Ciberseguridad para pymes y empresas en España

Un pen test simula un ataque real sobre tus sistemas para encontrar dónde podría entrar un ciberdelincuente. Probamos activamente tus defensas con las mismas técnicas que usa un atacante real y te entregamos un informe con las vulnerabilidades encontradas y cómo corregirlas.

Sí. No hace falta un departamento de seguridad, pero sí tener definido quién accede a qué, cómo se hacen las copias de seguridad y qué hacer ante un incidente. Con eso ya se reduce considerablemente el riesgo y se cumplen los requisitos básicos del RGPD.

El Esquema Nacional de Seguridad es obligatorio para empresas que proveen servicios a la Administración Pública española. La ISO 27001 es un estándar internacional voluntario pero cada vez más exigido en licitaciones y contratos. Comparten muchos controles y pueden implementarse de forma conjunta para optimizar esfuerzo y coste.

Según el INCIBE-CERT, la mayoría de intrusiones en pymes no se detectan hasta semanas o meses después. Durante ese tiempo el atacante tiene acceso libre. La detección y respuesta ante incidentes en tiempo real cambia completamente ese escenario y limita el daño real.

Primero contener el daño: desconecta los equipos afectados de la red pero no los apagues (pueden contener evidencias forenses). Contacta con un equipo de respuesta ante incidentes inmediatamente. No pagues ningún rescate sin consultarlo antes. Documentar todo desde el primer momento es clave para la recuperación y para posibles denuncias.

Formamos a tu equipo en detección de phishing, buenas prácticas con contraseñas y dispositivos móviles, gestión segura de la información y qué hacer ante una sospecha de incidente. Incluimos simulaciones reales de ataques de ingeniería social para que el aprendizaje sea práctico y no solo teórico.

Sí, y probablemente ya te haya "visitado" un bot esta semana sin que lo sepas. En las auditorías que hacemos en CiberPyme a empresas de sectores tan distintos como industria, sanidad o servicios profesionales, el patrón se repite: la inmensa mayoría de los ataques no empiezan porque alguien decidiera atacar "a tu empresa", sino porque un escáner automático rastreó miles de direcciones IP buscando un puerto abierto, un CMS desactualizado o una contraseña por defecto, y la tuya apareció en la lista. El tamaño no te hace invisible; te hace, si no tienes nada montado, un objetivo más fácil que uno grande con vigilancia 24/7. La pregunta real no es "¿me van a atacar?" —ya te están escaneando—, sino "¿cuánto tardaría en darme cuenta si entraran?".

Tener antivirus y copias es como tener extintor y no haberlo probado nunca: crees que estás protegido hasta el día que lo necesitas. En las auditorías que hacemos en CiberPyme, uno de los hallazgos más repetidos —da igual el sector— es encontrar copias de seguridad que llevan meses o años haciéndose "correctamente" pero que nadie ha intentado restaurar nunca; cuando lo probamos, una parte importante falla o tarda tanto que la empresa igualmente se para varios días. Y el antivirus, por diseño, no está pensado para detener un correo de phishing bien hecho, un empleado que reutiliza contraseñas o un servidor con una actualización pendiente desde hace un año: ese es el terreno donde entran la mayoría de los incidentes reales. Tener herramientas no es lo mismo que tener un sistema de gestión que las revisa, las prueba y las actualiza. Esa gestión es, precisamente, lo que evalúa una auditoría ENS/ISO 27001 bien hecha.

Casi nunca lo tiene claro nadie. Y ese vacío, no el ataque en sí, es lo que más dinero cuesta. Cuando llegamos a una empresa después de un incidente, el daño técnico suele estar ya limitado o resuelto en horas; lo que se alarga son los días de parón mientras alguien decide si se apaga un servidor, si se avisa a un cliente, si se llama a un abogado o si se notifica a la AEPD. Sin un plan de respuesta escrito —con nombres, teléfonos y decisiones ya tomadas de antemano—, cada minuto se convierte en una reunión improvisada. Un plan de respuesta a incidentes no evita el ataque, pero puede reducir un parón de una semana a un día, porque las decisiones críticas ya estaban tomadas antes de que hiciera falta tomarlas con la cabeza fría... o no tan fría.

Pide ver el índice de un informe anterior (anonimizado) antes de contratar, y mira tres cosas: si cada hallazgo está vinculado a un control de un marco reconocido (ISO 27001, ENS, NIS2) o es solo "hemos encontrado esto con una herramienta"; si hay evidencia de entrevistas y revisión documental, no solo capturas de un escáner; y si hay un plan de acción priorizado, no solo una lista de vulnerabilidades técnicas. Un escaneo de vulnerabilidades es una herramienta legítima y útil, pero es una pieza dentro de una auditoría, no la auditoría entera, y cuesta una fracción de lo que se suele cobrar por él cuando se disfraza de servicio completo. Si el proveedor no puede explicarte en qué norma o control se basa cada hallazgo, no está auditando: está pasando un programa y redactando alrededor.

No, y si eso es lo que te preocupa, tienes toda la razón en preocuparte: es el motivo número uno por el que las auditorías de ciberseguridad acaban sin ejecutarse. Un informe técnico es una herramienta para el auditor, no para el gerente; si lo único que recibes es eso, has pagado por un diagnóstico sin tratamiento. En CiberPyme el entregable siempre incluye un plan de tratamiento de riesgos priorizado —qué hacer primero, qué recursos necesita, qué gana la empresa al hacerlo— pensado para que lo pueda ejecutar quien lo tenga que ejecutar, no un especialista. Si tu proveedor no puede resumirte en una página qué tienes que hacer los próximos tres meses, el problema no es tu equipo: es el informe.

Probablemente más de las que crees, y es una de las primeras cosas que revisamos en cualquier auditoría, en cualquier sector. Las cuentas de gente que ya no está —becarios, proveedores puntuales, empleados que se fueron hace dos años— casi nunca se revocan por una razón sencilla: nadie tiene asignada la tarea de hacerlo, así que depende de que alguien se acuerde. El resultado es que la mayoría de las pymes que auditamos tienen accesos activos que ya no debería tener nadie, muchas veces con permisos que ni siquiera el titular original necesitaba. No hace falta una herramienta sofisticada para arreglarlo: hace falta un procedimiento de baja de accesos que se ejecute siempre, sin depender de la memoria de nadie. Es barato de implantar y es, con diferencia, de las medidas con mejor relación entre esfuerzo y riesgo eliminado.

Se degrada, exactamente igual que un extintor caduca aunque nunca lo hayas usado. La ciberseguridad no es un proyecto con fecha de entrega, porque las amenazas no dejan de evolucionar el día que firmas el informe: aparecen vulnerabilidades nuevas en el software que usas, cambian las tácticas de phishing, se incorpora gente nueva sin la formación que sí tenía el equipo original. Por eso el enfoque que tiene sentido no es "auditoría única" sino "revisión periódica con alcance definido": no significa una cuota indefinida sin control, significa saber de antemano qué se revisa, cuándo y por qué precio. Un despliegue inicial sin ningún tipo de seguimiento posterior es, en la práctica, una fotografía de un momento que caduca sola en unos meses.

La pregunta correcta no es "¿tengo que cumplir el ENS o NIS2 entera?", sino "¿qué parte me aplica y qué tengo que poder demostrar?". El ENS aplica de forma directa si prestas servicios a la Administración Pública, pero también te alcanza indirectamente si eres proveedor de otra empresa que sí está obligada: te lo trasladan por contrato, normalmente sin explicarte bien qué implica. NIS2 amplía mucho el número de sectores y tamaños de empresa afectados respecto a la normativa anterior, y en España todavía está en proceso de transposición, lo que genera más confusión, no menos. Antes de perder una licitación por no saber responder, merece la pena un análisis de aplicabilidad breve: en una sesión se puede aclarar si te afecta, con qué alcance y qué evidencias tienes que poder mostrar si te lo piden.

Con cierta frecuencia, no. El ciberseguro no es una alternativa a protegerse: es un contrato que exige que ya estés protegido. La mayoría de pólizas incluyen requisitos mínimos —doble factor de autenticación, copias de seguridad verificadas, formación del personal— y si el día del siniestro la aseguradora comprueba que no estaban implantados, la vía habitual para rechazar el pago es precisamente el incumplimiento de esos requisitos, no la letra pequeña. Lo vemos con cierta regularidad: la empresa paga la prima durante años pensando que está cubierta, y descubre las condiciones reales en el peor momento posible. Antes de firmar una póliza de ciberriesgo, vale la pena pedir el cuestionario de suscripción y comprobar, control por control, si tu empresa cumpliría hoy lo que promete cumplir sobre el papel.

Sí, y no pasa nada por asumirlo: le pasa a todo el mundo, en todos los sectores en los que trabajamos. La tecnología —firewall, antivirus, copias— protege contra fallos técnicos, pero la mayoría de los incidentes que gestionamos empiezan con una persona haciendo algo razonable en el momento: abrir un archivo, contestar un correo que parecía del jefe, usar la misma contraseña en dos sitios. No es un problema de falta de inteligencia, es un problema de que nadie ha entrenado a esa persona para reconocer el engaño, porque los ataques de ingeniería social están diseñados precisamente para parecer normales. Comprar más tecnología sin formar a las personas es como poner una puerta blindada y dejar la llave debajo del felpudo: el dinero se ha ido a la parte que no era el punto débil real.

No, y esa confusión es de las más caras que existen porque no se nota hasta que ya es tarde. Soporte informático y ciberseguridad son dos trabajos distintos con objetivos distintos: uno se encarga de que los ordenadores funcionen, el otro de que nadie ajeno pueda entrar en ellos. Puedes tener el mejor soporte técnico del mundo —que resuelve incidencias rapidísimo, que instala todo bien— y aun así no tener a nadie revisando si hay puertos abiertos a internet que no deberían estarlo, si las copias se pueden restaurar de verdad, o si hay una cuenta con contraseña por defecto. No es una crítica al sobrino ni al proveedor de confianza: es que probablemente nunca se le ha pedido esa función, y no forma parte de lo que factura. Vale la pena preguntarle directamente: "¿esto que haces cubre seguridad, o solo mantenimiento?".

Sí, y el plazo es más corto de lo que la mayoría cree: si hay datos personales afectados, el RGPD obliga a notificar a la AEPD en un máximo de 72 horas desde que tienes conocimiento de la brecha, y en determinados casos también hay que avisar a los propios afectados. No hacerlo no evita el problema, lo agrava: la sanción por no notificar se suma a la del propio incidente, y ocultar una brecha suele valorarse peor que la brecha en sí. Es uno de los ángulos que menos se contempla al presupuestar ciberseguridad, porque se piensa el ataque como un problema técnico y se olvida que, en el momento en que hay datos de clientes de por medio, se convierte también en un problema legal con plazos que corren desde el minuto uno, no desde que te da tiempo a reaccionar.

Es la pregunta más difícil de responder con honestidad, y cualquiera que te diga que tiene una cifra exacta de "lo que has evitado" probablemente te está vendiendo humo. Lo que sí se puede medir es lo que sí ocurrió: si en el último año se han cerrado las cuentas huérfanas que había abiertas, si el backup se ha probado realmente y ha funcionado, si tu equipo detecta y reporta más intentos de phishing que antes, si tienes evidencias que puedes mostrar en una auditoría o licitación sin pánico. El valor de la ciberseguridad no se ve en lo que no pasó; se ve en la madurez del proceso: cuántos controles que antes eran promesas ahora son hechos verificables. Ese seguimiento —no una sensación— es lo que debería figurar en cualquier informe de seguimiento anual.

Porque esa respuesta es correcta y, al mismo tiempo, inútil para tu caso concreto: es la respuesta genérica que le daría a cualquier empresa del mundo, y tu empresa no es "cualquier empresa". La IA no sabe qué proveedor crítico tienes, qué dato sensible manejas, si tienes obligaciones sectoriales, ni qué es lo primero que deberías arreglar con el presupuesto que realmente tienes. Confundir "conocer la teoría" con "tener un diagnóstico de tu situación" es exactamente lo que hace que muchas pymes se queden paradas sintiéndose ya protegidas: han memorizado la lista de buenas prácticas, pero nadie ha comprobado si esas prácticas están realmente implantadas, ni en qué orden de prioridad les conviene abordarlas. Un diagnóstico no te dice "pon 2FA": te dice en cuáles de tus sistemas falta, cuál es el más urgente, y qué pasa si no lo arreglas antes de la próxima renovación de seguro o auditoría.