Seguridad informática para pequeñas empresas: lo básico que de verdad protege

La seguridad informática de una pequeña empresa no empieza comprando software caro: empieza por cinco hábitos baratos que cortan la mayoría de los incidentes. Contraseñas únicas en un gestor, verificación en dos pasos, copias de seguridad que se prueban, equipos actualizados y una plantilla que sabe reconocer un engaño. Si algo sale mal, en España el 017 de INCIBE atiende gratis a empresas.

Por qué una pequeña empresa sí es un objetivo

Una pequeña empresa es un objetivo porque la mayoría de los ataques no eligen a la víctima: se lanzan en masa y caen quienes tienen la puerta abierta. Un correo falso, una contraseña reutilizada o un equipo sin actualizar bastan, da igual que la empresa tenga dos empleados o doscientos.

La seguridad informática es el conjunto de medidas que protegen los equipos, las cuentas y los datos de un negocio frente a accesos no autorizados, pérdidas y fraudes. En una pyme no hace falta un departamento para tenerla: hace falta decidir unas pocas reglas y cumplirlas siempre.

El Instituto Nacional de Ciberseguridad (INCIBE) tiene una sección entera dedicada a empresas, con guías y herramientas gratuitas pensadas precisamente para negocios sin personal técnico.

Las medidas básicas, de más a menos urgente

Si solo puedes hacer una cosa esta semana, activa la verificación en dos pasos en el correo de la empresa: es la cuenta que da acceso a todas las demás. Después, sigue este orden, pensado por impacto y coste.

Contraseñas: una por servicio y en un gestor

Cada servicio de la empresa debe tener su propia contraseña, larga y distinta, guardada en un gestor de contraseñas y no en una hoja de cálculo. Cuando una web externa sufre una filtración, los atacantes prueban esa misma contraseña en todas partes; si no la repites, el daño se queda ahí.

Un gestor de contraseñas permite además compartir accesos con el equipo sin enviarlos por chat, y retirarlos en un clic cuando alguien deja la empresa. Te explicamos cómo elegirlo en nuestra guía sobre el gestor de contraseñas: qué es y cómo empezar a usarlo.

La verificación en dos pasos en todas las cuentas críticas

La verificación en dos pasos añade un segundo requisito, como un código en el móvil o una llave física, a la contraseña. Con ella activada, una contraseña robada ya no basta para entrar.

Empieza por las cuentas que, si caen, arrastran al resto: el correo, el banco, el dominio y el alojamiento de la web, las redes sociales de la marca y la herramienta de facturación. Las opciones y cuál conviene en cada caso están en nuestra guía de verificación en dos pasos.

La mayoría de los incidentes de una pyme no empiezan con un ataque sofisticado, sino con una contraseña repetida y una cuenta sin segundo paso.

Copias de seguridad que de verdad se pueden restaurar

Una copia de seguridad solo sirve si se ha probado a restaurar. Muchas empresas descubren el día del problema que la copia llevaba meses fallando en silencio o que faltaba justo la carpeta importante.

• Más de una copia, y al menos una fuera de la oficina o desconectada de la red.
• Automática, para que no dependa de que alguien se acuerde.
• Probada: restaura un archivo cualquiera una vez al mes y comprueba que se abre.
• Separada: si el disco de copias está siempre conectado, un cifrado malicioso puede alcanzarlo también.

Actualizaciones y antivirus en cada equipo

Mantener el sistema operativo, el navegador y los programas actualizados cierra los fallos que los atacantes ya conocen. Activa las actualizaciones automáticas en todos los equipos y móviles de la empresa, incluidos los personales que se usan para trabajar.

Un antivirus actualizado es la segunda capa: detecta lo conocido antes de que se ejecute. En un negocio pequeño suele bastar con la protección que trae el propio sistema, bien configurada, o con una solución de pago si gestionas muchos equipos. Las diferencias entre las opciones las comparamos en nuestra comparativa de los mejores antivirus.

El correo electrónico, la puerta de entrada más usada

El correo es la vía por la que llegan la mayoría de los engaños a una empresa: facturas falsas, avisos de entrega, cambios de número de cuenta de un proveedor. La defensa más eficaz es una regla interna sencilla: ningún pago ni cambio de datos bancarios se aprueba solo por correo.

Cuando un proveedor «cambia de banco», se confirma llamando al número de siempre, nunca al que viene en el mensaje. Y si un correo mete prisa, amenaza o pide saltarse un procedimiento, es motivo suficiente para pararse antes de hacer clic.

Wifi, dispositivos y teletrabajo

La red de la oficina debe estar separada de la de los clientes, con una contraseña de wifi propia y la del router cambiada respecto a la que venía de fábrica. Una red de invitados aislada evita que un móvil infectado de un visitante vea los equipos del negocio.

Para quien trabaja fuera, la regla es la misma que en la oficina: equipo actualizado, bloqueo de pantalla, disco cifrado si el sistema lo permite y nada de redes públicas sin protección para acceder a datos de la empresa.

Accesos de proveedores y de antiguos empleados

Cada acceso que das a alguien de fuera, o que no retiras a quien se va, es una puerta que sigue abierta aunque nadie la use. Revisar quién entra en qué es una de las medidas más baratas y más olvidadas.

• Inventario de accesos: una lista con cada herramienta, quién tiene cuenta y con qué permisos.
• Cuentas nominales: una por persona, nunca un usuario compartido por todo el equipo, para saber quién hizo qué.
• Permisos mínimos: la gestoría no necesita entrar en la web, ni quien diseña los anuncios en la facturación.
• Baja el mismo día: cuando alguien deja la empresa o termina un proyecto, se retiran sus accesos y se cambian las contraseñas compartidas.

Si trabajas con una agencia o un técnico externo, pide que use su propia cuenta con los permisos justos, no la tuya de administrador. Así, cuando termine el trabajo, basta con desactivar ese usuario.

Formar a la plantilla sin aburrirla

La formación funciona cuando es corta, práctica y se repite: una sesión con ejemplos reales de correos y llamadas fraudulentas vale más que un manual que nadie lee. La meta no es que todo el mundo sea experto, sino que todo el mundo sepa cuándo parar y a quién avisar.

Si quieres una formación ya preparada para personas sin perfil técnico, tenemos el curso Aprende a usar internet con seguridad, pensado para equipos pequeños.

Qué hacer si sufres un incidente

Ante un incidente, lo primero es aislar el equipo afectado de la red, sin apagarlo si es posible, y cambiar desde otro dispositivo las contraseñas de las cuentas comprometidas. Después, pide ayuda: el 017 de INCIBE orienta gratis a empresas en estos casos.

1. Aísla: desconecta el equipo de la red y del wifi.
2. Cambia accesos desde un dispositivo limpio, empezando por el correo.
3. Avisa al banco si hay pagos en juego.
4. Documenta qué pasó, cuándo y qué se vio, con capturas.
5. Llama al 017 para recibir orientación.
6. Denuncia ante la Policía Nacional o la Guardia Civil si hay fraude o robo de datos.

Si lo que ha caído es una cuenta concreta, como el correo o una red social, sigue los pasos de nuestra guía sobre qué hacer si te hackean una cuenta.

La obligación legal si se filtran datos personales

Si el incidente afecta a datos personales de clientes o empleados, el responsable del tratamiento debe notificarlo a la autoridad de control en un plazo máximo de 72 horas desde que tenga constancia, salvo que sea improbable que suponga un riesgo para las personas. Lo establece el artículo 33 del Reglamento General de Protección de Datos.

En España, esa autoridad es la Agencia Española de Protección de Datos (AEPD). Si el riesgo para las personas afectadas es alto, además hay que comunicárselo a ellas. Tener claro de antemano quién decide y quién notifica evita perder esas 72 horas en reuniones.

Un plan de seguridad en una sola página

Un plan de seguridad para una pyme cabe en un folio y debería estar a mano de todo el equipo. Basta con responder a cinco preguntas y revisarlas cada cierto tiempo.

• Qué cuentas son críticas y quién tiene acceso a cada una.
• Dónde están las copias y cuándo se probaron por última vez.
• Quién actualiza los equipos y cómo se comprueba.
• Qué se hace ante un correo sospechoso y a quién se avisa.
• A quién se llama si pasa algo: responsable interno, 017, banco y proveedor de la web.

Si quieres más guías de este tipo, están en nuestra sección de privacidad y seguridad, y en la portada de Letaca verás el resto de lo que hacemos.

Preguntas frecuentes

Letaca — Agencia de marketing digital. Edición de vídeo, miniaturas, gestión de redes y herramientas online.