Los 5 controles básicos de ciberseguridad que toda pyme debería conocer

Cuando se habla de ciberseguridad para pymes, es habitual imaginar herramientas caras y equipos especializados. En la práctica, una parte importante de la protección proviene de cinco controles básicos, que el esquema británico Cyber Essentials organizó de forma muy objetiva: firewall (cortafuegos), configuración segura, gestión de actualizaciones, control de acceso y protección contra malware. Ninguno de ellos requiere tecnología exótica. Lo que exigen es método y constancia.

1. Firewall: decidir qué puede entrar

El firewall funciona como un filtro entre la red de la empresa e internet. Bloquea las conexiones no autorizadas y permite solo el tráfico necesario. En una pequeña empresa, normalmente hay dos: el del router o equipo perimetral, y el de software presente en cada equipo.

Los puntos más importantes:

• Cambiar la contraseña predeterminada de administración del dispositivo.
• Bloquear por defecto las conexiones entrantes procedentes de internet.
• Documentar cada regla que habilita algún servicio y eliminar las que ya no se usan.
• Mantener el firewall activo en los portátiles, sobre todo cuando se usan fuera de la oficina.

El tema se trata en detalle en el artículo Firewall: ¿qué necesita proteger realmente una pequeña empresa?

2. Configuración segura: quitar lo que viene de fábrica

Equipos, routers y sistemas suelen salir de fábrica configurados para facilitar el uso, no para proteger. Eso incluye cuentas de ejemplo, contraseñas predeterminadas de conocimiento público, servicios activos sin necesidad y aplicaciones preinstaladas que nadie utiliza.

Configurar de forma segura significa:

• Cambiar todas las contraseñas predeterminadas antes de poner el dispositivo en uso.
• Eliminar o desactivar cuentas y software innecesarios.
• Desactivar la ejecución automática (auto-run) de soportes y archivos.
• Exigir el desbloqueo mediante contraseña, PIN o biometría en los dispositivos.

Cada elemento que se elimina es una puerta menos que un atacante puede aprovechar.

3. Gestión de actualizaciones: cerrar fallos conocidos

Cuando un fabricante publica una corrección de seguridad, el fallo corregido pasa a ser conocido, también por quien pretende explotarlo. Los sistemas que no reciben la actualización quedan expuestos a un problema documentado.

Cyber Essentials establece una referencia útil: las actualizaciones clasificadas como críticas o de alto riesgo deben aplicarse en un plazo máximo de 14 días desde su publicación. Además, el software sin soporte del fabricante debe eliminarse o aislarse. Más información en por qué mantener los sistemas actualizados es una medida de seguridad.

4. Control de acceso: cada uno con lo que necesita

Muchos incidentes empiezan con una credencial comprometida. Cuantos más accesos tenga una cuenta, mayor es el daño posible. Este control busca limitar ese impacto.

• Cuentas individuales: cada persona con su propio usuario, sin inicios de sesión compartidos.
• Mínimo privilegio: acceso solo a los sistemas y datos necesarios para la función.
• Cuentas de administrador separadas: utilizadas únicamente para tareas administrativas, nunca para leer el correo o navegar.
• Autenticación multifactor (MFA): obligatoria en los servicios en la nube, como el correo corporativo y el almacenamiento de archivos.
• Baja de cuentas: accesos eliminados o desactivados cuando la persona se va o cambia de función.

5. Protección contra malware: impedir la ejecución

El último control busca evitar que se ejecuten programas maliciosos en los dispositivos. El antivirus es la forma más conocida, pero no la única. También es posible restringir qué aplicaciones pueden instalarse, mediante tiendas oficiales o listas de programas aprobados.

Lo esencial es que la protección esté activa, actualizada y configurada para analizar archivos y sitios web automáticamente. Aun así, el antivirus por sí solo tiene límites, como se analiza en el artículo ¿es suficiente el antivirus?

Cómo convertirlo en rutina

Implementar los controles una sola vez no basta. Llegan nuevos dispositivos, las personas entran y salen, y los fabricantes publican correcciones cada semana. La seguridad de la información en las pequeñas empresas depende de una revisión periódica, aunque sea sencilla.

• Revisar las reglas del firewall y las cuentas de administrador al menos una vez por trimestre.
• Comprobar cada mes si hay dispositivos con actualizaciones pendientes.
• Incluir la retirada de accesos en el proceso de salida del personal.
• Confirmar que la protección contra malware está activa en todos los equipos.
• Mantener un inventario actualizado de dispositivos y servicios en la nube.