La mayoría de los ciberataques a pymes no aprovechan un fallo sofisticado, sino algo básico que estaba sin hacer: un doble factor sin activar, una copia de seguridad que nadie había probado o un empleado que picó en un correo. Esta checklist reúne los 25 controles de ciberseguridad que de verdad marcan la diferencia en una pequeña o mediana empresa, agrupados por áreas y explicados en lenguaje claro. Puedes revisarlos hoy mismo y marcar qué tienes cubierto y qué no.
No necesitas un departamento de seguridad ni un gran presupuesto para empezar. Buena parte de esta lista es configuración y hábitos; el resto es asumible para casi cualquier negocio. La idea es que en una tarde tengas una foto honesta de por dónde estás protegido y por dónde entrarías tú si fueras el atacante.
Accesos e identidades
Casi todo empieza por una cuenta. Si controlas quién entra y cómo, has cerrado la puerta por la que pasa la mayoría de los ataques.
- Activa el doble factor (MFA) en todo lo importante. Correo, banca, panel de tu web, VPN y accesos remotos. Es la medida que más ataques frena por sí sola, y en la mayoría de servicios se activa en cinco minutos.
- Usa un gestor de contraseñas. Contraseñas largas, únicas por servicio y guardadas en un gestor. Reutilizar la misma contraseña es regalarle las llaves de todo a quien filtre una sola.
- Aplica el mínimo privilegio. Cada persona con los permisos justos para su trabajo, ni uno más. Y nada de usar cuentas de administrador para el día a día.
- Cierra las cuentas que sobran. Revisa cada trimestre los accesos de exempleados, colaboradores y aplicaciones que ya nadie usa. Las cuentas olvidadas son una puerta trasera clásica.
- Bloqueo automático y cifrado de sesión. Configura el bloqueo de pantalla por inactividad en equipos y móviles. Un portátil abierto en una cafetería es un incidente esperando a ocurrir.
Equipos y actualizaciones
El equipo desactualizado es el favorito de los atacantes: la vulnerabilidad ya es pública y el parche también, solo faltaba que nadie lo instalara.
- Mantén todo actualizado. Sistema operativo y aplicaciones al día, con actualizaciones automáticas siempre que sea posible. La mayoría de infecciones explotan fallos para los que ya existía solución.
- Instala un antivirus/EDR serio en todos los equipos. También en los portátiles que salen de la oficina, que suelen ser los más expuestos.
- Cifra el disco de portátiles y móviles. Con BitLocker o FileVault. Si se pierde o se lo llevan, los datos no viajan con el dispositivo.
- Gestiona los móviles que tocan datos de la empresa. Un MDM básico y separar el uso personal del profesional evita que un móvil perdido se convierta en una fuga de información.
- Controla los USB y el software que se instala. Muchas infecciones entran por un pendrive o por un programa descargado de cualquier sitio. Limita qué se puede conectar e instalar.
Copias de seguridad y continuidad
Cuando todo lo demás falla, la copia de seguridad es lo que separa un susto de un cierre. Es tu red de seguridad frente al ransomware.
- Sigue la regla 3-2-1. Tres copias de tus datos, en dos soportes distintos y al menos una fuera de la ubicación. Sencillo de recordar y muy efectivo.
- Ten una copia desconectada o inmutable. Si un ransomware llega a tu red, no debe poder cifrar también las copias. Esa copia intocable es la que te salva.
- Prueba la restauración. Una copia que nunca has restaurado no es una copia, es una suposición. Haz una prueba real cada cierto tiempo.
- Sabe cuánto tardarías en volver. Ten claro cuánto tiempo te llevaría recuperar la operativa tras un incidente y trabaja para reducir ese número.
Correo, web y navegación
El correo y la web son las dos ventanas por las que más entra el problema. Merecen atención específica.
- Blinda el correo frente al phishing. Filtro antispam, aviso visible cuando un correo viene de fuera y formación para dudar antes de hacer clic. Casi todo ataque empieza aquí.
- Configura SPF, DKIM y DMARC en tu dominio. Evita que suplanten tu correo para estafar a tus clientes o a tu propio equipo.
- Mantén tu web al día. Si usas WordPress, PrestaShop o similar, actualiza el CMS y los plugins, pon contraseñas fuertes y activa el doble factor en el panel de administración.
- Usa HTTPS en toda la web. Revisa que no queden formularios o accesos sin cifrar. Es básico para la confianza y para el SEO.
- Filtra la navegación y el DNS. Bloquear webs maliciosas y descargas peligrosas a nivel de red corta muchos ataques antes de que lleguen al equipo.
Personas y proveedores
La tecnología ayuda, pero el eslabón que más se ataca son las personas. Y tus proveedores forman parte de tu superficie de riesgo.
- Forma a tu equipo. Explica cómo se reconoce un phishing, cómo se gestionan las contraseñas y qué hacer ante una sospecha. Los simulacros de phishing convierten la teoría en reflejo.
- Ten una política de seguridad sencilla y por escrito. Qué se puede hacer, qué no y a quién avisar si algo va mal. No hace falta un tocho: una página clara vale más que un manual que nadie lee.
- Revisa la seguridad de tus proveedores. Quien accede a tus sistemas o gestiona tus datos puede ser tu punto débil. Pregunta y exige lo mismo que te exigirías a ti.
Cumplimiento y respuesta a incidentes
Estar preparado para el día malo es tan importante como intentar evitarlo. Y, según a qué te dediques, hay obligaciones legales que cumplir.
- Cumple lo básico del RGPD. Sabe qué datos personales tienes, dónde están y quién accede a ellos. Es el punto de partida de todo lo demás. Puedes consultar las guías de la Agencia Española de Protección de Datos.
- Ten un plan de respuesta a incidentes. Qué hacer, a quién llamar y en qué orden. Guarda a mano la Línea de Ayuda en Ciberseguridad de INCIBE (017). Si quieres el detalle para el peor caso, te lo contamos en qué hacer en las primeras 24 horas de un ransomware.
- Comprueba si te aplican el ENS o la NIS2. Si trabajas con la Administración o estás en un sector esencial, puede que tengas obligaciones concretas. Empieza por nuestra guía de NIS2 para pymes y valora un seguro de ciberriesgo.
Cómo usar esta checklist
No hace falta hacerlo todo de golpe. Si tuvieras que empezar hoy y con poco tiempo, prioriza cuatro cosas: activa el MFA, pon en marcha las copias 3-2-1, actualiza todo y forma a tu equipo. Con eso solo ya cierras la mayoría de las vías de entrada más comunes.
Después, ve bajando por la lista y marca lo que te falta. Revisa la checklist entera una vez al trimestre: la seguridad no es un proyecto que se termina, es un mantenimiento. Y si en algún punto ves que se te escapa, es exactamente donde tiene sentido apoyarse en alguien.
En CiberPYME ayudamos a pymes de toda España a poner en marcha justo esto, sin humo y adaptado a tu tamaño. Puedes ver nuestra consultoría de cumplimiento (GRC), la auditoría de seguridad y hacking ético para saber por dónde entrarían de verdad, o la monitorización 24/7 para detectar los problemas antes de que hagan daño. Y si prefieres empezar por una foto general, echa un vistazo a nuestros servicios de ciberseguridad para pymes.
¿Quieres esta checklist en PDF para compartirla con tu equipo? Escríbenos y te la enviamos, junto con una primera valoración gratuita de tus riesgos.
Preguntas frecuentes
¿Por dónde empiezo si no tengo tiempo ni equipo técnico?
Por cuatro medidas: doble factor (MFA), copias de seguridad 3-2-1, actualizaciones automáticas y formación básica del equipo. Son las que más ataques evitan con menos esfuerzo, y casi todas son configuración, no gasto.
¿Cuánto cuesta poner en marcha esta checklist en una pyme?
Buena parte es gratuita o ya viene incluida en herramientas que probablemente ya pagas (correo, sistema operativo, tu web). El coste real está en el tiempo de configurarlo bien y en las medidas más avanzadas, que se pueden externalizar y ajustar a tu tamaño.
¿Necesito contratar a alguien o puedo hacerlo yo?
Los primeros puntos los puede activar cualquier persona con acceso de administrador. Para el resto (auditoría, monitorización, cumplimiento normativo) tiene sentido apoyarse en un especialista, sobre todo si manejas datos sensibles o trabajas con la Administración.
¿Cada cuánto debo revisar esta lista?
Al menos una vez al trimestre, y siempre que haya un cambio importante: nuevas personas, un cambio de proveedor, una nueva aplicación o un incidente.
¿Con esto ya cumplo la ISO 27001 o la NIS2?
Es una base sólida y muchos de estos controles forman parte de esas normas, pero el cumplimiento formal exige más (análisis de riesgos, documentación, evidencias). Si te lo piden en una licitación o por tu sector, te ayudamos a certificarte sin duplicar trabajo.
Este checklist es general. Si operas aquí, en nuestro análisis de riesgos de ciberseguridad por sector en la provincia de Valencia verás qué punto de la lista es prioritario según manejes trazabilidad de lote, documentación aduanera o certificados digitales de terceros.
