Ciberseguridad proporcionada al riesgo real de tu empresa

Activar el doble factor en todas las cuentas de correo, empezando por las de dirección, administración y finanzas, y cerrar de paso los métodos de autenticación antiguos que permiten saltárselo. La inmensa mayoría de los incidentes que atendemos en pymes empiezan por una credencial robada, y el MFA convierte esa credencial en algo prácticamente inservible. Es gratis en los planes de Microsoft 365 y Google Workspace que ya estás pagando, y se despliega en días. Cualquier otra inversión antes de esto está mal ordenada.

Un buen firewall es útil, pero protege un perímetro que ya casi no existe. El correo está en la nube, los ficheros en SharePoint o Drive, y la gente trabaja desde casa y desde el móvil. Cuando un atacante entra con las credenciales legítimas de un usuario a través de la web de Microsoft 365, el firewall de la oficina no participa en la historia.

Además, un firewall mal configurado o sin nadie que revise sus alertas es un gasto sin retorno. Lo hemos visto muchas veces: equipo de gama alta, licencias de filtrado caducadas y reglas heredadas que nadie ha tocado en tres años. El dispositivo importa menos que quien lo mantiene.

Son el último recurso, y funcionan sólo si el ransomware no puede alcanzarlas. El malware busca activamente unidades de red, NAS mapeados y credenciales del sistema de copias para cifrarlos o borrarlos antes de mostrar la nota de rescate. Por eso una copia útil está fuera de la oficina o en almacenamiento inmutable, con credenciales propias que no se usan en el resto del entorno, y con retención suficiente para volver a un punto anterior a la infección, que puede ser de semanas atrás. Y hay que probar la restauración completa periódicamente: el momento de descubrir que la copia no sirve no puede ser el día del incidente.

El RGPD no publica una lista de productos a comprar. Exige medidas técnicas y organizativas apropiadas al riesgo de los datos que tratas, y que puedas demostrar que las has pensado y aplicado. En la práctica eso significa control de accesos, cifrado donde corresponda, copias, registro de tratamientos, contratos de encargado con tus proveedores tecnológicos y un procedimiento de notificación de brechas: si sufres una violación de seguridad con riesgo para las personas, hay 72 horas para notificar a la autoridad de control. Documentar el criterio es tan importante como aplicar la medida.

Depende del sector y del tamaño, y conviene mirarlo sin alarmismo. La directiva europea NIS2 designa entidades esenciales e importantes en sectores concretos —energía, transporte, sanidad, agua, banca, infraestructura digital, administración, ciertos servicios TIC y de fabricación, entre otros— y, por regla general, a partir de determinados umbrales de tamaño. La mayoría de pymes no son sujeto obligado directo. Donde sí les llega es por vía contractual: si eres proveedor de una empresa que sí está obligada, te va a pedir requisitos de seguridad, cláusulas y evidencias. Ahí lo práctico es tener ordenado lo básico y poder documentarlo.

Sirve, pero no como se suele plantear. Una charla anual de una hora no cambia comportamientos. Lo que funciona son sesiones cortas con ejemplos reales del sector, simulaciones de phishing sin ánimo de castigar a quien cae, y sobre todo una cultura en la que avisar de que has picado no tenga coste personal. El daño de un incidente depende casi por completo de lo rápido que se detecte, y el usuario que ha cometido el error es quien antes puede detectarlo. Si teme la bronca, callará, y ahí se pierden las horas que importan.