Ciberseguridad para pequeñas empresas: una base práctica

Cuando el dueño de una pequeña empresa busca servicios de ciberseguridad cerca de mí, normalmente es porque ocurrió algo: un correo de phishing que casi funcionó, la cuenta de un empleado que envió spam o un cliente que preguntó por la protección de sus datos. El mercado está lleno de productos complejos y de ventas basadas en el miedo. Sin embargo, la mayoría de las oficinas pequeñas se protegen mejor con una base clara y bien mantenida. Esta guía explica qué cubre esa base y qué revisa primero un proveedor sensato.

Qué es una base de seguridad y qué no es

Una base de seguridad es el conjunto mínimo de controles que todo dispositivo, cuenta y red de su empresa debería tener. No es un programa de cumplimiento normativo ni una póliza de seguro. Es una lista práctica que cierra las brechas que los atacantes usan con más frecuencia contra las pequeñas empresas: contraseñas robadas, software sin parches, redes abiertas y falta de copias de seguridad. Hacer bien estas cosas aporta más a la ciberseguridad para pequeñas empresas que cualquier herramienta cara por sí sola.

1. Cuentas y autenticación multifactor

Las cuentas de correo y de la nube son la puerta de entrada de una oficina moderna. La autenticación multifactor detiene la mayoría de los ataques que dependen de contraseñas robadas o reutilizadas.

• Active la autenticación multifactor en el correo, el almacenamiento en la nube, la banca, la contabilidad, el registrador de dominios y las cuentas de hosting.
• Prefiera una aplicación de autenticación o una llave de seguridad en lugar de mensajes de texto siempre que sea posible.
• Elimine las cuentas de exempleados el último día de trabajo y revise las cuentas compartidas.
• Otorgue derechos de administrador solo a quienes los necesitan y use cuentas de administrador separadas para el trabajo diario.
• Use un administrador de contraseñas empresarial para que el personal no reutilice contraseñas personales.

2. Administración de parches

El software sin parches es una de las formas más comunes por las que entran los atacantes. Una buena administración de parches significa que los sistemas operativos, los navegadores, las aplicaciones de oficina y el firmware de routers, firewalls, impresoras y cámaras se actualicen con un calendario predecible. Un proveedor también debe identificar los dispositivos que ya no reciben actualizaciones, como las computadoras atascadas en una versión de Windows sin soporte, y planificar su reemplazo.

3. Protección de endpoints

Cada laptop y computadora de escritorio necesita una protección de endpoints actualizada y visible de forma centralizada, para que alguien note cuando se desactiva o informa una amenaza. Agregue cifrado de disco completo en las laptops, bloqueo automático de pantalla y una forma de localizar o borrar un dispositivo perdido. En los teléfonos que acceden al correo de la empresa, una administración básica de dispositivos móviles mantiene los datos de la empresa separados y removibles.

4. Firewall y segmentación de Wi-Fi

Muchas oficinas pequeñas todavía funcionan con el router que instaló el proveedor de internet, con una sola red Wi-Fi compartida por el personal, los invitados, las cámaras y los televisores inteligentes. Un firewall empresarial adecuado con firmware actualizado es el comienzo. Después, separe el tráfico:

• Una red para el personal, con las computadoras de la empresa.
• Una red de invitados que llegue a internet pero a nada dentro de la oficina.
• Un segmento aparte para cámaras, impresoras y otros dispositivos que rara vez reciben actualizaciones de seguridad.

La segmentación de Wi-Fi limita el daño si un dispositivo se ve comprometido. El personal remoto debe conectarse mediante una VPN en lugar de exponer directamente a internet los servicios de la oficina.

5. Copias de seguridad probadas

Las copias de seguridad marcan la diferencia entre un incidente de ransomware incómodo y uno que acaba con el negocio. La clave son las copias de seguridad probadas: un respaldo que nadie ha restaurado nunca es solo una esperanza.

• Mantenga al menos una copia fuera del sitio o en la nube, y otra que no pueda modificarse ni borrarse desde la red de la oficina.
• Incluya los datos en la nube, como el correo y los archivos compartidos, y no solo los servidores locales.
• Restaure una muestra de archivos con regularidad, y de vez en cuando un sistema completo, para confirmar que el proceso funciona y saber cuánto tarda.

6. Concientización sobre phishing

La tecnología no puede detener todos los correos convincentes. Sesiones breves y periódicas de concientización sobre phishing enseñan al personal a reconocer facturas falsas, solicitudes de pago urgentes y páginas de inicio de sesión que imitan servicios conocidos. Igual de importante es una regla simple: cualquier solicitud de cambiar datos bancarios o enviar dinero se confirma por teléfono con un número conocido, nunca respondiendo al correo.

Qué debe evaluar primero un proveedor local

Una buena primera visita es una evaluación, no una presentación de ventas. Para oficinas en Long Beach, Los Ángeles y el South Bay, normalmente empezamos con:

• Qué cuentas no tienen autenticación multifactor y quién tiene derechos de administrador.
• Dispositivos con actualizaciones pendientes o sistemas operativos sin soporte.
• La configuración del firewall, el router y el Wi-Fi, incluidas las contraseñas predeterminadas y los ajustes de acceso remoto.
• Si existen copias de seguridad, dónde se guardan y cuándo se probó una restauración por última vez.
• Cualquier servicio expuesto a internet que no necesita estarlo.

El resultado debe ser una lista priorizada: arreglos rápidos que pueden hacerse de inmediato y elementos mayores, como el reemplazo de hardware, que pueden planificarse y presupuestarse. Nuestro servicio de configuración de redes, VPN y seguridad cubre el firewall, la segmentación de Wi-Fi y el acceso remoto seguro para oficinas pequeñas en Long Beach y el condado de Los Ángeles.

Cómo mantener la base vigente

Una base se deteriora si no se le presta atención. Entra personal nuevo, se agregan dispositivos y los ajustes cambian después de las actualizaciones. Revise la lista de verificación cada trimestre y después de cualquier cambio importante, como una mudanza de oficina o un nuevo servicio en la nube. Contar con notas escritas sobre quién administra qué hace la revisión mucho más rápida.

Preguntas frecuentes sobre la base de seguridad

¿Basta con un antivirus para una oficina pequeña?

No. La protección de endpoints es solo una capa. Sin autenticación multifactor, actualizaciones, segmentación de red y copias de seguridad probadas, una sola contraseña robada o un dispositivo sin parches aún puede causar daños graves.

¿Con qué frecuencia debemos probar las copias de seguridad?

Restaure algunos archivos al menos una vez al mes y haga una prueba de restauración más completa periódicamente, por ejemplo una o dos veces al año, para saber que los datos están ahí y cuánto tarda la recuperación.

¿De verdad atacan a las pequeñas empresas?

La mayoría de los ataques son automatizados y oportunistas. Buscan contraseñas débiles y sistemas sin parches sin importar el tamaño de la empresa, y por eso una base de seguridad básica es tan importante.