¿Sigue siendo suficiente el antivirus para proteger una pyme?

Muchas pequeñas y medianas empresas tratan el antivirus como sinónimo de seguridad: si está instalado y con el icono en verde, la sensación es que el problema está resuelto. Sigue siendo una capa útil, pero por sí solo cubre solo una parte de los riesgos a los que se enfrenta hoy una pyme. Entender lo que hace, y lo que no hace, ayuda a invertir mejor el tiempo y el presupuesto.

Lo que el antivirus hace bien

El antivirus tradicional compara archivos y comportamientos con patrones conocidos de software malicioso. Cuando encuentra algo sospechoso, lo bloquea, lo pone en cuarentena o alerta al usuario. Las soluciones más recientes, a menudo llamadas antimalware o protección de endpoints, también vigilan comportamientos anómalos, como un programa que empieza a cifrar decenas de archivos seguidos.

Esta capa es valiosa porque:

• frena buena parte de las amenazas comunes que llegan por adjuntos, descargas y memorias USB;
• analiza páginas y archivos antes de que se abran, cuando está configurada para ello;
• genera alertas que ayudan al responsable de TI a darse cuenta de que algo va mal.

La cuestión es que el antivirus reacciona ante lo que es capaz de reconocer. Las amenazas nuevas, los ataques que usan credenciales legítimas y los fallos de configuración entran por otros caminos.

Hasta dónde no llega el antivirus

Buena parte de los incidentes en pequeñas empresas no empieza con un virus clásico. Algunos ejemplos frecuentes:

• Contraseñas filtradas o débiles: si alguien entra en el correo corporativo con la contraseña correcta, no hay ningún archivo malicioso que el antivirus pueda detectar.
• Sistemas desactualizados: un fallo conocido en el router, el servidor o el navegador puede explotarse sin que se instale nada en el equipo del usuario.
• Servicios expuestos a internet: un acceso remoto abierto sin la protección adecuada es una puerta que el antivirus no cierra.
• Ingeniería social: un correo convincente que pide cambiar los datos bancarios de un proveedor no lleva ningún malware.
• Permisos excesivos: si todos los usuarios son administradores, un solo clic equivocado tiene un impacto mucho mayor.

Ninguno de estos escenarios se resuelve solo con un antivirus mejor. Exigen otras medidas, que se complementan entre sí.

La protección contra malware como parte de un conjunto

El esquema británico Cyber Essentials, creado por el NCSC para servir de base a organizaciones de cualquier tamaño, trata la protección contra malware como uno de sus cinco controles técnicos. Los otros cuatro son el firewall (cortafuegos), la configuración segura, el control de acceso de usuarios y la gestión de actualizaciones de seguridad. La lógica es precisamente esa: cada control cubre una parte del riesgo, y es su combinación la que reduce la exposición de forma consistente. Si quiere ver los cinco juntos, el artículo sobre los cinco controles básicos de ciberseguridad presenta cada uno de ellos.

En el control de protección contra malware, el esquema admite dos enfoques principales, que pueden combinarse:

Software antimalware

Es el camino más habitual en las pymes. No basta con tener el producto instalado: se espera mantenerlo actualizado, configurado para analizar los archivos al abrirlos y para examinar las páginas web visitadas, bloqueando las conexiones a sitios reconocidos como maliciosos.

Lista de aplicaciones permitidas (allow-listing)

En este modelo, en el equipo solo se ejecuta lo que se ha aprobado previamente. Los programas desconocidos sencillamente no se ejecutan. Es un enfoque más restrictivo y exige mantenimiento, pero funciona bien en puestos de uso previsible, como las cajas de una tienda o los equipos de recepción.

Cómo evaluar lo que tiene hoy su empresa

Antes de cambiar de proveedor o comprar una solución más cara, conviene hacer un inventario sencillo:

1. Cobertura: ¿todos los equipos de sobremesa y portátiles, incluidos los que se usan en teletrabajo, tienen protección activa? ¿Y los servidores?
2. Actualización: ¿las firmas y el propio programa se actualizan automáticamente? ¿Hay alguna máquina sin actualizar desde hace semanas?
3. Configuración: ¿está activado el análisis en tiempo real? ¿Está activa la protección de navegación? ¿Puede un usuario normal desactivar la herramienta?
4. Gestión centralizada: ¿existe una consola donde alguien sigue las alertas, o cada máquina funciona aislada, sin que nadie vea lo que ocurre?
5. Móviles y tabletas: ¿los dispositivos que acceden al correo y a los sistemas de la empresa usan solo tiendas oficiales de aplicaciones y tienen el sistema actualizado?

Muchas veces el problema no es el producto, sino la falta de seguimiento. Un antivirus que emite alertas que nadie lee ofrece bastante menos de lo que parece.

Qué hacer a continuación

La respuesta corta a la pregunta del título es: el antivirus sigue siendo necesario, pero no suficiente. Debe tratarse como una pieza de un conjunto mínimo de seguridad de la información para pymes, y no como la estrategia completa.

Una secuencia razonable para la mayoría de las pequeñas empresas es asegurarse de que la protección contra malware está activa y bajo seguimiento, después ocuparse de las actualizaciones, revisar quién tiene acceso a qué y, por último, garantizar copias de seguridad (backup) que permitan recuperar los datos si algo atraviesa todas las barreras. Este último punto se trata en el artículo sobre copias de seguridad contra el ransomware.

Lista de verificación rápida

• Todos los equipos y servidores tienen antimalware activo y actualizado.
• El análisis en tiempo real y la protección de navegación están habilitados.
• Los usuarios normales no pueden desactivar la protección.
• Alguien revisa las alertas con regularidad.
• Los sistemas y aplicaciones reciben las actualizaciones de seguridad al día.
• El trabajo diario se hace con cuentas sin privilegios de administrador.
• El correo y los sistemas críticos usan autenticación en dos factores.