¿Cómo revisar la ciberseguridad de tu empresa si no tienes un especialista en seguridad propio?

Sin un especialista propio, la ciberseguridad de tu empresa se revisa en dos pasos: primero tú y quien lleva tu IT dedicáis dos horas a una autoevaluación con checklists gratuitos, y después encargas una evaluación externa independiente de los puntos donde la respuesta fue «no lo sé». El pentest y un programa continuo de revisiones llegan más tarde: cuando tienes un producto propio, un requisito de un cliente o riesgos en varios sitios a la vez.

Abajo tienes las cuatro opciones en una tabla, un plan de autoevaluación de dos horas que puedes hacer tú mismo y señales claras de que toca pedir ayuda externa.

En resumen

• La autoevaluación solo cuesta tiempo y muestra lo básico: cuentas, correo, copias de seguridad, actualizaciones.
• Una evaluación de seguridad externa da una mirada independiente a accesos, nube y procesos, con un informe priorizado.
• Un pentest (un intento manual y autorizado de entrar en tus sistemas) hace falta cuando tienes web propia con área de clientes, una API o pagos.
• Un programa de seguridad reúne varias revisiones en un plan anual cuando los riesgos están en varios sitios.
• Empieza por la autoevaluación: te dirá qué encargar después y si hace falta algo más.

Cuatro formas de revisar tu seguridad

Qué es la autoevaluación y con qué hacerla

Una autoevaluación de seguridad significa que tú y quien lleva tu IT recorréis una lista corta de preguntas y ajustes y respondéis con honestidad qué funciona de verdad y qué solo «debería funcionar». No sustituye a una revisión independiente, pero filtra lo obvio y muestra dónde mirar después.

No hace falta inventar tu propia lista. Los checklists gratuitos de agencias públicas están pensados justo para empresas pequeñas:

• NCSC (el centro nacional de ciberseguridad del Reino Unido): una guía para organizaciones pequeñas sobre copias, dispositivos, cuentas, correo y phishing. ^[1]
• ENISA (la Agencia de la UE para la Ciberseguridad): 12 pasos para pymes. ^[2]
• NIST (el instituto nacional de estándares de EE. UU.): una guía rápida de CSF 2.0 para pequeñas empresas. ^[3]
• CIS Controls IG1: 56 salvaguardas básicas que se pueden aplicar con poca experiencia. ^[4]
• Cyber Essentials: cinco controles técnicos que protegen de los ataques más comunes desde internet. ^[5]

Con dos herramientas basta. internet.nl revisa gratis la web y el correo de tu dominio. ^[6] Microsoft Secure Score, en el portal de Microsoft Defender, muestra qué ajustes de seguridad recomendados de tu Microsoft 365 están activados y cuáles no. La propia Microsoft avisa de que no mide la probabilidad de sufrir una intrusión, solo cuánto usas los controles disponibles. ^[7]

Autoevaluación en 2 horas: un plan para ti

Siéntate con quien lleva tu IT, abre el centro de administración del correo y recorre seis bloques de 20 minutos. Apunta cada «no lo sé»: ya es un hallazgo.

1. Cuentas y MFA (20 minutos). ¿Quién no tiene activado el segundo factor de acceso en el correo? Después revisa la banca online, el programa de contabilidad, el CRM, el hosting y el registrador del dominio. ¿Cuántas personas tienen permisos de administrador y siguen todas contigo?
2. Quienes se fueron (20 minutos). Toma la lista de quienes dejaron la empresa el último año y comprueba que su acceso al correo, archivos, CRM y chats de trabajo está cerrado. Lo mismo con antiguos proveedores.
3. Correo (20 minutos). Escribe tu dominio en internet.nl y mira los resultados de SPF, DKIM y DMARC (registros que protegen tu dominio de correos falsificados). Comprueba que el reenvío automático a direcciones externas está bloqueado.
4. Copias de seguridad (20 minutos). Pide que restauren en directo un archivo y una base de datos tal como estaban ayer. Cronométralo y averigua si al menos una copia se guarda aparte de los sistemas principales. ^[8]
5. Qué se ve desde internet (20 minutos). Haz una lista: webs, subdominios, VPN (acceso seguro a la red de la oficina), escritorio remoto. Junto a cada uno, apunta la versión y la fecha de la última actualización.
6. Procesos (20 minutos). Pregunta al contable qué haría con un correo que anuncia una nueva cuenta bancaria de un proveedor. Comprueba si hay una lista impresa de contactos para incidentes.

Cada punto está explicado con más detalle en seguridad en una empresa de 30 personas sin CISO. Si trabajas con Microsoft 365, haz también seis controles de Microsoft 365 en una hora.

Cuándo pedir ayuda externa

La autoevaluación tiene un límite: quien configuró un sistema rara vez ve sus propios errores, y «está todo configurado» no significa que lo esté. La ayuda externa tiene sentido si:

• varias preguntas del plan acabaron en «no lo sé» y nadie puede averiguarlo;
• un cliente, socio, banco o inversor pide una revisión independiente o un cuestionario de seguridad;
• tienes una web propia con área de clientes, una API o pagos;
• hubo un incidente o una sospecha: accesos raros, reenvío de correo, una factura falsa;
• hay hallazgos, pero nadie sabe decir qué arreglar primero.

Para una empresa que trabaja en la nube sin servidores propios, el primer paso externo suele ser un Security Assessment: una revisión de cuentas, correo, nube, accesos y procesos con un informe de qué cambiar primero. Un pentest tiene sentido más tarde o en paralelo, cuando tienes producto propio. El NCSC aconseja ver el pentest como una auditoría que confirma que tus propios procesos funcionan, no como la forma principal de encontrar problemas. ^[9]

Si los riesgos están a la vez en las personas, las cuentas y el producto, es más cómodo reunir las revisiones en el Veiltrack Security Program: un alcance acordado, una nueva comprobación tras las correcciones y una persona responsable. Cualquier prueba activa se hace solo después de acordar el alcance y firmar la autorización por escrito.

Errores habituales

• Empezar por un pentest caro cuando el correo no tiene MFA. El pentest lo encuentra en una hora y tú pagas varios días.
• Tomar el informe de un escáner por una revisión de seguridad. El escáner busca vulnerabilidades conocidas, pero no ve administradores de más ni reenvíos de correo.
• Revisar solo la tecnología. Los problemas más caros suelen empezar con un correo al contable, no con un servidor comprometido.
• Revisar una vez y olvidarse. La gente entra y sale y los servicios cambian, así que repite lo básico dos veces al año.

Checklist de autoevaluación

• MFA activado para todos en el correo, la banca online, el programa de contabilidad, el CRM, el hosting y el registrador del dominio.
• No más de tres administradores, todas las cuentas nominales y conocidas.
• El acceso de todos los que se fueron el último año está cerrado.
• internet.nl muestra SPF, DKIM y DMARC configurados en tu dominio.
• El reenvío automático de correo a direcciones externas está bloqueado.
• Hemos restaurado un archivo y una base de datos desde la copia y sabemos cuánto tarda.
• Hay una lista de todo lo visible desde internet, con versiones y fechas de actualización.
• Contabilidad confirma las nuevas cuentas bancarias llamando a un número conocido.
• La lista de contactos para incidentes está impresa.
• Cada «no lo sé» está apuntado y tiene a alguien que lo averigüe.

Descargar la lista de preparación (PDF)PDF · A4

Preguntas frecuentes

¿Cómo reviso la ciberseguridad de mi empresa si no tenemos un especialista en seguridad?

Empieza con una autoevaluación con los checklists gratuitos del NCSC, ENISA o NIST: unas dos horas para ti y para quien lleva IT. Después encarga una evaluación independiente donde no encontraste respuesta. El pentest hace falta cuando tienes producto propio o un cliente lo exige.

¿Tenemos que contratar a un especialista en seguridad?

En una empresa pequeña, normalmente no. Importa más que cada punto básico tenga un responsable y que una revisión independiente al año aporte una mirada externa. Piensa en un especialista en plantilla cuando la seguridad se vuelva trabajo diario: producto propio, muchos datos de clientes, requisitos de un regulador.

¿En qué se diferencia una evaluación de seguridad externa de un pentest?

La evaluación mira ajustes, accesos y procesos: quién tiene permisos, cómo está configurado el correo, si las copias funcionan. Un pentest comprueba si se puede entrar en tus sistemas y muestra cómo. Para una empresa en la nube, la evaluación suele ir primero.

¿Cuánto dura una revisión externa?

Depende del alcance: número de personas, servicios y sistemas. El plazo y los límites se fijan antes de empezar, junto con la autorización por escrito para cualquier prueba activa.

¿Basta con Microsoft Secure Score o un escáner gratuito?

Como punto de partida, sí; como conclusión, no. Secure Score muestra qué ajustes recomendados están activados, pero no ve tus procesos, los servicios de terceros ni quién tiene acceso real a tus datos.

Referencias

1. NCSC: Small organisations guide to cyber security ncsc.gov.uk
2. ENISA: Cybersecurity guide for SMEs, 12 steps to securing your business enisa.europa.eu
3. NIST SP 1300: NIST Cybersecurity Framework 2.0, Small Business Quick-Start Guide nvlpubs.nist.gov
4. CIS: CIS Controls Implementation Group 1 (IG1) cisecurity.org
5. NCSC: About Cyber Essentials ncsc.gov.uk
6. Internet.nl: Test for modern Internet Standards internet.nl
7. Microsoft Learn: Microsoft Secure Score learn.microsoft.com
8. NCSC: Small organisations guide, backing up your data ncsc.gov.uk
9. NCSC: Penetration testing ncsc.gov.uk