Una pyme puede tener cuadros de mando impecables y seguir expuesta por una razón muy simple: la operación real vive en los atajos. El comercial que comparte usuario “porque así va más rápido”, la responsable de administración que desbloquea accesos por WhatsApp, el técnico que hace una copia “por si acaso” sin probar nunca la restauración. Todo eso parece eficiencia hasta el día en que se convierte en un incidente.
La pregunta útil no es si tu empresa “tiene ciberseguridad”, sino si puede seguir operando cuando una cuenta, un portátil o una copia de seguridad fallan.
Octubre, con el Mes Europeo de la Ciberseguridad, es una buena ocasión para dejar de hablar en abstracto y comprobar cuatro controles que una pyme sí puede revisar esta semana. No hacen falta grandes presupuestos ni un programa de transformación; hace falta una conversación incómoda, un pequeño repaso técnico y una decisión clara sobre quién responde cuando algo se rompe. ENISA define esta campaña europea como una iniciativa anual para promover la ciberseguridad entre ciudadanos y organizaciones de la UE. (enisa.europa.eu)
El problema no suele ser técnico; suele ser de fricción
En muchas empresas, el mayor riesgo no está en el ransomware sofisticado, sino en las excepciones normales. El acceso temporal que se quedó permanente. La contraseña compartida entre dos personas porque “solo es para entrar al portal”. El proveedor externo que conserva privilegios aunque ya no trabaje en el proyecto. Son decisiones pequeñas, tomadas para no frenar el trabajo, pero que dejan un hueco operativo muy real.
Aquí hay una idea importante: si una medida de seguridad obliga a demasiados rodeos, el equipo acaba esquivándola. Por eso no conviene empezar por el control más bonito, sino por el que toca la rutina de verdad. La campaña de octubre sirve para eso: mirar los puntos donde la seguridad y la productividad se pelean cada día.
Cuatro comprobaciones que sí cambian el día a día
La primera es quién tiene acceso y si ese acceso sigue teniendo sentido. No basta con saber cuántas cuentas existen; importa saber cuántas siguen activas por costumbre. Revisa altas, bajas y accesos de terceros. Si una persona cambia de puesto, ¿se ajustan sus permisos o solo se añade más excepción?
La segunda es MFA, autenticación multifactor. MFA significa pedir más de una prueba de identidad, por ejemplo contraseña y aplicación móvil. No es infalible, pero reduce mucho el impacto de una contraseña robada. El criterio práctico no es “tener MFA”, sino saber en qué servicios está activado y dónde todavía se puede entrar con una sola llave.
La tercera es la copia de seguridad, pero no como gesto ritual. Una copia que no se puede restaurar es una promesa, no una protección. La prueba útil es sencilla: recuperar un archivo, una carpeta o una cuenta en un entorno de prueba y medir cuánto tarda. Ese tiempo es más honesto que cualquier discurso sobre continuidad.
La cuarta es la respuesta. ¿Quién decide apagar una cuenta? ¿Quién avisa al equipo? ¿Quién habla con el proveedor? Si la respuesta depende de una persona concreta y no de un procedimiento mínimo, la empresa no tiene un plan: tiene suerte.
Un caso pequeño: cuando el atajo se vuelve coste
Imaginemos una empresa de distribución con veinte empleados. El equipo de ventas usa un acceso común al portal del cliente externo porque resulta más cómodo. Administración recibe facturas por correo y las guarda en una carpeta compartida. TI, interno o externo, hace copias cada noche, pero nadie ha pedido una restauración en dos años.
Un lunes, una cuenta de correo cae en manos equivocadas. El problema no es solo el correo: desde ahí se accede a la carpeta compartida, se reenvían facturas y se activa una cadena de llamadas internas. El daño económico no viene de una sola brecha, sino de varias decisiones que parecían menores. Esa es la lección incómoda: la seguridad suele romperse en los puntos donde la empresa decidió no interrumpirse.
La decisión incómoda: menos comodidad hoy para menos caos mañana
Aquí suele aparecer la resistencia real. “Si quitamos accesos compartidos, el equipo perderá velocidad”. “Si obligamos a restaurar una copia de prueba, desperdiciamos tiempo”. “Si cerramos privilegios antiguos, alguien se quedará bloqueado”. Todo eso puede ser cierto. La cuestión es si prefieres una molestia controlada ahora o una interrupción desordenada después.
No se trata de convertir la empresa en un bunker. Se trata de poner límites donde el trabajo improvisado se ha convertido en norma. Una política buena no es la que nadie discute; es la que el equipo puede cumplir incluso en un martes complicado.
Un experimento pequeño para esta semana
En vez de lanzar un proyecto grande, prueba esto durante siete días:
- Elige un servicio crítico y revisa todos sus accesos activos.
- Activa o verifica MFA en las cuentas con más privilegios.
- Restaura un archivo o carpeta desde copia de seguridad y cronometra el proceso.
- Escribe en una página quién decide y quién comunica si hay un incidente.
Si estos cuatro pasos ya generan sorpresa, tienes un mapa bastante fiable de dónde está el riesgo. Y si no generan sorpresa, mejor todavía: quizá ya tienes una base sólida sobre la que construir.
La pregunta no es si tu pyme puede permitirse dedicar una hora a esto. La pregunta es si puede permitirse no hacerlo. En Codefuente solemos empezar por estas pruebas pequeñas porque revelan mucho más que una auditoría abstracta.
Tres acciones para esta semana: revisa los accesos de un servicio crítico, comprueba una restauración real y escribe el nombre de la persona que tomaría la primera decisión si mañana hubiera un incidente.