprovechan agujeros de seguridad que ya estaban corregidos: solo había que actualizar. Ese servidor que nadie toca «porque funciona» o el Windows antiguo del despacho del fondo son la puerta de entrada clásica.
Qué hacer: actualizaciones automáticas donde sea posible y un calendario para el resto. Y si un equipo ya no recibe soporte del fabricante, planifica su retirada.
4. Copias de seguridad con la regla 3-2-1
Si todo falla, la copia de seguridad es la última línea de defensa, especialmente contra el ransomware. Pero solo si está bien hecha: tres copias, dos soportes distintos y una fuera de la oficina, con restauraciones probadas.
Qué hacer: revisa hoy mismo dónde están tus copias y cuándo se probó la última restauración. Si la respuesta es «no lo sé», ya tienes tarea para esta semana.
5. Formación contra el phishing (la medida más rentable)
La mayoría de incidentes empiezan con un correo: una factura falsa, un «tu paquete no se ha podido entregar», un mensaje que parece del banco o incluso del gerente pidiendo una transferencia urgente. La tecnología ayuda, pero el clic lo da una persona.
Qué hacer: dedica una sesión corta al equipo con ejemplos reales: cómo revisar el remitente, desconfiar de las urgencias, verificar por teléfono cualquier cambio de cuenta bancaria. Una hora de formación ahorra la inmensa mayoría de sustos.
6. Wi-Fi separada para invitados y dispositivos
¿La misma red para el servidor, los portátiles, el móvil del repartidor y la tablet del niño que viene por la tarde? Cualquier dispositivo infectado que se conecta ve toda tu red.
Qué hacer: crea una red Wi-Fi de invitados separada de la de trabajo. La mayoría de routers profesionales lo permiten sin coste añadido. Y cambia la contraseña por defecto del router, ya que estamos.
7. Permisos mínimos: no todo el mundo debe poder con todo
Si todos los usuarios son administradores y cualquiera puede abrir todas las carpetas, cualquier error —o cualquier cuenta comprometida— tiene alcance total. El principio es sencillo: cada persona, acceso solo a lo que necesita para trabajar.
Qué hacer: revisa quién tiene acceso a qué. Cuentas de administrador solo para administrar, carpetas de nóminas o contabilidad restringidas, y baja inmediata de las cuentas de quien deja la empresa. Este último punto se olvida más de lo que parece.
8. Un plan para cuando algo pase
La pregunta no es solo cómo evitar el incidente, sino qué haréis cuando ocurra. ¿Quién desconecta qué? ¿A quién se llama? ¿Cómo se avisa a los clientes si hace falta? Improvisarlo un lunes a las 8 de la mañana, con los nervios a flor de piel, sale caro.
Qué hacer: una hoja, literalmente. Contactos clave (técnico, asesor, aseguradora), primeros pasos y dónde están las copias. Imprímela: si la tienes en el servidor cifrado, no te servirá de nada.
Por dónde empezar
No hace falta hacerlo todo esta semana. Nuestro orden recomendado por impacto:
- 2FA en el correo (hoy mismo, es gratis).
- Revisar las copias de seguridad (esta semana).
- Gestor de contraseñas (este mes).
- El resto, de forma planificada a lo largo del trimestre.
La ciberseguridad de una pyme no va de comprar cajas mágicas: va de hábitos, criterio y constancia. Y de saber que no hace falta hacerlo solo.
¿Quieres saber en qué punto está tu empresa? Pide una revisión de seguridad sin compromiso