Ciberseguridad para pymes: por dónde empezar sin perderte

Empieza por saber qué tienes que proteger

La ciberseguridad parece un mundo inabarcable, pero en una pyme empieza por algo muy concreto: saber qué equipos, cuentas y datos tienes y cuáles serían un problema grave si desaparecieran o se filtraran. Sin ese inventario, cualquier inversión se hace a ciegas.

Dedica una tarde a hacer una lista sencilla. No hace falta una herramienta especial; una hoja compartida basta si alguien la mantiene al día. Después, marca lo que no podrías recuperar o lo que pararía tu actividad si dejara de funcionar un día: ahí es donde tienes que empezar.

La lista debería recoger, como mínimo:

• Equipos: ordenadores, portátiles, móviles de empresa y quién usa cada uno.
• Cuentas: correo, banca, facturación, tienda online, redes y quién tiene acceso.
• Datos críticos: clientes, contabilidad, proyectos, contratos y dónde se guardan.
• Proveedores con acceso a tus sistemas: informática, gestoría, desarrolladores.
• Dispositivos conectados: router, impresoras, cámaras y terminales de cobro.

Las medidas básicas que más protegen

Hay un puñado de medidas que cuestan poco y reducen mucho el riesgo. Si solo puedes hacer una cosa esta semana, activa el doble factor en el correo: desde el correo se recuperan las contraseñas de casi todas las demás cuentas, así que protegerlo protege mucho más.

Antes de pensar en soluciones avanzadas, comprueba que estas medidas están en marcha en toda la empresa, sin excepciones para la dirección:

• Doble factor de autenticación en el correo, la banca y las herramientas en la nube.
• Contraseñas únicas guardadas en un gestor, no en papeles ni en un navegador compartido.
• Actualizaciones automáticas del sistema y de las aplicaciones.
• Protección antimalware en todos los equipos, también en los portátiles que salen de la oficina.
• Cuentas de administrador separadas de las de uso diario.
• Baja inmediata de accesos cuando alguien deja la empresa o termina un proveedor.
• Wifi de invitados separada de la red de trabajo.

Copias de seguridad que de verdad se restauran

Tener copias no es lo mismo que poder recuperar. Muchas empresas descubren el día que las necesitan que la copia llevaba meses fallando, que no incluía la carpeta importante o que estaba en el mismo disco que se ha estropeado.

Una regla práctica es mantener varias copias, en soportes distintos, con al menos una fuera de la oficina o desconectada de la red para que un ataque no pueda cifrarla junto al resto. Y, sobre todo, prueba a restaurar: una vez al mes, elige un archivo o una carpeta al azar y comprueba que la recuperas entera y en un tiempo razonable.

Anota en una hoja quién revisa las copias, qué se copia y cada cuánto. Si esa persona se va de vacaciones, alguien más debe saber hacerlo. Esa hoja debería responder a cuatro preguntas:

• Qué se copia: carpetas, correo, programas de gestión y su configuración.
• Dónde: al menos una copia fuera de la oficina o desconectada de la red.
• Cada cuánto: según cuánto trabajo podrías permitirte perder.
• Quién comprueba la restauración y cuándo lo hace.

El factor humano: correo, suplantaciones y procedimientos

Muchos fraudes a pymes no requieren técnica sofisticada: un correo que parece del proveedor de siempre pidiendo cambiar el número de cuenta, un mensaje urgente que suplanta a la dirección o un enlace a una página que imita a tu banco. La defensa más eficaz es un procedimiento sencillo que todo el equipo conozca y respete.

Si alguien cae en un engaño, que lo cuente cuanto antes y sin miedo a represalias. Un aviso a tiempo permite cambiar contraseñas o intentar parar un pago; el silencio por vergüenza agrava el daño.

Estas reglas cuestan poco de aplicar y conviene tenerlas por escrito:

• Cualquier cambio de cuenta bancaria de un proveedor se confirma por teléfono, a un número que ya tenías.
• Ningún pago urgente se hace solo por correo o mensajería, aunque parezca venir de la dirección.
• Las dudas se consultan antes de hacer clic, sin miedo a parecer exagerado.
• Una sesión breve cada pocos meses con ejemplos reales recibidos en la empresa.

Prepara qué harás si algo falla

Ninguna empresa está a salvo al cien por cien, así que conviene decidir de antemano qué hacer ante un incidente: a quién se avisa, quién desconecta un equipo sospechoso, cómo se contacta con el banco si hay un pago fraudulento y dónde están las copias para recuperar la actividad. Una página con estos pasos y los teléfonos clave, impresa y a mano, ahorra horas de caos.

Si tu actividad trata datos especialmente sensibles, trabaja con administraciones o forma parte de una cadena de suministro exigente, puede haber requisitos específicos de seguridad o de notificación de incidentes. No los des por supuestos ni los descartes: revisa la regulación vigente con tu asesoría.

Para preparar esa página de emergencia, reúne como mínimo:

• Teléfonos del responsable interno, del soporte informático y del banco.
• Dónde están las copias y quién sabe restaurarlas.
• Cómo cambiar las contraseñas de las cuentas críticas desde un equipo limpio.
• Quién decide si hay que avisar a clientes o proveedores, y cómo.

Un ejemplo para aterrizarlo

Por ejemplo, una clínica de fisioterapia con cinco profesionales, agenda en la nube y fichas de pacientes. Un primer plan razonable sería activar el doble factor en el correo y en la agenda, crear un usuario por profesional en lugar de una cuenta compartida, programar copias de las fichas fuera de la clínica con una prueba mensual de restauración y fijar por escrito qué hacer ante correos que piden cambios en los pagos.

Ninguna de esas medidas exige comprar equipos nuevos. Son decisiones de organización que se toman en una reunión y se revisan cada pocos meses. Es un ejemplo hipotético: el orden real dependerá de lo que revele tu inventario.

La ciberseguridad en el Kit Digital

El Kit Digital tuvo varias categorías relacionadas: la X, «Ciberseguridad», y la IX, «Comunicaciones seguras», ambas con hasta 29.000 € en el segmento más alto que podía pedirlas; la XIII, «Servicio de ciberseguridad gestionada», solo para los segmentos IV y V; y la XVII, «Puesto de trabajo seguro», con 1.000 € por un máximo de un dispositivo y solo para el Segmento III. Kit Consulting, también cerrado, incluyó asesoramiento en ciberseguridad.

Todas esas convocatorias han terminado: la última cerró el 31 de octubre de 2025. No hay ninguna convocatoria oficial de «Kit Digital 2027», así que no esperes a una ayuda para aplicar las medidas básicas de este artículo.