Por dónde empezar en ciberseguridad con recursos limitados

Sabes que tienes que hacer algo en ciberseguridad y no sabes por dónde empezar. Cada artículo que lees propone una cosa distinta, cada proveedor recomienda justo el servicio que vende, y tú tienes un presupuesto que no da para todo y un equipo que ya va justo de tiempo. La buena noticia es que el orden importa más que el presupuesto: hay una secuencia que da resultados desde el primer mes en una pyme de 10 a 50 empleados, y empieza por cosas que no cuestan dinero.

La regla que ordena todo lo demás

Antes de comprar nada, aplica un criterio sencillo: gasta primero en lo que reduce más riesgo por euro, no en lo que suena más avanzado. En una empresa sin equipo de seguridad propio, lo que más riesgo elimina casi nunca es una herramienta cara. Suele ser saber qué tienes, quién puede entrar y qué haces si algo falla.

El error clásico es empezar por el final: contratar una solución sofisticada para una empresa que todavía no sabe cuántos servidores tiene expuestos a internet ni quién sigue teniendo acceso a la cuenta de correo de un empleado que se fue hace ocho meses.

Mes uno: saber qué tienes y quién entra

El primer paso no cuesta dinero, cuesta un par de tardes. Haz un inventario honesto de lo que tu empresa usa a diario:

• Servicios en la nube contratados: correo, almacenamiento, ERP, CRM, facturación, herramientas de marketing.
• Servidores y equipos, incluidos los que están en una oficina antigua o bajo la mesa de alguien.
• Dominios y páginas web publicadas, con las que están abandonadas incluidas.
• Quién tiene acceso a cada cosa y con qué nivel de permisos.
• Personas que ya no trabajan en la empresa y siguen teniendo cuentas activas.

Ese último punto suele producir la primera sorpresa. Cerrar accesos que sobran no cuesta nada, se hace en una mañana y elimina una vía de entrada real. Es la mejor relación entre esfuerzo y riesgo evitado que vas a encontrar en todo el proceso.

Mes uno también: el segundo factor en lo que de verdad importa

Activar la verificación en dos pasos en las cuentas críticas es la medida individual con mayor impacto en una pyme. El correo electrónico es la primera, porque quien controla el correo puede recuperar contraseñas de casi todo lo demás. Después van la banca electrónica, el acceso administrador de tus servicios cloud y cualquier sistema que guarde datos de clientes.

La mayoría de los servicios que ya pagas incluyen esta función sin coste adicional. La objeción habitual es que incomoda al equipo, y se resuelve explicando por qué se hace antes de activarlo, no después.

Mes dos: copias de seguridad que alguien haya probado

Casi todas las pymes tienen copias de seguridad. Muchas menos han comprobado alguna vez que se pueden restaurar. La diferencia entre las dos situaciones aparece justo el peor día posible, cuando el ransomware ya ha cifrado los datos y la copia resulta estar cifrada también, o incompleta, o de hace cinco meses.

Comprueba tres cosas y anota la fecha en que las comprobaste: que la copia incluye realmente todo lo que necesitas para seguir operando, que existe al menos una versión fuera del alcance de tus sistemas conectados, y que alguien ha restaurado un archivo de prueba y ha funcionado. Repite la prueba cada trimestre.

Mes dos y tres: la gente, que es por donde entran

La mayoría de los incidentes en empresas de este tamaño empiezan con una persona que hace clic donde no debe o que atiende una petición que parece legítima. Dos escenarios concretos merecen una conversación explícita con tu equipo:

El fraude del CEO: un correo que parece de dirección o de un proveedor conocido pide una transferencia urgente o comunica un cambio de número de cuenta. El control que lo corta no es técnico, es de proceso: cualquier pago o cambio de cuenta bancaria se verifica llamando a un número que ya tenías, nunca al que aparece en el mensaje.

El smishing: SMS que suplantan a la AEAT, a Correos, a la Seguridad Social o a un banco, con un enlace que pide credenciales. Explica a tu equipo que estos organismos no piden datos ni pagos por SMS, y que ante la duda se entra escribiendo la dirección oficial en el navegador.

Estas dos conversaciones cuestan una reunión de treinta minutos y evitan los dos fraudes más frecuentes en una pyme española.

Mes tres: mira desde fuera lo que ve un atacante

Llegados a este punto ya has cubierto lo básico y toca dejar de suponer. Un análisis de vulnerabilidades sobre lo que tienes publicado en internet responde a una pregunta concreta: qué encuentra alguien que busca puntos débiles en tu empresa sin tener ningún acceso previo.

Los hallazgos típicos en una empresa de este tamaño son reconocibles: un panel de administración accesible desde cualquier IP, un servicio antiguo que nadie recordaba, un certificado caducado, un sistema sin actualizar desde hace años porque «funciona y nadie lo toca». Una auditoría de seguridad convierte esas suposiciones en una lista concreta y priorizada, y esa lista es la que te permite gastar el presupuesto donde toca.

A partir del mes cuatro: convertirlo en rutina

Lo que separa a una empresa que mejora de una que hace un esfuerzo puntual y vuelve al punto de partida es la frecuencia. Los sistemas cambian, se publican vulnerabilidades nuevas cada semana y el inventario que hiciste en enero está desactualizado en junio.

La gestión de vulnerabilidades es exactamente ese paso: revisión periódica, priorización de lo que importa según tu contexto y seguimiento hasta que cada problema queda corregido. Sin ese seguimiento, un informe de auditoría se convierte en un PDF que nadie abre.

Además, dedica una hora a escribir un plan mínimo de respuesta a incidentes en una sola página: quién decide, a quién se llama, qué se desconecta primero, dónde están los teléfonos de los proveedores y qué se comunica a clientes. Nadie improvisa bien a las tres de la mañana.

Lo que puedes dejar para más adelante

Con recursos limitados también hay que decidir qué no se hace todavía. Estas cosas pueden esperar sin que tu riesgo real suba de forma apreciable:

• Certificarte en ISO 27001. Es un abre-puertas comercial cuando un cliente o un concurso lo pide, y ese momento llega antes o después, pero no es una obligación legal ni el primer paso.
• Herramientas de detección avanzada si todavía no tienes a nadie que revise sus alertas. Una alarma que nadie escucha no protege nada.
• Pruebas de penetración exhaustivas antes de haber corregido lo que un análisis básico ya encuentra.

Sobre ayudas públicas, conviene tener el dato correcto: las convocatorias de Kit Digital y Kit Consulting han finalizado, así que hoy no puedes solicitarlas. Lo razonable es tener documentado tu inventario y tus prioridades para poder moverte rápido si se abre una convocatoria futura.

El resumen en una frase

Empieza por saber qué tienes y quién entra, protege el correo con segundo factor, prueba tus copias de seguridad, habla con tu equipo del fraude del CEO y del smishing, y solo entonces mira desde fuera y conviértelo en una rutina. Ese orden cabe en un trimestre, no requiere un departamento propio y deja tu empresa en mejor sitio que la mayoría de las de su tamaño. El primer paso concreto, si quieres dejar de suponer, es medir dónde estás hoy.