Ciberseguridad para pymes: 10 medidas que podés aplicar esta semana
Diez medidas concretas de ciberseguridad para pequeñas y medianas empresas, ordenadas por impacto y esfuerzo. Sin tecnicismos y sin necesidad de un departamento de sistemas.
La mayoría de los ataques que afectan a una pyme no son sofisticados. No hay un hacker encapuchado estudiando tu empresa: hay procesos automáticos probando contraseñas comunes y correos falsos enviados a miles de direcciones al mismo tiempo.
Eso es una buena noticia, porque significa que las medidas básicas evitan la enorme mayoría de los incidentes. Estas son diez, ordenadas por relación entre impacto y esfuerzo.
1. Activá la verificación en dos pasos en todo
Si hacés una sola cosa de esta lista, que sea esta.
La verificación en dos pasos hace que, aunque alguien tenga tu contraseña, no pueda entrar sin el código de tu celular. Activala en el correo, el banco, las redes sociales de la empresa, el hosting y cualquier panel administrativo.
Esfuerzo: 30 minutos. Impacto: enorme.
2. Dejá de reutilizar contraseñas
La forma más común de que roben una cuenta no es adivinando la contraseña: es usando una que ya se filtró en otro servicio.
Instalá un gestor de contraseñas para el equipo. Que cada servicio tenga una clave distinta y larga, y que nadie las tenga que memorizar.
Señal de alarma: si alguien en tu empresa tiene las contraseñas anotadas en un cuaderno o en un Excel compartido, ya tenés un problema.
3. Hacé copias de seguridad y probá que funcionan
Todo el mundo dice que hace backups. Muy poca gente probó restaurarlos.
La regla práctica es 3-2-1: tres copias, en dos medios distintos, una de ellas fuera de la oficina. Y una vez cada tres meses, restaurá una copia de prueba. Un backup que no se probó es una suposición, no un respaldo.
Esto es lo que separa un ataque de ransomware que te cuesta un día de trabajo de uno que te cuesta el negocio.
4. Actualizá lo que tenga clave de acceso
Sistemas operativos, navegadores, plugins de la web, paneles administrativos. La mayoría de los ataques automáticos explotan fallas ya corregidas, en equipos que nunca se actualizaron.
Activá actualizaciones automáticas donde puedas. Donde no, agendá un día fijo al mes.
5. Quitá los accesos de quien ya no está
Este es sorprendentemente común: gente que se fue hace meses y sigue teniendo acceso al correo, al Drive o al panel de la web.
Armá una lista de todos los sistemas de la empresa y quién tiene acceso a cada uno. Revisala cada tres meses y cuando alguien se va.
6. Separá el correo personal del corporativo
Manejar la empresa desde un correo gratuito personal mezcla dos riesgos: si te roban la cuenta personal, se llevan la empresa.
Un correo con tu dominio (nombre@tuempresa.com) es más profesional y, sobre todo, administrable: podés cerrar una cuenta sin depender de nadie.
7. Entrená al equipo contra el phishing
El eslabón más débil casi nunca es la tecnología: es alguien apurado que hace clic.
Tres reglas simples para todo el equipo:
- Nadie legítimo te pide la contraseña por correo o WhatsApp. Nadie.
- Si el mensaje mete urgencia (“su cuenta será suspendida hoy”), sospechá.
- Ante una transferencia inesperada, confirmá por otro canal. Llamá.
8. Configurá roles y permisos reales
No todos necesitan ser administradores. Si cada persona tiene acceso solo a lo que usa, un error o una cuenta comprometida afectan una parte, no todo.
Es una de las cosas que dejamos configuradas desde el diseño en los sistemas que construimos: usuarios, roles y permisos por módulo.
9. Protegé la web con HTTPS y monitoreo
El candado del navegador no es decorativo: sin él, los datos de tus formularios viajan sin cifrar y Google penaliza el sitio.
Sumale monitoreo de disponibilidad, para enterarte de que la web se cayó antes de que te lo diga un cliente.
10. Escribí qué hacer si pasa algo
No hace falta un manual de 50 páginas. Una hoja con:
- A quién se avisa primero.
- Qué se desconecta.
- Dónde están los backups y quién sabe restaurarlos.
- A qué clientes hay que avisar y en qué plazo.
En medio de un incidente nadie piensa con claridad. Tener escrito el primer paso ahorra horas.
Qué NO necesitás
Para ser justos, también conviene decir lo que una pyme típica no necesita:
- Un antivirus pago carísimo. Los del sistema operativo bien configurados alcanzan en la mayoría de los casos.
- Un firewall corporativo de gama alta si tenés ocho empleados.
- Una auditoría de seguridad de miles de dólares antes de tener siquiera backups probados.
El orden importa: primero lo básico, bien hecho.
Por dónde empezar mañana
Si te abruma la lista, hacé solo esto en la primera semana:
- Verificación en dos pasos en el correo principal y el hosting.
- Un backup completo y probado.
- Revisar quién tiene acceso a qué y cortar lo que sobra.
Con esas tres, ya estás por encima de la mayoría.
¿Querés saber cómo está tu empresa hoy? Hacemos un diagnóstico de seguridad que revisa accesos, backups, actualizaciones y puntos de falla, y te entregamos un plan priorizado. Escribinos o mirá ciberseguridad, soporte y continuidad.