Cómo crear un plan de ciberseguridad para los primeros 90 días

La mayoría de las pequeñas y medianas empresas sabe que tiene que mejorar su seguridad, pero se bloquea a la hora de empezar. La lista de recomendaciones parece interminable, los proveedores ofrecen productos de todo tipo y el día a día siempre trae algo más urgente. Un plan de 90 días ayuda a pasar de la intención a la práctica: divide el trabajo en etapas cortas, prioriza lo que más reduce el riesgo y crea una rutina que continúa después del tercer mes.

Antes de empezar: responsable, alcance y referencia

Tres definiciones evitan que el plan se pierda por el camino:

• Un responsable: alguien de la dirección que haga el seguimiento del plan, aunque la ejecución técnica quede en manos de un proveedor. Sin responsable, las tareas se diluyen.
• Un alcance claro: qué oficinas, equipos, servicios en la nube y sistemas forman parte de él. Los portátiles usados en teletrabajo y los móviles que acceden al correo corporativo también cuentan.
• Una referencia: seguir un modelo reconocido evita reinventar la rueda. Cyber Essentials, del NCSC británico, es una buena base para pymes porque se centra en cinco controles técnicos esenciales. El artículo sobre Cyber Essentials para pymes presenta el esquema.

Días 1 a 30: conocer el entorno y cerrar las brechas más evidentes

El primer mes es de inventario y de correcciones rápidas, que exigen poca inversión y reducen bastante la exposición.

Inventario

Haga una lista de los equipos (equipos de sobremesa y portátiles, servidores, routers, móviles corporativos), los sistemas y servicios en la nube, y de quién tiene acceso a cada uno. Basta con una hoja de cálculo sencilla. No se puede proteger lo que la empresa ni siquiera sabe que tiene.

Acciones inmediatas

• activar la autenticación en dos factores en el correo corporativo y en los principales servicios en la nube;
• desactivar las cuentas de antiguos empleados y las cuentas genéricas que nadie usa;
• cambiar las contraseñas por defecto de routers, impresoras y otros dispositivos;
• comprobar que la copia de seguridad (backup) se está ejecutando y que incluye los datos críticos;
• verificar que todos los equipos tienen activa la protección contra malware.

Al final del mes, la empresa debería tener una imagen razonable de su entorno y una lista de tareas pendientes priorizadas.

Días 31 a 60: estructurar los controles básicos

Con el inventario en la mano, el segundo mes se dedica a los controles que exigen algo más de trabajo.

Actualizaciones

Active las actualizaciones automáticas siempre que sea posible y defina una rutina para lo que no se actualiza solo, como el firmware de los routers y los sistemas de gestión. Los equipos y programas sin soporte del fabricante necesitan un plan de sustitución. El artículo sobre actualizaciones de seguridad detalla este control.

Cuentas y privilegios

Revise quién es administrador. En el trabajo diario, los usuarios deben usar cuentas normales, y los accesos administrativos deben limitarse a quien realmente los necesita, en cuentas separadas.

Firewall y configuración

Revise las reglas del router o del firewall (cortafuegos), cierre los servicios expuestos a internet que no sean necesarios y revise el acceso remoto. Elimine los programas y cuentas que vienen instalados por defecto y no se usan.

Copias de seguridad separadas

Asegúrese de que al menos una copia quede desconectada (offline) o en almacenamiento inmutable y haga la primera prueba de restauración.

Días 61 a 90: personas, respuesta y rutina

El tercer mes consolida lo hecho y prepara a la empresa para afrontar problemas.

• Formación: una charla breve con el personal sobre correos fraudulentos, estafas de cambio de datos bancarios y uso de contraseñas. Los ejemplos reales del sector funcionan mejor que la teoría.
• Guía de incidentes: una página con los contactos de emergencia y las primeras acciones. El artículo sobre los primeros 30 minutos de un incidente puede servir de base.
• Datos personales: identifique dónde están los datos de clientes y empleados y quién responde de ellos, teniendo en cuenta también las obligaciones del Reglamento General de Protección de Datos (RGPD).
• Políticas mínimas: reglas breves sobre contraseñas, uso de dispositivos personales y concesión de accesos.
• Calendario de revisiones: defina cuándo se revisará cada control.

Después de los 90 días

El plan no termina el día 90. Crea una base que hay que mantener. Algunas rutinas que funcionan bien en las pymes:

1. Mensual: revisar los informes de copias de seguridad, las alertas del antivirus y las actualizaciones pendientes.
2. Trimestral: revisar cuentas y accesos, probar una restauración y actualizar el inventario.
3. Anual: reevaluar todos los controles, repetir la formación y revisar la guía de incidentes.

Ningún plan hace que la empresa sea inmune a los ataques. Lo que hace es reducir la exposición a los riesgos más comunes y mejorar la capacidad de reacción, y eso ya supone un cambio significativo en la seguridad de la información de una pyme.

Lista de verificación de los 90 días

• Responsable y alcance definidos.
• Inventario de equipos, sistemas y accesos completado.
• Autenticación en dos factores activa en el correo y en la nube.
• Cuentas antiguas desactivadas y contraseñas por defecto cambiadas.
• Actualizaciones automáticas activas y plan para los elementos sin soporte.
• Privilegios de administrador revisados.
• Firewall revisado y servicios innecesarios cerrados.
• Copias de seguridad con una copia desconectada o inmutable y restauración probada.
• Personal formado y guía de incidentes distribuida.
• Calendario de revisiones definido.