Ciberseguridad para pymes: 10 medidas básicas
Diez medidas de ciberseguridad al alcance de cualquier pyme: doble factor, copias probadas, parches, correo seguro, mínimo privilegio y un plan de una página.
Por Zyro
Muchas pequeñas y medianas empresas piensan que la ciberseguridad "es cosa de grandes". Pero los delincuentes no eligen por el tamaño, sino por lo fácil que resulta: un correo que funciona, una contraseña repetida, un equipo sin actualizar. La buena noticia es que las medidas que más reducen el riesgo son pocas, conocidas y asequibles.
Las 10 medidas básicas
1. Autenticación multifactor en lo importante
Correo, accesos remotos, herramientas de administración, banca y cualquier servicio con datos de clientes. Una contraseña robada deja de ser suficiente.
2. Copias de seguridad que se hayan probado
Tres copias, en dos soportes distintos y una fuera de la empresa y aislada de la red. Pero sobre todo: prueba a restaurar con regularidad. Es tu seguro contra el ransomware.
3. Actualizaciones al día
Sistema operativo, navegadores, programas, el router y el cortafuegos. Activa las actualizaciones automáticas siempre que sea posible. Y si tienes algo expuesto a Internet, esa es la primera prioridad (ver cómo priorizar).
4. Un gestor de contraseñas
Una contraseña distinta y larga para cada servicio, sin tener que recordarlas. La reutilización de contraseñas es una de las causas más habituales de cuentas comprometidas.
5. Permisos mínimos y cuentas separadas
Nadie debería ser administrador de su equipo para el trabajo diario. Las cuentas con privilegios se usan solo para administrar. Al dar de baja a alguien, se cierran todos sus accesos el mismo día.
6. Protección en los equipos
Un antivirus actual como mínimo y, mejor, una solución de detección y respuesta que alguien supervise o que responda de forma automática.
7. Correo con SPF, DKIM y DMARC
Para que nadie pueda hacerse pasar por tu empresa y para que tus mensajes lleguen. Más detalles en nuestra guía sobre phishing.
8. Un inventario sencillo
Una hoja de cálculo con tus equipos, tus servicios en la nube, tus dominios y quién es responsable de cada cosa. Es aburrido y es la base de todo lo demás (ver superficie de ataque y shadow IT).
9. Formación breve y un canal para avisar
Diez minutos con ejemplos reales cada cierto tiempo y una dirección o un botón para reportar mensajes sospechosos. Quien avisa de buena fe debe recibir las gracias.
10. Un plan de incidentes de una página
Quién decide, a quién se llama (incluido el 017 de INCIBE, la línea de ayuda en ciberseguridad), cómo se aíslan los equipos y dónde está la lista de contactos impresa. Puedes ampliarlo con nuestra guía del plan de respuesta a incidentes.
Cómo ordenar el trabajo
- Esta semana: doble factor en el correo, comprobar que existen copias y que se pueden restaurar, activar actualizaciones automáticas.
- Este mes: gestor de contraseñas, revisar permisos, configurar SPF, DKIM y DMARC, escribir el plan de una página.
- Este trimestre: inventario, protección avanzada de los equipos, primera sesión de formación.
- Cada año: revisar todo lo anterior y comprobarlo con una prueba técnica (pentest).
Lo que no necesitas (todavía)
Muchas pymes se gastan el presupuesto en herramientas sofisticadas sin tener resueltas las diez medidas anteriores. Un red team o un servicio de seguridad 24 horas no sirven de mucho si no hay copias que se puedan restaurar. Primero lo básico, luego lo avanzado.
Cuándo conviene pedir ayuda
Si gestionas datos sensibles (salud, legales, financieros), si un cliente grande te exige garantías, si vendes a empresas sujetas a NIS2 o al sector público (ENS), o simplemente si no sabes por dónde empezar. En Zyro trabajamos en la parte técnica con ZyroShield: puedes ver qué ofrecemos o pedirnos una revisión. Si tu duda es más cercana, en Alicante y toda España te atendemos por contacto directo.