Las medidas mínimas de ciberseguridad que toda pyme debería tener

MFA, copias de seguridad, actualizaciones, formación: la mayoría de los ciberataques contra una pyme no necesitan técnicas sofisticadas, sino que aprovechan carencias básicas abiertas durante meses. Una contraseña reutilizada, un servidor que nunca se ha actualizado, una copia de seguridad que nadie ha intentado restaurar. Son problemas fáciles de describir y caros de sufrir.

En esta guía encontrarás las medidas mínimas de ciberseguridad que toda pyme debería tener, en orden de prioridad: primero las que cierran las puertas que más usan los atacantes, después las que te permiten volver a funcionar y por último las que convierten la seguridad en un hábito. La checklist se basa en las recomendaciones públicas de la Agencia Nacional de Ciberseguridad italiana (ACN), en la guía de ENISA para pymes y en los servicios del CSIRT Italia. Para cada medida vemos qué hacer, qué evidencia conservar y cómo se relaciona con los controles de la ISO/IEC 27001, para que el trabajo de hoy sea la base de un sistema de gestión mañana.

¿Qué son las medidas mínimas de ciberseguridad para una pyme?

Las medidas mínimas de ciberseguridad son las protecciones básicas que reducen los riesgos más comunes con un esfuerzo proporcionado al tamaño de la empresa. No son un producto que se compra, sino un conjunto de reglas, configuraciones y hábitos.

La ACN publica en su web una guía de ciberseguridad para pymes con consejos distintos para directivos, empleados y profesionales o proveedores TI. ENISA, la Agencia de la Unión Europea para la Ciberseguridad, ha publicado una guía en 12 pasos para pymes. Aunque con palabras distintas, las dos fuentes coinciden en los mismos puntos: autenticación robusta, copias de seguridad, actualizaciones, antivirus, cifrado, formación, gestión de proveedores y preparación ante incidentes.

Por qué empezar por lo básico y no por las herramientas avanzadas

Las medidas básicas van primero porque sin cimientos nada se sostiene. Un sistema de monitorización avanzado sirve de poco si la cuenta de correo del dueño está protegida con una contraseña que también usa en otros sitios.

El razonamiento es el mismo que el de un auditor: antes de evaluar controles sofisticados, se comprueba que los elementales existen y funcionan. Una pyme de 30 empleados rara vez tiene un equipo de seguridad dedicado. Tiene un responsable de TI interno, a menudo con otras tareas, o un proveedor externo. Por eso la checklist que sigue está ordenada por impacto y viabilidad, no por complejidad técnica.

Quién debe encargarse en la empresa

La seguridad de la información empieza por la dirección, no por el departamento de TI. Tanto la ACN como ENISA señalan como primer paso la asignación de una responsabilidad clara.

La ACN aconseja a los directivos nombrar a un responsable de ciberseguridad y reunirse con él periódicamente, alinear los objetivos de seguridad con los de la empresa y apoyar la protección de los procesos, sistemas y datos vitales. ENISA añade que quien tiene esta responsabilidad debe disponer de recursos: tiempo de las personas, herramientas, formación, políticas. En la práctica: un nombre, un presupuesto decidido por la dirección y una cita fija, aunque sea trimestral, para hacer balance.

Por dónde empezar: ¿qué debes proteger primero?

Antes de tocar una configuración, tienes que saber qué es vital para la empresa. La ACN indica identificar actividades, sistemas, servicios y datos críticos para priorizar las intervenciones.

Toma una empresa tipo: un taller mecánico con 40 empleados, un programa de gestión para pedidos y facturación, un buzón de correo para cada empleado de oficina, un servidor de archivos con los planos técnicos y algún acceso remoto para el proveedor de las máquinas de control numérico. Si se para el programa de gestión, la empresa no factura. Si desaparecen los planos, no produce. Si se compromete el correo de administración, alguien puede enviar a un cliente un IBAN falso.

Un inventario mínimo responde a cinco preguntas: qué sistemas usamos, dónde están los datos importantes, quién accede a ellos, quién los gestiona (personal interno o proveedores) y qué pasa si se paran un día. Basta con una hoja compartida y media jornada de trabajo con el responsable de TI. Este inventario es también el punto de partida del análisis de riesgos que exige la ISO/IEC 27001: no lo tiras, lo harás crecer.

Prioridad 1: ¿cómo proteger los accesos?

Los accesos son la primera línea porque una cuenta comprometida abre todas las puertas. Aquí se concentran las medidas con la mejor relación entre esfuerzo y resultado.

Autenticación multifactor (MFA)

La autenticación multifactor pide, además de la contraseña, una segunda prueba: un código de una app, una notificación, una llave física. Si roban la contraseña, por sí sola no basta.

La ACN recomienda activar la MFA sobre todo en el correo, el almacenamiento en la nube, las cuentas privilegiadas y los accesos remotos. Es exactamente el orden correcto para una pyme: el correo es el canal de los fraudes en los pagos, la nube contiene los documentos, las cuentas de administración lo controlan todo y los accesos remotos son una puerta abierta hacia el exterior. Un error típico es activar la MFA para los empleados y dejar fuera la cuenta del dueño o la cuenta compartida del proveedor de TI, que son justamente las más apetecibles.

Contraseñas, frases de paso y gestor de credenciales

Una buena contraseña es larga, única y difícil de adivinar. ENISA sugiere las frases de paso, es decir, al menos tres palabras comunes aleatorias unidas en una frase, fáciles de recordar y difíciles de adivinar.

Las reglas, tanto para la ACN como para ENISA, son pocas: no reutilizar las credenciales en otros servicios, no compartirlas con los compañeros, evitar información personal que se pueda encontrar en internet y usar un gestor de contraseñas dedicado. El caso clásico en una pyme es la contraseña única del programa de gestión escrita en un pósit junto al monitor de recepción y compartida por cuatro personas. Cuando alguien deja la empresa, nadie la cambia. Las cuentas nominativas y un gestor de contraseñas resuelven el problema y dejan rastro de quién ha hecho qué.

Privilegios de administrador reducidos al mínimo

Los usuarios no deberían tener derechos de administrador en su propio PC. La ACN indica limitar las cuentas privilegiadas a los administradores de sistemas estrictamente necesarios.

Además, quien administra debería usar una cuenta estándar para el trabajo diario y la de administración solo cuando sea necesario. El motivo es concreto: si un empleado abre un adjunto malicioso, el daño se queda limitado a sus permisos. Si ese empleado es administrador, el malware puede instalarse en cualquier parte. En muchas pymes los derechos de administrador se concedieron hace años "por comodidad", para instalar una impresora o un programa, y nunca se retiraron.

Prioridad 2: ¿cómo volver a funcionar tras un ataque o una avería?

Si un ataque tiene éxito, lo que cuenta es restaurar los datos en plazos aceptables. La copia de seguridad es la medida que separa un mal día de una interrupción que pone en riesgo la empresa.

Las reglas de una copia de seguridad que funciona

ENISA enumera cuatro reglas: copia regular y automatizada siempre que sea posible, guardada separada del entorno de producción, cifrada sobre todo si se traslada entre ubicaciones, y con la capacidad de restauración comprobada con regularidad. La ACN añade que hay que priorizar los datos críticos y combinar, cuando sea posible, copias locales y en la nube.

La separación del servidor es el punto más infravalorado. Un disco externo siempre conectado al servidor o una carpeta sincronizada en el mismo dominio pueden ser cifrados por el ransomware junto con los datos originales. La copia debe estar en un lugar que un atacante, una vez dentro de la red, no pueda alcanzar con las mismas credenciales.

La prueba de restauración: la evidencia que cuenta

Una copia nunca probada no es una garantía. Tanto la ACN como ENISA recomiendan pruebas periódicas de restauración completa de los datos.

Volvamos al taller: el proveedor de TI hace cada noche la copia del programa de gestión, pero nadie ha intentado nunca restaurarla en un servidor limpio. El día de la avería se descubre que la copia incluía los archivos de la base de datos pero no la configuración de la aplicación, y se tardan días en reconstruirla. Una prueba documentada, por ejemplo semestral, con fecha, resultado y tiempo empleado, habría sacado el problema a la luz antes. Ese registro es además una evidencia que el auditor de la ISO 27001 pide con gusto. Si quieres ir más allá de la copia y planificar cómo sigue trabajando la empresa durante una interrupción, el siguiente paso es un plan de continuidad de negocio.

Prioridad 3: actualizaciones, antivirus y cifrado

Esta prioridad sirve para cerrar las vulnerabilidades conocidas antes de que alguien las aproveche. Los atacantes usan a menudo fallos ya corregidos por el fabricante, pero todavía no instalados.

Actualizaciones y sistemas obsoletos

La ACN indica mantener actualizados los sistemas operativos y las aplicaciones, con actualizaciones automáticas o con una pauta que establezca las prioridades. ENISA añade que hay que identificar el software y los dispositivos que requieren actualizaciones manuales, sin olvidar smartphones y dispositivos IoT.

El problema más traicionero son los sistemas sin soporte: el viejo PC que gobierna una máquina de producción, el NAS comprado hace diez años, el cortafuegos cuyo fabricante ya no publica parches. La ACN recomienda evitarlos. Cuando no puedas sustituirlos enseguida, aíslalos de la red y anota la decisión con una fecha límite: un riesgo aceptado de forma consciente es distinto de un riesgo ignorado. El CSIRT Italia publica alertas y boletines sobre vulnerabilidades explotadas activamente: seguirlos ayuda a entender qué actualizaciones instalar primero.

Antivirus, protección del correo y cortafuegos

Todos los dispositivos necesitan un antivirus actualizado, preferiblemente con gestión centralizada, como indican tanto la ACN como ENISA. ENISA aconseja también herramientas que filtren spam, enlaces maliciosos y adjuntos infectados, y un cortafuegos que proteja la red de la empresa frente a internet.

La gestión centralizada marca la diferencia entre "tenemos antivirus" y "sabemos que funciona en todos los PC". Desde una consola, el responsable de TI ve qué dispositivos llevan semanas sin actualizarse o han detectado amenazas. Sin consola, lo descubre solo cuando hay un problema.

Cifrado de dispositivos y datos

El cifrado hace que los datos sean ilegibles para quien no tiene la clave. La ACN recomienda activarlo en todos los activos posibles: PC, servidores, smartphones y soportes extraíbles.

El caso típico es el portátil del comercial robado del coche. Si el disco está cifrado, has perdido un dispositivo. Si no lo está, has perdido también la lista de clientes, las ofertas y quizá datos personales, con posibles consecuencias según el RGPD. El artículo 32 del RGPD cita de hecho el cifrado entre las medidas de seguridad apropiadas, junto con la capacidad de restaurar rápidamente los datos y la verificación periódica de la eficacia de las medidas.

Prioridad 4: ¿por qué la formación es una medida técnica como las demás?

Muchos ataques empiezan con un mensaje bien construido: una factura falsa, un mensajero inexistente, un compañero que pide una transferencia urgente. Ningún filtro los bloquea todos, así que las personas tienen que saber reconocerlos.

La ACN pide a los empleados que participen en las iniciativas de formación, que presten atención a la ingeniería social y al phishing y que informen enseguida de correos, llamadas o SMS sospechosos. A los directivos les pide algo más: medir las competencias adquiridas, no solo impartir los cursos. ENISA distingue entre formación de concienciación para todos, basada en situaciones reales, y formación especializada para quien gestiona la seguridad.

En la práctica, a una pyme le funciona un ciclo sencillo: una sesión breve al incorporarse cada nuevo empleado, una actualización anual con ejemplos tomados del correo real de la empresa y un procedimiento de notificación que diga a quién reenviar un mensaje sospechoso. El error típico es el curso hecho una sola vez, con la hoja de firmas en un cajón y ninguna comprobación. Si quieres entender cómo trata la ISO 27001 la competencia y la toma de conciencia, encontrarás más detalles en la guía sobre competencia, formación y concienciación.

Prioridad 5: proveedores, accesos remotos y nube

Muchas pymes externalizan la TI, y así el riesgo entra por los proveedores. El técnico que se conecta en remoto, el programa de gestión en la nube, la asistencia de las máquinas: cada uno es una puerta.

La ACN recomienda elegir proveedores con niveles de seguridad adecuados y prever en los contratos requisitos proporcionados a la criticidad de los datos y servicios, incluidas cláusulas sobre la gestión de incidentes. Pide además especificar en los contratos todos los tipos de acceso remoto de los proveedores, limitados a las necesidades del servicio. ENISA añade que hay que revisar periódicamente las herramientas de acceso remoto, aplicando actualizaciones, MFA y monitorización.

Para la nube, la ACN sugiere aclarar qué queda a tu cargo entre los ajustes de seguridad y qué corresponde al proveedor. Un servicio en la nube no es seguro "por definición": si dejas una carpeta compartida públicamente, el proveedor no puede hacer nada. También hay que tener en cuenta la web de la empresa: ENISA recomienda pruebas de seguridad periódicas y, para las aplicaciones web expuestas, un test de intrusión de aplicaciones web muestra dónde están las debilidades.

Aquí también puede ayudarte Complaion, que realiza el WAPT (Web Application Penetration Test) y te ayuda a convertir los resultados en acciones con seguimiento dentro de tu sistema de gestión.

¿Qué hacer cuando algo sale mal?

Tarde o temprano ocurre un incidente, y la preparación marca la diferencia. ENISA recomienda un plan formal de respuesta a incidentes, con funciones y responsabilidades documentadas.

La ACN sugiere identificar de antemano las funciones internas y los contactos de proveedores y de emergencia, y realizar durante el año simulacros específicos. Para una pyme, el plan puede caber en dos páginas: quién decide, quién llama al proveedor de TI, quién valora si hay datos personales afectados, quién habla con clientes y empleados, dónde están los números útiles aunque la red esté caída. Guarda una copia impresa: si el ransomware cifra el servidor de archivos, el plan guardado en el servidor de archivos no sirve.

Recuerda dos canales. El CSIRT Italia, el equipo de la ACN para la respuesta a incidentes, pone a disposición un formulario para notificar un incidente informático. Si el incidente afecta a datos personales, valora con quien se ocupe de la privacidad las obligaciones ante la autoridad de protección de datos previstas por el RGPD; si no tienes una figura interna, puedes contar con el servicio de DPO externalizado de Complaion. Si tu empresa entra en el ámbito de la directiva NIS2, se añaden obligaciones específicas de medidas y notificación. En Italia la ACN ha definido las medidas básicas para los sujetos NIS2: si estás dentro del ámbito, esta lista es solo un punto de partida.

La checklist en resumen: medidas, evidencias y relación con la ISO 27001

La tabla resume las medidas en orden de prioridad, con la evidencia mínima que conservar y el tema de los controles de la ISO/IEC 27001 con el que se relacionan.

¿Cómo se relacionan las medidas mínimas con la ISO 27001?

Las medidas mínimas son un subconjunto natural de los controles de la ISO/IEC 27001. Quien las aplica bien ya ha recorrido parte del camino hacia la certificación.

El Anexo A de la ISO/IEC 27001 enumera 93 controles, agrupados en cuatro temas: organizativos, personas, físicos y tecnológicos, como recuerda el Journal del comité ISO/IEC JTC 1/SC 27. Sin embargo, la norma no pide aplicarlos todos sin más. Pide partir de un análisis de riesgos, elegir los controles necesarios y justificar inclusiones y exclusiones en la Declaración de Aplicabilidad. Es la diferencia entre una checklist y un sistema de gestión: la checklist te dice qué hacer, el sistema te obliga a decidir por qué, a comprobarlo y a mejorarlo con el tiempo. Para la estructura completa de la norma y de los controles, consulta la guía completa de la ISO 27001.

Aquí entra la forma de trabajar de Complaion. Un Lead Auditor dedicado acompaña a la empresa, parte de lo que ya tienes (las medidas de esta checklist, el inventario, los contratos con los proveedores) y propone el camino más adecuado a tus necesidades: consolidar lo básico, prepararte para la ISO 27001 o integrar las obligaciones de NIS2. La plataforma recoge las evidencias, como los registros de las pruebas de restauración o de la formación, gestiona los documentos, mantiene el calendario de vencimientos de los controles periódicos y prepara la auditoría. Así la seguridad no se queda en un proyecto puntual, sino que se convierte en una actividad con responsables y plazos.

Cómo te ayuda Complaion a poner en orden la seguridad

Las medidas mínimas de ciberseguridad no requieren grandes inversiones iniciales, pero sí constancia y método. El verdadero riesgo no es no saber qué hacer: es hacerlo una vez y después dejar de comprobarlo.

Complaion acompaña a más de 1.000 clientes con un modelo que une personas y herramientas. Tu Lead Auditor evalúa el punto de partida, define las prioridades y te guía, si tiene sentido para tu empresa, hacia la certificación ISO/IEC 27001. La plataforma mantiene juntos documentos, evidencias y plazos, para que siempre sepas qué se ha hecho, quién lo ha hecho y cuándo. La inversión depende del tamaño, el número de sedes, el alcance y las normas implicadas: para una valoración de tu caso, contáctanos y recibe un presupuesto.

Preguntas frecuentes sobre las medidas mínimas de ciberseguridad

¿Cuáles son las medidas mínimas de ciberseguridad para una pequeña empresa?

Las medidas mínimas incluyen autenticación multifactor, contraseñas robustas y no compartidas, privilegios de administrador limitados, copias de seguridad separadas y probadas, actualizaciones constantes, antivirus, cifrado de los dispositivos, formación del personal, requisitos de seguridad para los proveedores y un plan de respuesta a incidentes. Son los puntos en los que coinciden las recomendaciones de la ACN y la guía de ENISA para pymes. El orden importa: se empieza por los accesos y las copias de seguridad.

¿Son obligatorias las medidas mínimas de ciberseguridad?

Depende de tu empresa. El RGPD exige a quien trata datos personales medidas de seguridad apropiadas al riesgo, así que una parte de estas medidas afecta a casi todas las empresas. Las empresas incluidas en NIS2 tienen obligaciones específicas definidas por la normativa y por la ACN. Para las demás siguen siendo buenas prácticas, pero a menudo las exigen clientes, aseguradoras y licitaciones.

¿Por qué medida conviene empezar?

Conviene empezar por la MFA en el correo electrónico y en las cuentas de administración, porque requiere poco tiempo y bloquea muchos accesos con contraseñas robadas. Justo después viene la prueba de restauración de la copia de seguridad, que a menudo revela problemas ocultos. Ambas medidas se pueden poner en marcha sin proyectos largos, incluso con un proveedor de TI externo.

¿Basta un antivirus para proteger una pyme?

No, el antivirus es solo una de las medidas. No protege frente a contraseñas robadas, una transferencia autorizada a petición de un falso proveedor o una copia de seguridad que no funciona. Sirve como parte de un conjunto que incluye accesos protegidos, actualizaciones, copias de seguridad y formación.

¿Cada cuánto hay que probar la copia de seguridad?

Las fuentes oficiales hablan de pruebas regulares, sin fijar una frecuencia única válida para todos. La frecuencia depende de lo críticos que sean los datos y de la frecuencia con que cambian los sistemas. Una buena regla es probar tras cada cambio relevante de la infraestructura y, en cualquier caso, con una periodicidad definida, documentando fecha, resultado y tiempo de restauración.

Si aplico estas medidas, ¿cumplo con la ISO 27001?

No, las medidas mínimas cubren una parte de los controles del Anexo A, pero la ISO/IEC 27001 exige un sistema de gestión completo. Hacen falta análisis de riesgos, Declaración de Aplicabilidad, objetivos, auditoría interna y revisión por la dirección. Aun así, las medidas de esta guía son una base sólida desde la que empezar.

¿Qué debo hacer si mi empresa sufre un ataque?

Activa el plan de respuesta a incidentes, aísla los sistemas afectados y contacta con el proveedor de TI. Puedes notificar el incidente al CSIRT Italia mediante el formulario de la ACN; si tu empresa entra en la NIS2, la notificación es obligatoria y tiene plazos precisos, empezando por la alerta temprana en 24 horas. Si hay datos personales afectados, valora de inmediato las obligaciones de notificación previstas por el RGPD. Conserva las evidencias: sirven para el análisis y para las posibles comunicaciones.