Ciberseguridad para pymes: proteger lo que ya tenéis
La ciberseguridad para pymes empieza por saber qué hay que proteger. Una empresa pequeña suele tener un puñado de ordenadores, el correo, una web, algún programa en la nube, quizá un servidor propio o alquilado y las cuentas de unas cuantas personas. Ahí están las puertas por las que entra casi todo: una contraseña repetida, una cuenta de alguien que ya no trabaja con vosotros, un plugin sin actualizar en la web o una copia de seguridad que nadie ha probado nunca a restaurar.
Por eso no empezamos vendiendo nada. Nos contáis qué infraestructura tenéis, la revisamos y os decimos qué hay que hacer, en qué orden y cuánto cuesta. Lo pensamos para empresas de unas pocas personas a unas decenas. Si sois una multinacional con un departamento de sistemas, lo que necesitáis es otro tipo de proveedor, y os lo decimos al final de esta página.
Auditoría de ciberseguridad: qué revisamos
Una auditoría de ciberseguridad para una empresa pequeña repasa todo lo que puede dejar entrar a alguien o haceros perder datos. Revisamos solo lo que tenéis, sin plantillas de cien puntos que no os aplican:
- Cuentas y contraseñas. Quién tiene acceso a qué, si hay cuentas de personas que ya se fueron, si se repiten contraseñas, si hay doble factor en el correo y en los programas importantes, y dónde se guardan las contraseñas hoy.
- Correo. Si vuestro dominio está protegido para que nadie pueda mandar correos haciéndose pasar por vosotros (los registros SPF, DKIM y DMARC) y si las cuentas tienen reglas de reenvío que nadie recuerda haber puesto.
- Servidores. Actualizaciones, puertos abiertos, quién puede entrar y cómo, si hay cortafuegos y bloqueo de quien prueba contraseñas, y qué programas corren con más permisos de los que necesitan.
- Web. Versión del gestor de contenidos y de sus plugins, usuarios administradores, ficheros que no deberían estar ahí y accesos que sobreviven a un cambio de contraseña.
- Copias de seguridad. Qué se copia, dónde, cada cuánto, si una copia está fuera del alcance de un virus que cifre la oficina y, sobre todo, si alguna vez se ha probado a restaurar.
- Equipos y personas. Ordenadores sin actualizar, antivirus, quién es administrador en su equipo y si el equipo sabe reconocer un correo de suplantación.
Lo que hemos aprendido protegiendo nuestros propios servidores
Antes de ofrecer esto lo aplicamos en los servidores que gestionamos, con decenas de webs de empresas. De ahí salen algunas lecciones que se repiten en casi cualquier empresa:
- Cambiar la contraseña no siempre echa al intruso. WordPress, por ejemplo, permite crear contraseñas de aplicación que siguen funcionando aunque cambies la principal y que no se ven a simple vista en el panel. Hay que buscarlas y borrarlas a propósito.
- El antivirus no lo ve todo. Un atacante puede dejar una regla en un fichero de configuración que manda a parte de las visitas a otra web. No es un virus, así que ningún antivirus lo marca. Se encuentra comparando cada fichero con el original.
- Una copia que no se ha restaurado no es una copia. Hemos visto copias que se hacían cada noche y no incluían la base de datos. Solo te enteras al intentar recuperar algo, que es el peor momento.
- Los avisos que nadie lee no sirven. Los servidores registran cada intento de entrada, pero esos registros son miles de líneas al día. Si nadie los lee, es como no tenerlos.
Esa última lección es la que nos llevó a poner la IA a trabajar en la seguridad.
Cómo ayuda la IA en la seguridad informática de tu empresa
La IA no sustituye al antivirus, al cortafuegos ni a las copias. Hace lo que en una empresa pequeña no hace nadie por falta de tiempo: leer cada día lo que registran esos sistemas y contarlo en un lenguaje que se entiende. En la práctica, se instala una pequeña vigilancia en vuestro servidor o en vuestras cuentas en la nube que cada día:
- Repasa los intentos de acceso y separa el ruido de siempre de lo que sí merece mirarse, como una entrada correcta desde un país donde no tenéis a nadie.
- Comprueba que los ficheros de la web y del servidor no han cambiado sin una actualización que lo explique.
- Revisa que siguen activos el cortafuegos, el bloqueo de intentos y las actualizaciones automáticas, y que la copia de anoche se hizo y se puede leer.
- Busca cuentas sin doble factor, usuarios que ya no deberían existir y contraseñas que aparecen en filtraciones conocidas, sin ver nunca las contraseñas.
- Os manda un resumen corto con lo que hay que hacer y por qué, en vez de un informe técnico que nadie abre.
La regla es que la IA propone y una persona decide. Puede bloquear de inmediato lo evidente, como una dirección que prueba contraseñas sin parar, pero cualquier cambio en la configuración, en las cuentas o en los permisos lo aprueba alguien antes de aplicarse.
Cómo blindar tu empresa: lo que solemos recomendar
Cada informe es distinto, pero en casi todas las empresas pequeñas acaban apareciendo las mismas medidas. Ninguna es cara y, juntas, cierran la mayoría de las puertas por las que entran los ataques:
Un gestor de contraseñas para la empresa
Una contraseña distinta y larga para cada servicio, guardada en un gestor de contraseñas para empresas con bóvedas compartidas por departamento. Cuando alguien se va, se le quita el acceso a todo de una vez y se sabe qué contraseñas conocía para cambiarlas.
Doble factor en todo lo importante
El correo, el banco, la web, los programas en la nube y el acceso a los servidores, con un segundo paso además de la contraseña. Es la medida que más ataques corta por sí sola.
Copias de seguridad que se pueden restaurar
Al menos una copia fuera de la oficina y fuera del alcance de un virus que cifre los archivos, y una prueba de restauración cada cierto tiempo para comprobar que de verdad sirve.
Servidores y web bien cerrados
Actualizaciones al día, solo los puertos necesarios abiertos, acceso al servidor con llave en lugar de contraseña, cada programa con su propio usuario y no con el de administrador, y bloqueo automático de quien prueba contraseñas.
Correo protegido contra la suplantación
Los registros SPF, DKIM y DMARC bien escritos para que nadie mande facturas falsas en vuestro nombre, y que vuestros correos lleguen a la bandeja de entrada de los clientes en lugar de al spam.
Un equipo que sabe qué no abrir
Una sesión corta para reconocer correos y mensajes de suplantación, sobre todo los que piden cambiar una cuenta bancaria o pagar con prisa. Si queréis algo más completo, encaja con nuestra formación en IA para empresas.
Servicios de ciberseguridad para empresas: cómo trabajamos
- Nos contáis qué tenéis. Una reunión para saber cuántas personas sois, qué ordenadores, servidores, web, correo y programas usáis y quién se ocupa hoy de cada cosa.
- Auditoría. Revisamos lo acordado con accesos de solo lectura, que se quitan al terminar.
- Informe con prioridades. Lo urgente, lo que conviene hacer este mes y lo que puede esperar, cada punto con su motivo y su coste, explicado para quien no es técnico.
- Aplicación, si queréis. Lo podéis aplicar con vuestro proveedor de siempre o encargárnoslo a nosotros.
- Vigilancia con IA. Opcional: la revisión diaria de la que hablamos arriba y un repaso cada cierto tiempo para ver qué ha cambiado.
Si en la auditoría salen tareas repetitivas que se podrían automatizar, como dar de alta y de baja a empleados en todos los programas, lo apuntamos. Es justo lo que hace la automatización de procesos con IA.
¿Cuánto cuesta la ciberseguridad para una pyme?
Depende de cuántas cosas haya que revisar, no del tamaño de la empresa sobre el papel. Una oficina con correo en la nube y una web no se parece a una empresa con servidor propio, programa de gestión y varias sedes.
| Concepto | De qué depende |
|---|---|
| Auditoría | Número de servidores, webs, cuentas en la nube y equipos que hay que revisar |
| Aplicar las mejoras | Cuántas medidas del informe nos encargáis y cuánto trabajo lleva cada una |
| Vigilancia con IA | Cuántos servidores y cuentas se vigilan y cada cuánto queréis el repaso |
| Herramientas | Las licencias del gestor de contraseñas o del antivirus se contratan con cada proveedor |
Cuándo necesitas otra empresa de ciberseguridad
Hay casos en los que no somos la mejor opción y preferimos decirlo. Si necesitáis un centro de operaciones que vigile las 24 horas con personas de guardia, una certificación como el Esquema Nacional de Seguridad o la ISO 27001, una prueba de intrusión firmada para un cliente o un análisis forense después de un ataque, lo que buscáis es una empresa de ciberseguridad especializada en eso. Y si el ataque está pasando ahora mismo, llamad primero al 017 de INCIBE. Si dudáis entre auditar la seguridad o empezar por otra parte, la consultoría de inteligencia artificial ayuda a ordenar las prioridades.