Ciberseguridad para una pyme:
por dónde empezar

Sí, precisamente por ser pequeña. Los ataques que llegan a una pyme no van dirigidos a ella: son campañas masivas de correos con facturas falsas, avisos del banco o contraseñas robadas en otra web, que prueban suerte con miles de empresas a la vez. Entra quien tiene la puerta peor cerrada, y las pymes tienen las puertas peor cerradas porque no hay nadie encargado. El atacante no sabe quién eres ni le importa: sabe que una empresa de ocho personas sin copias pagará antes que una grande con departamento de seguridad. Los avisos de INCIBE y los informes anuales del sector lo repiten cada año: la mayoría de incidentes en empresas españolas son en pymes, y la mayoría empieza por un correo.

Un antivirus para en la máquina lo que reconoce, y es necesario, pero no cubre lo que más entra. No evita que alguien escriba su contraseña en una web falsa del banco, ni que se pague una factura con el número de cuenta cambiado, ni que un Windows sin actualizar tenga un agujero conocido, ni que las copias estén en el mismo disco que el ransomware cifra. Los siete puntos de esta guía son lo que el antivirus no hace. Lo que sí conviene es que el antivirus esté gestionado: que alguien vea desde fuera si está activo en todos los equipos y qué ha detectado, en vez de confiar en que cada uno mire su icono.

Menos de lo que cuesta un solo incidente. Las copias probadas, las actualizaciones, el doble factor y la revisión de cuentas son sobre todo trabajo, no compras: un gestor de contraseñas y una copia en la nube para una empresa pequeña cuestan unos euros por usuario al mes. Lo que sí es una inversión es el cortafuegos de empresa y, si hay servidor, un SAI. Lo que más cuesta es el tiempo de hacerlo y de mantenerlo, y por eso en las pymes suele ir dentro de un contrato de mantenimiento, con un técnico que lo revisa cada mes. En nuestro caso, el plan Esencial con copias gestionadas, antivirus y actualizaciones parte de 49 € al mes, y el Gestionado con técnico asignado y monitorización, de 99 €; qué debe incluir un contrato de mantenimiento explica qué pedir en cualquier caso.

Darlas de baja el mismo día que se va la persona, y revisar cada pocos meses que no queda ninguna abierta. Es uno de los fallos más comunes y más fáciles de evitar: un exempleado con el correo activo, el acceso al programa de gestión o la contraseña del wifi que nunca se cambió. No hace falta pensar mal de nadie; basta con que su contraseña, que quizá repetía en otras webs, aparezca en una filtración. Lo mismo vale para proveedores y técnicos externos que tuvieron acceso para algo concreto. Una lista de quién tiene acceso a qué, revisada cada trimestre, es la herramienta; cuesta una hora.

Varias que ya aplican a cualquier empresa, y una que puede llegar. El RGPD obliga a proteger los datos personales con medidas adecuadas y a notificar a la AEPD una brecha de seguridad en 72 horas; una pyme con datos de clientes ya está dentro, y en la checklist RGPD para despachos y clínicas lo detallamos. La directiva europea NIS2, que España está trasladando a su ley, afecta a empresas medianas y grandes de sectores concretos, no a la pyme típica, pero sí a algunos de sus clientes, que empiezan a exigir a sus proveedores medidas por contrato. Y si manejas datos de salud o trabajas para la administración, hay requisitos propios. Lo que esta guía propone cubre lo razonable para cualquier pyme; lo que tu sector añada, con tu asesor.

Depende de qué. Si es un correo en el que alguien ha picado y ha dado una contraseña, en qué hacer si ya has picado está el orden de las primeras dos horas: cambiar accesos, avisar al banco si toca, denunciar. Si los ficheros aparecen cifrados o con una nota pidiendo dinero, en ransomware: las primeras horas está qué hacer y qué no: aislar, no apagar, no pagar, avisar. En los dos casos, el teléfono gratuito 017 de INCIBE atiende a empresas y particulares y orienta sobre los pasos y la denuncia. Y después del incidente, esta lista de siete puntos es justo lo que hay que revisar, porque algo de ella faltaba.