¿Qué es Cyber Essentials y por qué interesa a las pymes?

Buena parte de los ataques que sufren las pequeñas y medianas empresas no requiere técnicas sofisticadas. Aprovechan contraseñas débiles, sistemas desactualizados, cuentas olvidadas y servicios expuestos sin necesidad. Cyber Essentials, un esquema creado por el Gobierno del Reino Unido, parte precisamente de esa constatación: existe un conjunto mínimo de medidas técnicas que reduce de forma significativa la exposición de la empresa a los ataques más comunes. Incluso para las empresas españolas que nunca piensen certificarse, sirve como una hoja de ruta clara y objetiva.

El origen de Cyber Essentials

Cyber Essentials fue lanzado en 2014 por el Gobierno británico y hoy lo mantiene el NCSC (National Cyber Security Centre), el centro nacional de ciberseguridad del Reino Unido. Desde 2020, el IASME Consortium actúa como socio responsable de la gestión del esquema, lo que incluye acreditar a los organismos certificadores y mantener el cuestionario utilizado en las evaluaciones.

La propuesta nunca fue abarcar todos los aspectos de la seguridad de la información. El objetivo es definir una base: pocos controles, bien elegidos, que cualquier organización pueda implementar sin necesidad de un equipo de seguridad propio. Por eso el esquema ha tenido tanta aceptación entre pequeñas empresas, proveedores del sector público británico y cadenas de suministro de grandes compañías.

Los cinco controles técnicos

Todo el esquema gira en torno a cinco controles. Cada uno responde a una forma habitual de ataque:

• Firewall (cortafuegos): controla lo que entra y sale de la red y de los dispositivos, cerrando puertos y servicios que no necesitan estar accesibles desde internet.
• Configuración segura: elimina configuraciones de fábrica peligrosas, como contraseñas predeterminadas, cuentas innecesarias y la ejecución automática de archivos.
• Gestión de actualizaciones: garantiza que sistemas y aplicaciones reciban correcciones de seguridad dentro de plazos definidos.
• Control de acceso: asegura que cada persona tenga únicamente los accesos que necesita, con una autenticación adecuada.
• Protección contra malware: impide o limita la ejecución de programas maliciosos en los dispositivos de la empresa.

El artículo sobre los cinco controles básicos de ciberseguridad explica cada uno de ellos en un lenguaje práctico.

Cyber Essentials y Cyber Essentials Plus

El esquema tiene dos niveles. En Cyber Essentials, la empresa responde a un cuestionario de autoevaluación, que revisa un evaluador de un organismo certificador. Las respuestas deben estar firmadas por un responsable de la organización, lo que da peso formal a lo declarado.

En Cyber Essentials Plus, los mismos controles se verifican mediante una auditoría técnica presencial o remota. El evaluador prueba una muestra de dispositivos, comprueba si las actualizaciones están al día, simula la llegada de archivos maliciosos y verifica que la autenticación multifactor esté activa donde corresponde. En ambos casos, la certificación tiene validez anual y debe renovarse.

Por qué interesa a una pyme española

Cyber Essentials es un esquema británico, sin valor regulatorio en España. Aun así, hay buenas razones para que el responsable de una pyme lo conozca:

• Es un enfoque acotado. Las normas amplias de seguridad de la información son valiosas, pero pueden parecer inalcanzables para una empresa de veinte personas. Cyber Essentials indica con claridad qué hacer primero.
• Tiene criterios verificables. Plazos para aplicar actualizaciones, exigencia de autenticación multifactor en servicios en la nube, eliminación de cuentas que ya no se usan. Son requisitos que se pueden comprobar, y no meras intenciones.
• Dialoga con el RGPD. El Reglamento General de Protección de Datos (RGPD) exige medidas técnicas y organizativas que garanticen una seguridad adecuada de los datos personales. Una base técnica bien implementada ayuda a demostrar diligencia, tema que se analiza en ciberseguridad y RGPD.
• Facilita el diálogo con el proveedor de TI. Muchas pymes externalizan la informática. Contar con una lista clara de controles ayuda a preguntar qué se está haciendo y a exigir evidencias.

Lo que el esquema no cubre

Tener claros sus límites es tan importante como conocer los controles. No aborda, por ejemplo, las copias de seguridad (backup), el plan de respuesta a incidentes, la concienciación del personal ni la continuidad del negocio. Estos temas siguen siendo necesarios y deben tratarse por separado.

Tampoco es una garantía. Los controles reducen la probabilidad de éxito de los ataques más comunes, pero no eliminan el riesgo. Una empresa que implementa bien los cinco controles está en una posición mucho mejor que la media, y debe seguir revisando sus prácticas.

Por dónde empezar

Un primer paso sencillo es hacer un inventario: qué equipos, teléfonos móviles, servidores y servicios en la nube utiliza la empresa, quién administra cada uno y si todavía reciben soporte del fabricante. A partir de ahí, resulta más fácil evaluar cada control e identificar las carencias más urgentes.

• Enumerar todos los dispositivos y servicios en la nube que utiliza la empresa.
• Comprobar si algún sistema ya no recibe actualizaciones del fabricante.
• Verificar si la autenticación multifactor está activa en el correo electrónico y en los principales servicios en la nube.
• Identificar quién tiene acceso de administrador y si sigue siendo necesario.
• Designar a un responsable interno que dé seguimiento a estos puntos a lo largo del año.