¿Dónde encontrar una checklist gratuita de ciberseguridad para una empresa?

Tienes una checklist gratuita de ciberseguridad para tu empresa en esta misma página: 15 puntos en siete grupos (cuentas, correo, dispositivos, copias de seguridad, web, personas, incidentes), cada uno con una línea sobre cómo comprobarlo, y un PDF para imprimir sin registro. Para temas concretos, abajo hay enlaces a checklists detalladas y a las guías gratuitas del NCSC, ENISA y NIST en las que se basa esta lista.

Una checklist de ciberseguridad significa una lista corta de comprobaciones en la que cada punto se puede responder con honestidad con un «sí» o un «no» y demostrarlo. Esta lista está pensada para una empresa pequeña sin especialista en seguridad: el dueño, la persona de oficina y el proveedor de IT pueden repasarla en una reunión.

En resumen

• Los primeros puntos son los que más aportan: segundo factor de acceso, pocos administradores, accesos cerrados de quienes se han ido.
• Cada punto tiene una forma de comprobarlo. «Creo que sí» no cuenta.
• Una copia de seguridad solo sirve si ya has restaurado desde ella.
• Repite la lista cada trimestre y tras cambios grandes: un servicio nuevo, una migración del correo, un proveedor nuevo.
• Cuando todos los puntos estén cerrados, el siguiente paso es una revisión independiente de lo que funciona de verdad.

Checklist de 15 puntos

Marca un punto solo cuando lo hayas comprobado como indica el texto tras los dos puntos.

• Cuentas. Todos tienen segundo factor de acceso (MFA, un código o una confirmación en el móvil) en el correo, la banca online, el CRM y el hosting: el centro de administración del correo no muestra usuarios sin MFA.
• Cuentas. Hay dos o tres administradores, cada uno con una cuenta de administración aparte: revisa la lista de roles en el centro de administración.
• Cuentas. Nadie que se haya ido conserva acceso: compara la lista de bajas del último año con las cuentas activas en el correo, el CRM y los discos en la nube.
• Correo. SPF, DKIM y DMARC (registros del dominio que impiden suplantar tu dirección) están configurados: pide a IT que te enseñe esos tres registros de tu dominio.
• Correo. El reenvío automático a direcciones externas está bloqueado: revisa la política de reenvío en el centro de administración del correo.
• Dispositivos. Portátiles y móviles instalan las actualizaciones solos: abre la configuración de actualizaciones en tres portátiles al azar.
• Dispositivos. Los discos de los portátiles están cifrados y la pantalla se bloquea sola: comprueba que BitLocker o FileVault están activados.
• Copias de seguridad. Los datos importantes se copian automáticamente y una copia está aparte, con otras contraseñas: pregunta dónde está exactamente esa copia y quién tiene acceso.
• Copias de seguridad. La restauración está probada: restaura un archivo y una base de datos a fecha de ayer y mide el tiempo.
• Web. El gestor de contenidos, los plugins y el servidor están actualizados: mira las versiones y la fecha de la última actualización en el panel de la web.
• Web. Los accesos al dominio, el hosting y el panel de la web son de la empresa y tienen MFA: intenta entrar sin el proveedor.
• Personas. Las contraseñas están en un gestor de contraseñas, no en hojas de cálculo: busca en el disco compartido archivos con «contraseñas» en el nombre.
• Personas. Los cambios de datos bancarios se confirman llamando a un número conocido: pregunta a contabilidad qué haría con un email sobre la nueva cuenta de un proveedor.
• Incidentes. Hay una lista de contactos impresa (IT, banco, hosting, registrador del dominio, CERT-UA, policía cibernética): busca esa hoja y comprueba dos números.
• Incidentes. Se sabe quién decide y qué hacer primero si hackean el correo: repasa este escenario en una reunión de 15 minutos.

Descargar la lista de preparación (PDF)PDF · A4

Los puntos se basan en la guía del NCSC para organizaciones pequeñas, los 12 pasos de ENISA para pymes y los materiales de NIST para pequeñas empresas. ^{[1] [2] [3]} El reenvío de correo y las actualizaciones de dispositivos se tratan en guías aparte de Microsoft y del NCSC. ^{[4] [5]}

Checklists detalladas por tema

Si un punto te ha generado dudas, abre el artículo detallado sobre ese tema.

Cómo usar la checklist

Elige a una persona que recoja las respuestas y fija una reunión de una hora. Junto a cada punto, apunta quién es responsable y la fecha de la próxima revisión. Considera abiertos los puntos con respuesta «no lo sé»: eso ya es un resultado útil.

Si algo está pasando ahora mismo, no repases la lista: abre la guía de los primeros 30 minutos y avisa al CERT-UA (el equipo gubernamental de Ucrania de respuesta a incidentes). ^{[6] [7]}

Qué hacer cuando todo esté marcado

La checklist muestra lo que está configurado sobre el papel. Si de verdad funciona lo muestra una mirada independiente: un Security Assessment revisa cuentas, correo, servicios en la nube y permisos de acceso y explica qué corregir primero. Si tienes una web propia con área de clientes o una API, el siguiente paso es un pentest.

FAQ

¿Dónde encontrar una checklist gratuita de ciberseguridad para una empresa?

En esta página: 15 puntos con la forma de comprobar cada uno y un PDF para imprimir sin registro. Las checklists detalladas por tema están en la tabla de arriba.

¿Cuánto tiempo lleva revisar la checklist?

Normalmente una reunión de alrededor de una hora, si está presente alguien con acceso al centro de administración del correo. Las correcciones llevan más: el MFA y la regla para contabilidad se pueden implantar en una semana, poner en orden copias y accesos suele llevar unas semanas.

¿Se puede repasar la checklist sin un especialista de IT?

En parte. Los puntos sobre personas e incidentes los puede comprobar el dueño solo. Para cuentas, correo y copias hace falta alguien con acceso al centro de administración, casi siempre el proveedor de IT.

¿Cada cuánto hay que repetir la revisión?

Cada trimestre y tras cambios grandes: un servicio nuevo, una migración del correo, un cambio de proveedor de IT, la salida de alguien con accesos amplios.

¿Basta con una checklist para estar seguro?

No. Cierra los caminos más sencillos que suelen usar los atacantes, pero no descubre problemas ocultos. Para eso hace falta una revisión independiente, como un Security Assessment.

Referencias

1. NCSC: Small organisations guide to cyber security ncsc.gov.uk
2. ENISA: Cybersecurity guide for SMEs, 12 steps to securing your business enisa.europa.eu
3. NIST: Small Business Cybersecurity Corner nist.gov
4. Microsoft: Control external email forwarding learn.microsoft.com
5. NCSC: Keeping devices and software up to date ncsc.gov.uk
6. NCSC: Incident management ncsc.gov.uk
7. CERT-UA: Computer Emergency Response Team of Ukraine cert.gov.ua