En este artículo
La mayor parte de los incidentes de seguridad en una pyme no nace de un ataque sofisticado, sino de un gesto que parecía normal: la misma contraseña en el email y en la web de la empresa de transportes, la "factura" abierta como adjunto, el pendrive traído de casa, la contraseña prestada al compañero nuevo "solo por hoy". Sin reglas escritas, nadie ha hecho nada mal. La ciberseguridad gestionada empieza por siete políticas cortas, una hoja cada una, que todos han leído y firmado.
Las siete políticas de un vistazo
| Política | Pregunta a la que responde |
|---|---|
| Contraseñas y MFA | ¿Cómo se protegen las cuentas? |
| Equipos | ¿Qué dispositivos acceden a los datos, y cómo? |
| Email y comunicaciones | ¿Qué hacer con un email sospechoso? |
| Accesos | ¿Quién ve qué? |
| Copias de seguridad | ¿Qué se copia, adónde y cómo se prueba? |
| Respuesta a incidentes | ¿Y si ocurre? |
| Altas y bajas | ¿Qué cambia cuando alguien llega o se va? |
Proteger las cuentas: contraseñas y autenticación
- Frases largas 14 caracteres o más, en lugar de combinaciones cortas con símbolos.
- Una por servicio Guardadas en el gestor de contraseñas de la empresa, nunca enviadas por email o mensaje.
- MFA obligatorio En el email, en los archivos y en cualquier acceso remoto, sin excepción para la dirección, que es el objetivo preferido.
- Cuentas compartidas La contraseña cambia siempre que alguien se va.
Detallamos el porqué y el cómo en gestor de contraseñas en la empresa.
Controlar los dispositivos: política de equipos
Los equipos de la empresa tienen protección instalada, actualizaciones automáticas y disco cifrado. Los equipos personales acceden al email y a los archivos desde el navegador, sin descargar al disco. Los portátiles no se quedan en el coche, y una pérdida o un robo se comunica el mismo día para bloquear el acceso a distancia. Solo se instala software de la lista aprobada, y esa lista existe.
Frenar el fraude: email y comunicaciones
Un email sospechoso se reenvía al equipo de IT; no se responde ni se hace clic. Cualquier petición de cambio de IBAN de un proveedor se confirma por teléfono, a un número ya conocido, nunca al que aparece en el email. Es la defensa más eficaz contra el fraude de la factura alterada. Los datos de clientes no circulan por email personal ni por aplicaciones de mensajería.
Limitar permisos: política de accesos
- Acceso mínimo Cada persona ve solo lo que exige su función.
- Revisión semestral Permisos de carpetas compartidas y SharePoint revisados dos veces al año.
- Administración reservada Derechos de administrador solo para el equipo de IT.
- Proveedores controlados Accesos individuales, temporales y registrados.
- Cambio de función Se retiran los accesos antiguos, no solo se añaden los nuevos.
Es el principio de acceso mínimo aplicado en la práctica, como explicamos en Zero Trust en 4 pasos para pymes.
Garantizar la recuperación: copias de seguridad
La política define qué se copia, con qué frecuencia, adónde y durante cuánto tiempo. Al menos una copia queda fuera del edificio y es inmutable, para resistir al ransomware. Las pruebas de restauración tienen fecha fijada y resultado registrado, y está definido quién recibe las alertas de fallo y en cuánto tiempo las trata. Vea cómo funciona el backup gestionado y qué añade un plan de disaster recovery y continuidad de negocio.
Preparar el peor día: respuesta a incidentes
Una página que responde a "¿y si ocurre?":
- Quién avisa a quién — y en qué orden.
- Qué se aísla primero — el puesto afectado, no el servidor entero.
- Quién comunica — con clientes y proveedores, y quién no habla.
- Notificaciones obligatorias — a la CNPD (autoridad portuguesa de protección de datos) en 72 horas cuando hay datos personales; al Centro Nacional de Cibersegurança para las entidades sujetas a NIS2.
- Contactos en papel — del proveedor de IT y del seguro, porque el día del incidente el email puede estar caído.
Las cuatro fases de un ciberataque ayudan a entender dónde encaja cada acción.
Cerrar puertas: altas y bajas de personas
Alta: cuenta con los permisos de la función, MFA el primer día, equipo entregado con registro y 30 minutos de presentación de estas políticas. Baja: cuenta desactivada el último día, no la semana siguiente; reenvío del email definido; equipo devuelto y revisado; contraseñas compartidas cambiadas; accesos de proveedores a nombre de esa persona revocados. Las cuentas activas de antiguos empleados están entre los fallos que más encontramos en las auditorías.
Del documento a la práctica
Cada política cabe en media página. Parta de lo que la empresa ya hace bien, añada lo que falta y evite prohibiciones que nadie va a cumplir: una regla ignorada debilita todas las demás. Apruébelas con la gerencia, preséntelas en una sesión corta, recoja las firmas y revíselas una vez al año.
En los contratos de ciberseguridad gestionada de DataRoad entregamos modelos de estas siete políticas adaptados a la empresa y verificamos, en el informe mensual, lo que se está cumpliendo técnicamente: MFA activo, cuentas desactivadas, copias probadas. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad.
Preguntas frecuentes
¿Una empresa de 12 personas necesita de verdad políticas escritas?
Necesita las mismas siete, más cortas. Los riesgos son iguales; solo cambia el número de personas que las leen. En una empresa pequeña, una cuenta olvidada de alguien que se fue pesa incluso más.
¿Estas políticas cumplen el RGPD y la NIS2?
Forman parte de las medidas técnicas y organizativas que ambos exigen. No sustituyen el registro de actividades de tratamiento del RGPD ni el análisis de riesgos de la NIS2, pero son la base de esos documentos.
¿Quién firma?
Todos los que acceden a los sistemas, incluidos becarios, temporales y gerencia. La firma es lo que permite exigir el cumplimiento.
¿Cuándo se revisan?
Una vez al año y siempre que haya un cambio relevante: nuevo software de gestión, teletrabajo generalizado, un incidente o un cambio legal.
Siguiente paso: las siete políticas adaptadas a su empresa
Entregamos los modelos, los ajustamos a su realidad y configuramos la parte técnica (MFA, accesos, copias) para que el papel se corresponda con la práctica. Conozca la ciberseguridad gestionada de DataRoad y solicite una propuesta sin compromiso.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Llame al +351 211 459 950* o escriba a sales@dataroad.pt.
*Llamada a la red fija nacional portuguesa.
