Una aplicación práctica del esquema británico Cyber Essentials
Una guía práctica para que las pequeñas y medianas empresas conviertan los conceptos de ciberseguridad en controles concretos que protejan su operación.
El libro está escrito en portugués (Brasil).
Sobre el libro
Un clic en un enlace falso, una contraseña repetida o un programa sin actualizar bastan para paralizar la operación.
Las pequeñas y medianas empresas se han convertido en un blanco preferente del delito digital. Un clic en un enlace falso, una contraseña repetida en varios sistemas o un programa sin actualizar bastan para paralizar la operación, exponer datos de clientes y abrir la puerta a estafas. Casi siempre, el origen del problema es un fallo sencillo que podría haberse corregido.
O Mínimo da Cibersegurança para Pequenas e Médias Empresas (El mínimo de ciberseguridad para pymes) es una guía práctica de seguridad de la información escrita para dos públicos: quienes nunca se han ocupado del tema y quienes ya trabajan en el área y necesitan un estándar probado para orientar a su propia empresa o a sus clientes.
Parte de Cyber Essentials, el esquema creado por el Gobierno del Reino Unido para definir el nivel básico de ciberseguridad que toda organización debería tener, y muestra cómo aplicarlo a la realidad de las empresas más pequeñas, con un lenguaje claro y sin jerga.
Seguridad mínima viable
“Quien persigue la perfección acaba aplazando cualquier iniciativa. Quien implanta lo esencial debe empezar por lo que es posible implantar, mantener y sostener.”
Las pequeñas y medianas empresas no necesitan empezar por la arquitectura perfecta. Necesitan empezar por los controles que realmente reducen la exposición. El libro aplica a la ciberseguridad el razonamiento del producto mínimo viable: implantar primero lo mínimo necesario, con disciplina y constancia, y evolucionar a partir de ahí. No es una garantía contra todo ataque, sino una base sólida sobre la que la empresa puede crecer.
Cyber Essentials
El núcleo técnico de Cyber Essentials: cinco controles que, bien implantados y mantenidos, reducen la exposición de la empresa a los ataques más comunes.
El firewall (cortafuegos) controla lo que entra y sale de la red y de cada dispositivo, y cierra los puertos y servicios que no necesitan estar expuestos a internet.
Elimina cuentas, programas y funciones innecesarios, cambia las contraseñas predeterminadas y ajusta los equipos para que no queden abiertos tal como vienen de fábrica.
Mantiene los sistemas y aplicaciones con soporte del fabricante y aplica las correcciones de seguridad críticas en un plazo breve.
Garantiza que cada persona tenga solo los accesos que necesita, con autenticación robusta y cuentas de administración separadas.
Impide que se instalen o ejecuten programas maliciosos, mediante un antimalware activo o una lista de aplicaciones permitidas.
Más que los cinco controles
Además de los controles técnicos, el libro trata las copias de seguridad, la respuesta a incidentes, la cultura de seguridad, la protección de datos personales y cómo empezar. Los principios de protección de datos que aborda el libro se aplican en prácticamente cualquier jurisdicción, ya que la seguridad de los datos personales es una exigencia legal en casi todas las leyes de protección de datos, incluido el RGPD.
Firewall, configuración segura, actualizaciones de seguridad, control de acceso y protección contra malware, explicados en detalle.
Cómo delimitar el alcance, desde la red de la oficina hasta los servicios en la nube, el teletrabajo y los teléfonos móviles personales utilizados en el trabajo.
Ransomware, phishing, filtración de contraseñas y otros vectores de ataque relevantes para las pequeñas y medianas empresas.
Cómo organizar una copia de seguridad (backup) capaz de sobrevivir a un ataque de ransomware.
Una guía práctica sobre qué hacer en los primeros treinta minutos de un incidente.
Cómo convertir la seguridad en una rutina y no solo en una herramienta.
Qué exigen las leyes de protección de datos, como el RGPD, en materia de seguridad y cómo gestionar las brechas, la autoridad de control y las personas afectadas.
Una hoja de ruta progresiva para empezar a estructurar la seguridad de la empresa.
Listas de verificación a lo largo del libro y guías para ayudar a la empresa a exigir y comprobar las medidas ante su proveedor de TI.
Controles y certificación
Los capítulos dedicados a los controles siguen, pregunta por pregunta, Danzell, el cuestionario de 2026 que utiliza el IASME Consortium en la autoevaluación de Cyber Essentials.
Cada capítulo comienza con un mapa de las preguntas tratadas y explica qué busca cada pregunta, qué respuesta se acepta y qué evidencia espera encontrar el evaluador.
Además de la parte técnica, el libro incluye modelos de políticas y procedimientos para adaptar a la realidad de la empresa, como la política de seguridad de la información.
Cada tema se ilustra con casos reales, y el texto reúne citas y referencias académicas para quien quiera profundizar.
Público
Para quienes nunca han organizado la seguridad de su empresa. El libro convierte cada control en decisiones de gestión y muestra qué preguntar, qué exigir y cómo comprobar que se ha hecho, sin necesidad de dominar la parte técnica.
Para profesionales que atienden a pequeñas y medianas empresas y necesitan una base mínima para organizar diagnósticos, definir prioridades y explicar al cliente, en lenguaje de negocio, por qué importa cada medida.
Para abogados que asesoran a empresas y necesitan conocer los controles básicos de seguridad para redactar contratos con proveedores de tecnología, orientar cuestiones de protección de datos, como las relativas al RGPD, y actuar ante incidentes o inspecciones.
Para proveedores que necesitan estructurar una protección mínima con recursos limitados, incluso cuando clientes más grandes exigen evidencias de seguridad a su cadena de suministro.
El autor
Abogado especializado en derecho digital, ciberseguridad, privacidad, protección de datos y fraudes digitales, Ricardo Córdoba Baptista reúne en su trayectoria las perspectivas técnica y jurídica de la seguridad de la información.
Lleva más de veinte años dedicado a esta área, una experiencia que orienta el enfoque práctico del libro.
Blog
Artículos breves sobre seguridad de la información para pequeñas empresas, escritos para quienes necesitan decidir y actuar.
Una hoja de ruta por etapas para que una pyme empiece a estructurar la seguridad de la información en los primeros 90 días, con prioridades realistas.
Leer artículoQué exige el RGPD sobre la seguridad de los datos personales, cómo ayudan los controles básicos de ciberseguridad y qué hacer ante una brecha en España.
Leer artículoUna guía práctica para los primeros minutos de un incidente: aislar equipos, preservar evidencias, avisar a las personas adecuadas y evaluar las obligaciones de protección de datos.
Leer artículoEmpiece por los controles que deben estar funcionando antes de que un incidente obligue a su empresa a empezar.