Ciberseguridad para una empresa pequeña: lo mínimo que hay que tener
No hace falta un departamento de seguridad. Hacen falta seis cosas, casi todas gratis, y la única que cuesta dinero es la que de verdad te salva: una copia que el atacante no pueda borrar.
· Seguridad
La conversación sobre ciberseguridad en una empresa de cinco personas suele terminar en «eso es para empresas grandes». Y luego llega el día en que alguien abre un adjunto, los ficheros aparecen cifrados y resulta que la copia de seguridad estaba en la misma carpeta compartida que todo lo demás.
Lo que sigue no es un plan de seguridad corporativo. Son seis medidas, ordenadas por lo que evitan realmente.
1. Una copia que el atacante no pueda borrar
Es la única medida que te salva cuando todo lo demás ha fallado, y la que casi todo el mundo tiene mal. Una copia en un disco conectado al ordenador, o en una carpeta sincronizada, se cifra al mismo tiempo que el original: no es una copia, es un segundo original.
Lo que sirve: una copia fuera de línea o inmutable —que no se pueda modificar durante un plazo—, y con versiones anteriores accesibles. Y un detalle que la mayoría se salta: probar la restauración. Una copia que nunca se ha restaurado no es una copia, es una carpeta con esperanza.
2. Doble factor en el correo y en el banco
La mayoría de los ataques a empresas pequeñas no son sofisticados: son una contraseña robada usada desde otro sitio. El segundo factor convierte una contraseña robada en un intento fallido.
Prioridad: el correo primero, siempre. Quien controla tu correo puede restablecer la contraseña de todo lo demás.
3. Un gestor de contraseñas, no una hoja de cálculo
La contraseña repetida es lo que convierte una filtración ajena en un problema propio: se filtra un servicio cualquiera donde estabas registrado y, si usabas la misma clave, ya tienen la del correo. Un gestor genera una distinta para cada sitio y nadie tiene que recordarlas.
4. Actualizar. Sin más
Casi todos los ataques automatizados aprovechan fallos conocidos y ya corregidos. Actualizar sistema, navegador y —muy especialmente— la web de la empresa cierra la puerta por la que entra la mayoría. Si tienes un WordPress sin tocar desde hace dos años, ese es probablemente tu mayor riesgo hoy.
5. Saber quién tiene acceso a qué
Haz una lista de una vez: quién entra al correo, a la banca, al servidor, al programa de facturación, a la web. Casi siempre aparecen dos o tres accesos de gente que ya no está en la empresa, y una cuenta compartida que usa todo el mundo.
Cuando alguien se va, se revocan sus accesos el mismo día. No es desconfianza: es que una cuenta olvidada es una puerta sin dueño.
6. Que el equipo reconozca un fraude del jefe
El fraude que más dinero se lleva de las empresas pequeñas no usa ningún virus: es un correo que parece del gerente pidiendo una transferencia urgente, o un proveedor que «ha cambiado de cuenta bancaria». La defensa no es técnica, es un procedimiento: ningún cambio de cuenta bancaria se acepta por correo, se confirma por teléfono a un número que ya tenías.
Y lo que la ley te obliga a hacer si pasa
Si en el incidente hay datos personales de clientes o de empleados, no es solo un problema técnico. En España, el RGPD obliga a notificar a la autoridad de control en 72 horas cuando la brecha supone un riesgo para los derechos de los afectados. En Chile, la Ley 21.719 establece la misma obligación de notificar al organismo competente y a los titulares afectados.
Eso significa que el día del incidente hay dos relojes: el de recuperar el negocio y el legal. Conviene saber quién se ocupa de cada uno antes de que suene.
Si esto es tu caso
Revisar estos seis puntos en una empresa pequeña es cuestión de una sesión, y casi siempre aparecen dos agujeros que nadie sabía que estaban abiertos. Eso es lo que hacemos en ciberseguridad. Si además tratas datos de clientes con herramientas de IA, la parte legal la cubrimos en cumplimiento de IA y datos.
Somos Mindset & Code: automatización, datos y desarrollo para pymes y autónomos, con el equipo técnico que lo monta y lo sostiene. Puedes ver qué hacemos y a qué precio —están publicados, sin presupuesto sorpresa—.
Fuentes: Agencia Española de Protección de Datos, notificación de brechas de seguridad; Ley 21.719 de protección de datos personales de Chile. Guía informativa, no sustituye una auditoría de seguridad.