Seguridad de gran empresa para tu pyme: 5 prácticas que puedes aplicar hoy

Cuando escuchas “seguridad de gran empresa”, es probable que imagines centros de datos, equipos enormes y presupuestos que tu empresa nunca tendrá. Es cierto que un banco invierte a otra escala. Pero buena parte de su seguridad no se basa en comprar algo caro, sino en cumplir con disciplina unas reglas simples.

Y esas reglas sí se pueden llevar a una pyme.

Nuestro fundador trabajó más de 8 años en infraestructura crítica de banca y telecomunicaciones, incluyendo auditorías de TI y ciberseguridad con marcos como COBIT 2019 y NIST. Esta es la versión práctica, sin tecnicismos: cinco cosas que puedes empezar hoy mismo, la mayoría sin gastar un sol.

Práctica 1: prueba tus backups, no solo los hagas

Muchas empresas dicen “tenemos backup” y descubren el día de la emergencia que no era cierto: la copia estaba incompleta, llevaba meses sin actualizarse o nadie sabía cómo recuperarla.

Lo que hace la diferencia es una pregunta: ¿cuándo fue la última vez que restauraste una copia y comprobaste que funcionaba? Si nadie puede responder, en realidad no sabes si tienes backup.

Qué hacer hoy:

• Haz una lista de lo que no te puedes permitir perder: facturas, base de clientes, contabilidad.
• Elige un archivo importante e intenta recuperarlo desde tu copia.
• Comprueba que exista al menos una copia fuera de tu oficina. Si hay un robo, un incendio o un virus que cifra tus archivos, la copia que está junto al servidor puede perderse con él.
• Anota la fecha de esta prueba y ponte un recordatorio para repetirla.

Práctica 2: cada persona con su usuario y solo con lo que necesita

Los bancos aplican lo que se llama “mínimo privilegio”: nadie tiene más acceso del que necesita para su trabajo. No es desconfianza. Es limitar el daño cuando alguien se equivoca o le roban su clave.

En una pyme, el problema típico es la cuenta compartida: una sola clave para el sistema de ventas, el correo o el banco, que conoce toda la oficina. Si algo pasa, nadie sabe quién fue. Y cuando alguien renuncia, sigue teniendo acceso.

Qué hacer hoy:

• Elimina las cuentas compartidas de lo más sensible: banca por internet, correo y sistema de ventas.
• Revisa quién tiene acceso a qué y retira lo que no corresponda.
• Crea una lista simple para cuando alguien deja la empresa: qué accesos se le retiran y quién se encarga.

Práctica 3: activa la verificación en dos pasos

Una contraseña puede filtrarse, adivinarse u obtenerse con un correo engañoso. La verificación en dos pasos agrega una segunda prueba, normalmente un código en tu celular, de modo que la clave sola ya no alcanza para entrar.

Es probablemente la medida con mejor relación entre esfuerzo y protección de esta lista, y la mayoría de servicios la ofrece sin costo adicional.

Qué hacer hoy:

• Actívala en este orden: correo de la empresa, banca por internet, redes sociales y servicios en la nube.
• Empieza por las cuentas de quienes aprueban pagos.
• Usa un gestor de contraseñas para que cada servicio tenga una clave distinta. Si una se filtra, las demás siguen a salvo.

Hay otra costumbre que vale oro: si te piden un cambio de cuenta bancaria o un pago urgente por correo o WhatsApp, confírmalo por otro canal antes de transferir. Muchos fraudes no vulneran ningún sistema: solo engañan a una persona que tiene prisa.

Práctica 4: entérate antes de que te avise el cliente

En una operación crítica, nadie espera a que un cliente llame para saber que algo se cayó. Hay alertas vigilando todo el tiempo. Tu pyme no necesita un centro de monitoreo para aplicar la misma idea.

Qué hacer hoy:

• Activa un servicio que revise tu web y te avise si deja de responder. Hay opciones gratuitas.
• Pon recordatorios para el vencimiento de tu dominio y de tu certificado de seguridad. Una web caída por un dominio vencido es un error evitable y muy común.
• Activa las actualizaciones automáticas en computadoras y celulares de trabajo. Muchos ataques aprovechan fallas que ya tienen solución publicada.

Práctica 5: decide quién hace qué antes de la emergencia

En plena crisis no se piensa bien. Por eso las grandes empresas ensayan sus planes. NIST, uno de los marcos de seguridad más usados, organiza este trabajo en funciones como identificar, proteger, detectar, responder y recuperar. Fíjate que dos de ellas ocurren después del problema: se da por hecho que tarde o temprano algo va a pasar.

Para una pyme, ese plan puede caber en una sola página.

Qué hacer hoy: escribe una hoja con estos datos, y guárdala también fuera de tus sistemas, porque si se caen no la podrás abrir:

• Lista de tus sistemas y cuentas importantes, y quién es el responsable de cada uno.
• A quién llamar si se cae el sistema o sospechas de un ataque.
• Qué hacer primero, por ejemplo: desconectar el equipo afectado y no pagar ningún rescate sin asesorarte.
• Cómo seguir atendiendo clientes mientras se resuelve.

Lo que no necesitas hacer

No hace falta certificarte en nada para empezar. COBIT y NIST son guías pensadas para muchos tamaños de organización, y lo inteligente es tomar lo que se ajusta a tu riesgo real. Una pyme no necesita la burocracia de un banco. Necesita sus hábitos.

Tampoco hagas todo el mismo día. Si solo tienes una hora, activa la verificación en dos pasos en tu correo y prueba un backup. Con eso ya estás mejor que ayer.

Las grandes empresas tienen un área de TI que las protege. Las pymes merecen lo mismo.

¿Quieres saber cómo está tu empresa? En el diagnóstico gratis te llevas los 3 procesos que más tiempo te quitan, cuántas horas por semana podrías recuperar y por dónde empezar, y de paso revisamos lo básico de tu seguridad. No es una llamada de ventas y no necesitas preparar nada. Pide tu diagnóstico gratis por WhatsApp.