Contenido del artículo
Empieza por las cuentas: activa a todo el mundo un segundo factor de acceso, quita los permisos de administrador que nadie necesita y cierra los accesos de quienes ya se fueron. Después vienen las copias de seguridad que de verdad has restaurado, la protección del correo, las actualizaciones de los sistemas visibles desde internet, un gestor de contraseñas, una regla para verificar cambios de cuenta bancaria, una revisión de lo que se ve de ti desde fuera y una lista de contactos para incidentes.
Para esto no hace falta un CISO (un responsable de seguridad dedicado). Cada punto se revisa en unos 15 minutos y lo hacen el dueño, el contable, la persona de oficina o el proveedor externo de informática. El orden importa: los primeros puntos cierran las vías típicas por las que empiezan los problemas en empresas pequeñas, como una contraseña robada, un correo de pago falso o un servidor olvidado. [1]
En resumen
- Los tres primeros pasos tratan de personas y accesos: segundo factor de acceso, permisos de administrador, bajas. Casi no cuestan dinero.
- Una copia de seguridad solo cuenta si alguna vez has restaurado un archivo desde ella. Compruébalo esta semana.
- Contabilidad necesita una regla sencilla: un cambio de cuenta bancaria se confirma llamando a un número conocido, nunca respondiendo al correo.
- La responsabilidad se reparte entre el dueño, el contable, la persona de oficina y el proveedor de informática. La tabla de abajo muestra quién hace qué.
- Con lo básico hecho, el siguiente paso es una revisión independiente, no más herramientas.
10 pasos por orden de prioridad
1. Cuentas y segundo factor de acceso (MFA)
Para qué. Una contraseña se puede robar con un correo de phishing o encontrar en una filtración antigua. El MFA (acceso con un código extra o una confirmación en el móvil) hace que la contraseña sola ya no baste a los atacantes. [2] [3]
Cómo revisarlo en 15 minutos. En el centro de administración de Microsoft 365 o Google Workspace abre la lista de usuarios y mira quién no tiene el MFA activado. Luego repasa los servicios fuera del correo: banca en línea, programa de contabilidad, CRM, alojamiento de la web, registrador del dominio, páginas de la empresa en redes sociales.
Quién lo hace. El proveedor de informática lo activa, el dueño vigila que no haya excepciones, empezando por sí mismo.
2. Quién tiene permisos de administrador
Para qué. Un administrador puede hacerlo todo: leer el correo de otros, crear usuarios, desactivar la protección. Si los atacantes se hacen con una cuenta así, el daño es máximo. Menos administradores significa menos puertas de ese tipo.
Cómo revisarlo en 15 minutos. Abre la lista de roles en el centro de administración. A una empresa de 30 personas le suelen bastar dos o tres administradores. La cuenta de administrador debe ser distinta de la de diario con la que se lee el correo, y siempre con MFA. Revisa también los portátiles: ¿trabaja la gente con permisos de administrador en su propio equipo?
Quién lo hace. El proveedor de informática enseña la lista, el dueño decide quién se queda.
3. Cerrar accesos cuando alguien se va
Para qué. El acceso de un antiguo empleado sigue siendo un riesgo aunque sea una persona honrada. Su contraseña puede robarse después de irse y nadie lo nota, porque nadie vigila esa cuenta.
Cómo revisarlo en 15 minutos. Toma la lista de quienes se fueron en el último año y comprueba a cada uno en el correo, el CRM, la banca en línea, las unidades en la nube, los chats de trabajo y las redes sociales de la empresa. Escribe una lista corta de «qué cerrar el último día» y entrégala a quien gestiona las bajas.
Quién lo hace. Recursos humanos o la persona de oficina inicia el proceso, el proveedor de informática cierra los accesos ese mismo día.
4. Copias de seguridad que de verdad has restaurado
Para qué. Una copia de seguridad te salva tras un virus que cifra archivos, un error de alguien o un fallo de disco. Pero a menudo resulta que la copia está incompleta, es antigua o estaba donde también la cifraron.
Cómo revisarlo en 15 minutos. Pide restaurar un archivo cualquiera y una base de datos, por ejemplo la de contabilidad, tal como estaban ayer. Cronométralo. Asegúrate de que al menos una copia se guarda aparte: no en el mismo servidor y no con las mismas contraseñas. [4]
Quién lo hace. El proveedor de informática lo configura, el dueño pide ver una restauración en directo cada trimestre.
5. Protección del correo
Para qué. Por el correo llegan el phishing (mensajes que se hacen pasar por otra persona) y las facturas falsas. [5] Los registros SPF, DKIM y DMARC (ajustes del dominio que indican a los servidores de correo quién puede enviar en tu nombre) dificultan que alguien falsifique tu dirección.
Cómo revisarlo en 15 minutos. Pide al proveedor de informática que te muestre si SPF, DKIM y DMARC están configurados para tu dominio y si se analizan adjuntos y enlaces. Aparte, averigua si está bloqueado el reenvío automático a direcciones externas: es la forma más habitual de seguir leyendo en silencio el correo de otro. [6]
Quién lo hace. El proveedor de informática lo configura. A las personas se les enseña a detectar correos sospechosos, y una simulación de phishing muestra si eso funciona en la práctica.
6. Actualizaciones de los sistemas accesibles desde internet
Para qué. La web, la VPN (acceso remoto seguro a la red de la oficina), el servidor de correo, el escritorio remoto: los atacantes rastrean automáticamente todo lo que se ve desde internet. Una vulnerabilidad conocida en una versión antigua a menudo se convierte en una entrada sin contraseña.
Cómo revisarlo en 15 minutos. Pide una lista: qué tiene la empresa expuesto a internet, qué versión funciona ahí y cuándo se actualizó por última vez. Si alguna respuesta es «no lo sé», eso ya es un hallazgo. [7]
Quién lo hace. El proveedor de informática o quien desarrolla la web. El dueño fija la regla: las actualizaciones críticas de estos sistemas se instalan en pocos días, no «algún día».
7. Un gestor de contraseñas
Para qué. Sin él, la gente repite la misma contraseña en todas partes o las guarda en una hoja de cálculo. Un gestor de contraseñas (una aplicación que guarda y genera contraseñas) da a cada servicio una contraseña larga y única y permite compartir accesos comunes de forma segura. [8]
Cómo revisarlo en 15 minutos. Pregunta a tres empleados dónde guardan las contraseñas de los servicios de trabajo. Busca en la unidad compartida archivos tipo «contraseñas.xlsx».
Quién lo hace. El dueño elige un plan para empresas, el proveedor de informática lo implanta, cada persona traslada sus propias contraseñas.
8. Una regla para verificar cambios de cuenta bancaria
Para qué. Un esquema típico: el contable recibe un correo del «proveedor» o del «director» con una cuenta bancaria nueva o un pago urgente. El correo puede llegar incluso desde un buzón real pero hackeado. La tecnología no lo frena, una regla sí.
Cómo revisarlo en 15 minutos. Pregunta al contable qué haría si un proveedor le avisa por correo de una cuenta nueva. La respuesta correcta: llamar al número que ya figura en el contrato o en la ficha del proveedor, no al del correo. Pon la regla por escrito y asegúrate de que la conoce todo el que hace pagos.
Quién lo hace. El dueño la aprueba, el jefe de contabilidad la aplica sin excepciones, ni siquiera para «uno urgente del director».
9. Lo que se ve de ti desde internet
Para qué. Las empresas a menudo no conocen todas sus direcciones: una web de pruebas antigua, un panel de control olvidado, un servicio de un proveedor en tu dominio. Nadie actualiza lo que nadie sabe que existe.
Cómo revisarlo en 15 minutos. Reúne la lista de dominios y subdominios en el registrador y en la configuración DNS (la agenda de direcciones de tu dominio), y pregunta a desarrolladores y proveedores qué han puesto en marcha. Compárala con lo que crees tener. Una visión externa más completa la da una External Security Review.
Quién lo hace. El proveedor de informática hace la lista, el dueño decide qué apagar.
10. Una lista de contactos para incidentes
Para qué. Cuando algo pasa, la mayor parte del tiempo se pierde buscando: quién tiene acceso de administrador, cuál es el teléfono del banco, quién decide apagar un sistema. Una página de contactos ahorra ese tiempo. [9]
Cómo revisarlo en 15 minutos. ¿Existe en papel, no solo en un correo que también podrían hackear, una lista con el proveedor de informática, el banco, el alojamiento, el registrador del dominio, un abogado y el equipo nacional de respuesta? En Ucrania son el CERT-UA y la policía cibernética. ¿Quién decide si el dueño no está disponible?
Quién lo hace. La persona de oficina la redacta, el dueño comprueba cada seis meses que los teléfonos siguen siendo válidos. Qué hacer cuando el incidente ya ha ocurrido lo explico en han hackeado el correo de la empresa: los primeros 30 minutos.
Quién se encarga y cada cuánto
| Qué | Quién se encarga | Cada cuánto |
|---|---|---|
| MFA en todas las cuentas | Proveedor de informática, lo controla el dueño | A cada persona nueva el primer día, revisión trimestral |
| Permisos de administrador | Dueño | Cada trimestre |
| Cierre de accesos | Recursos humanos u oficina junto con informática | El día de la baja |
| Restauración desde copia | Proveedor de informática, el dueño lo ve | Cada trimestre |
| Protección del correo (SPF, DKIM, DMARC, reenvío) | Proveedor de informática | Configurar una vez, revisar cada seis meses |
| Actualizaciones de sistemas visibles desde internet | Proveedor de informática, desarrollador web | Críticas en pocos días, el resto cada mes |
| Gestor de contraseñas | El dueño elige, informática lo implanta | Una vez, luego con cada nueva incorporación |
| Verificación de cambios de cuenta bancaria | Jefe de contabilidad | Cada solicitud de ese tipo |
| Lo que se ve desde internet | Proveedor de informática | Cada seis meses y tras lanzar servicios nuevos |
| Contactos para incidentes | Persona de oficina | Cada seis meses |
Qué hacer cuando lo básico está hecho
Estos diez puntos no hacen invulnerable a una empresa, pero eliminan las vías más sencillas que suelen usar los atacantes. A partir de ahí tiene sentido una mirada independiente: un Security Assessment revisa cuentas, correo, nube y permisos de acceso y muestra qué parte de esta lista funciona de verdad y qué existe solo en el papel.
Si los riesgos están en varios sitios a la vez, es más cómodo reunir las revisiones en el Veiltrack Security Program: un alcance acordado, un informe y una persona responsable. Un pentest no suele ser el primer paso para una empresa de este tamaño. Hace falta cuando tienes un producto propio: una web con área de clientes, una API, pagos.
Errores habituales
- Comprar una herramienta en lugar de fijar una regla. Un programa nuevo no sirve si contabilidad sigue pagando con datos sacados de un correo.
- Excepciones para directivos. Un director sin MFA porque es «incómodo» tiene la cuenta más valiosa de la empresa.
- Una copia que nadie ha restaurado. Descubres que no funciona en el peor momento.
- Todo depende de una persona. El acceso al correo, al dominio y al alojamiento debe ser de la empresa, no solo del proveedor. Comprueba que puedes entrar sin él.
Checklist para esta semana
Descargar la lista de preparación (PDF)PDF · A4
FAQ
¿Necesita una empresa de 30 personas un responsable de seguridad dedicado?
Normalmente no. En esta etapa importa más que cada punto tenga una persona responsable y que alguien compruebe con regularidad que sigue funcionando. Una revisión independiente al año aporta una mirada externa.
¿Cuánto tiempo lleva esta lista?
Revisar cada punto lleva unos 15 minutos, es decir, unas horas para toda la lista. Corregir depende de lo que encuentres: el MFA y la regla de pagos se pueden implantar en una semana, poner orden en copias y accesos suele llevar unas semanas.
¿Por dónde empiezo si casi no tengo tiempo?
Por el MFA en el correo y la banca en línea, y por la regla de verificación de cuentas bancarias. Es el menor esfuerzo con el mayor beneficio para una empresa pequeña.
¿Basta con un antivirus?
No. El antivirus protege un ordenador, pero no ayuda si robaron la contraseña del correo o si contabilidad pagó una factura falsa.
¿Cuándo necesita un pentest una empresa de este tamaño?
Un pentest hace falta cuando tienes una web propia con área de clientes, una API o pagos, o cuando un socio pide una prueba independiente. La diferencia entre tipos de pruebas la explico en pentest o escaneo de vulnerabilidades.
Referencias
- NCSC: Small organisations guide to cyber security ncsc.gov.uk
- Microsoft: Set up multifactor authentication for users learn.microsoft.com
- Google Workspace: Protect your business with 2-Step Verification support.google.com
- NCSC: Small organisations guide, backing up your data ncsc.gov.uk
- NCSC: Small organisations guide, avoiding phishing attacks ncsc.gov.uk
- Microsoft: Control external email forwarding learn.microsoft.com
- NCSC: Keeping devices and software up to date ncsc.gov.uk
- NCSC: Managing your passwords ncsc.gov.uk
- NCSC: Incident management ncsc.gov.uk
