10 medidas de ciberseguridad que deberías revisar este mes
Diez controles concretos para pequeñas empresas y autónomos: MFA, actualizaciones, copias, permisos, phishing, dispositivos, dominios, recuperación y simulacro.
1. Activa MFA y elimina cuentas que ya no se usan
Empieza por correo, banca, nube, hosting y paneles de administración. Siempre que el servicio lo permita, utiliza un segundo factor resistente al phishing. Revisa además usuarios antiguos, cuentas compartidas y métodos de recuperación.
2. Comprueba que las actualizaciones realmente se instalan
No basta con activar “automático”. Revisa la versión de sistema operativo, navegador, router y aplicaciones críticas. Los equipos que llevan meses fuera de uso pueden volver a la red con software antiguo.
3. Prueba una restauración de copia de seguridad
Una copia que nunca se ha restaurado es una hipótesis. Elige un archivo o conjunto pequeño, restaura y verifica que se abre. Para sistemas críticos, documenta quién puede recuperar y cuánto tardaría.
4. Reduce permisos de administrador
Las tareas diarias no deberían necesitar una cuenta con control total. Separa administración y uso normal cuando sea posible, y revisa accesos de proveedores o personas que ya no colaboran.
5. Crea una regla para pagos y cambios bancarios
El phishing no siempre busca contraseñas; también intenta cambiar cuentas de pago. Establece verificación por un canal diferente para cambios de IBAN, pagos urgentes o nuevas instrucciones de un proveedor.
6. Cifra y bloquea dispositivos
Portátiles y móviles de trabajo deben tener bloqueo, cifrado disponible y posibilidad de localizar o borrar cuando el servicio lo permita. Un dispositivo perdido no debería equivaler a acceso automático al correo y a todos los servicios.
7. Protege dominio, hosting y DNS
Un atacante que controla el dominio puede redirigir web y correo. Activa MFA en registrador y hosting, conserva recuperación actualizada y revisa quién tiene acceso. Para sitios web, mantén una copia independiente del contenido y configuración.
8. Revisa seguridad del correo
Comprueba reenvíos automáticos desconocidos, reglas extrañas y dispositivos conectados. Si administras un dominio, configura los mecanismos de autenticación de correo que correspondan y monitoriza cambios.
9. Haz inventario de servicios y datos
No puedes proteger una cuenta que has olvidado. Mantén una lista básica de herramientas, propietario, tipo de datos y método de acceso. Cancela servicios que ya no utilizas.
10. Haz un simulacro de 30 minutos
Plantea: “mañana no puedo entrar en el correo” o “el portátil principal se pierde”. ¿Quién recupera acceso? ¿Dónde están las copias? ¿Cómo contactas con clientes? Un simulacro revela huecos que una checklist no muestra.
Checklist para aplicarlo
- MFA activo en correo, nube, hosting y banca.
- No quedan usuarios o accesos antiguos.
- Sistemas y aplicaciones están actualizados.
- He restaurado una copia de prueba.
- Los cambios de pago se verifican por segundo canal.
- Dominio y hosting tienen recuperación segura.
- Existe un inventario de servicios y un procedimiento básico de incidente.
Preguntas frecuentes
¿El antivirus es suficiente?
No. Es una capa más. Identidad, actualizaciones, copias y recuperación suelen ser igual o más importantes.
¿Cada cuánto debo revisar accesos?
Hazlo cuando alguien entra o sale y añade una revisión periódica. La frecuencia depende del tamaño y del riesgo.
¿Qué copia de seguridad es mejor?
La que cubre los datos críticos y cuya restauración has probado. Mantener copias separadas reduce el riesgo de que un incidente afecte a todo a la vez.
Fuentes y documentación para ampliar
Priorizamos documentación primaria y organismos especializados. Las funciones, límites y condiciones de servicios pueden cambiar; comprueba la versión vigente antes de tomar una decisión.