En 2025, el 43% de los ciberataques en Francia se dirigieron a empresas de menos de 50 empleados (fuente ANSSI). El costo promedio de un ataque para una PYME: 25 000 euros — entre la pérdida de explotación, la remediación técnica y la pérdida de datos.
Sin embargo, el 80% de estos ataques se hubieran podido evitar con medidas básicas. No es necesario un presupuesto de seguridad de 50 000 euros. 10 acciones simples son suficientes.
Medida 1: contraseñas sólidas y un gestor
La contraseña "Empresa2024!" no es una buena contraseña. Será descifrada en 3 segundos por una herramienta automatizada.
La acción: instale un gestor de contraseñas para todo el equipo (Bitwarden en versión gratuita, o 1Password a 4 euros/mes/usuario). Cada contraseña generada aleatoriamente, mínimo 16 caracteres, única por servicio.
La contraseña maestra del gestor debe ser una frase larga que recuerde: "MiGatoComeCamaronesEnLaMesa" es infinitamente más sólida que "P@ssw0rd!2024".
Medida 2: la autenticación de dos factores (2FA)
Aunque tenga una buena contraseña, si un empleado es engañado por un phishing, el atacante tiene la contraseña. El 2FA añade una capa: además de la contraseña, se necesita un código temporal generado por el teléfono.
La acción: active el 2FA en todas las cuentas críticas — correo electrónico, banco, alojamiento, redes sociales, herramientas de negocio. Use una aplicación (Google Authenticator, Authy) en lugar de SMS (interceptable).
Medida 3: las actualizaciones automáticas
Las vulnerabilidades de seguridad se corrigen por los editores en los días siguientes a su descubrimiento. Pero si no actualiza, la vulnerabilidad permanece abierta. Los ransomwares explotan masivamente las vulnerabilidades de Windows y navegadores conocidas desde hace meses.
La acción: active las actualizaciones automáticas en todos los equipos (Windows, macOS, navegadores, software de negocio). Un reinicio por semana es el precio a pagar.
Medida 4: la copia de seguridad 3-2-1
La regla 3-2-1: 3 copias de sus datos, en 2 soportes diferentes, siendo 1 fuera del sitio.
La acción concreta:
- Copia 1: su disco duro (los datos en producción)
- Copia 2: un disco duro externo o NAS (copia de seguridad diaria automática)
- Copia 3: un servicio en la nube (Backblaze B2 a 6$/mes, o Synology C2)
Pruebe la restauración una vez por trimestre. Una copia de seguridad que no sabe restaurar no es una copia de seguridad.
Medida 5: la concienciación anti-phishing
El 90% de los ataques comienzan con un correo electrónico de phishing. El eslabón débil es el ser humano.
La acción: forme a su equipo para reconocer correos electrónicos sospechosos. Las señales:
- Urgencia artificial ("Su cuenta será suspendida en 2 horas")
- Remitente desconocido o nombre de dominio sospechoso
- Enlaces a URLs extrañas (pase el ratón sin hacer clic)
- Archivos adjuntos inesperados (.exe, .zip, .js)
- Solicitud de identificadores por correo electrónico (ningún servicio legítimo hace eso)
Realice un ejercicio de phishing simulado una vez al año. Plataformas como Gophish (gratuita) permiten enviar phishings falsos a su equipo para identificar debilidades.
Medida 6: el Wi-Fi seguro
El Wi-Fi de su oficina es un punto de entrada. Si la contraseña es "hola123" o si utiliza el protocolo WEP (obsoleto desde hace 15 años), cualquiera en la calle puede acceder a su red.
La acción: protocolo WPA3 (o WPA2-AES como mínimo), contraseña compleja de 20+ caracteres, red de invitados separada para visitantes.
Medida 7: el cifrado de portátiles
Un ordenador portátil robado en un coche, una bolsa olvidada en el tren — eso sucede. Si el disco no está cifrado, el ladrón accede a todos sus datos.
La acción: active BitLocker (Windows Pro) o FileVault (macOS). Es gratuito, integrado en el sistema y transparente en el uso.
Medida 8: los derechos de acceso restringidos
No todo el mundo necesita acceder a todo. El contador no necesita acceder a los archivos técnicos, el aprendiz no necesita derechos de administrador.
La acción: aplique el principio del menor privilegio. Cada usuario accede solo a los recursos necesarios para su trabajo. Y elimine las cuentas de las personas que dejan la empresa el mismo día de la partida.
Medida 9: el antivirus y el cortafuegos
Windows Defender es suficiente para la mayoría de las PYMES. No es necesario comprar un antivirus de pago si su higiene digital es buena. Sin embargo, verifique que Defender esté activado y actualizado en todos los equipos.
El cortafuegos de Windows debe permanecer activado. No lo desactive "porque un software no funciona" — encuentre la excepción correcta en lugar de abrirlo todo.
Medida 10: el plan de respuesta ante incidentes
El día en que suceda (y estadísticamente, sucederá), debe saber qué hacer. Un plan de respuesta en 5 puntos:
- Aislar la máquina infectada (desconectar la red, no apagar)
- Informar a su proveedor de TI o llamar al 3218 (cybermalveillance.gouv.fr)
- No pagar el rescate (no garantiza la recuperación de datos y financia a los criminales)
- Restaurar desde la copia de seguridad
- Presentar una denuncia y declarar el incidente a la CNIL si están implicados datos personales
Imprima este plan. Cuélguelo. El día J, nadie buscará un documento digital en un ordenador cifrado por un ransomware.
La ciberseguridad no es un tema técnico reservado para informáticos. Es un tema de dirección. 10 medidas simples, aplicadas rigurosamente, bloquean la gran mayoría de los ataques.