Un martes por la mañana, el correo que gestiona los pedidos de una pequeña empresa deja de recibir mensajes. Nadie ha tocado nada, no hay avería visible y el proveedor de internet dice que la conexión funciona. Dos horas después aparece la causa: una contraseña compartida entre tres personas y nunca cambiada. El incidente no fue espectacular, pero costó medio día de facturación.
Esa escena resume por qué conviene saber cómo reforzar la seguridad informática de tu negocio sin esperar a la próxima urgencia. Los ataques que tumban a una pyme rara vez son sofisticados: suelen aprovechar descuidos acumulados durante meses. Aquí tienes una secuencia pensada para ejecutarse en orden, con un criterio claro en cada tramo.
El punto de partida no es comprar herramientas, sino ordenar decisiones. Cada paso responde a una pregunta concreta y termina en algo que puedes comprobar hoy mismo, sin presupuesto adicional.
- Paso 1: inventaría quién entra y a qué
- Paso 2: cierra la puerta de las contraseñas y la verificación
- Paso 3: automatiza actualizaciones y prueba las copias
- Paso 4: prepara los equipos y a las personas
- Paso 5: revisa el avance y prepara una respuesta
- Ordena el siguiente paso con ayuda experta
Paso 1: inventaría quién entra y a qué
Antes de tocar cualquier sistema, necesitas saber qué existe. Siéntate con una hoja de cálculo y anota cada servicio que guarda información del negocio: correo, facturación, almacenamiento en la nube, mensajería y el programa de gestión que usas a diario. Añade quién tiene acceso a cada uno y con qué permisos.
El resultado suele sorprender. Aparecen cuentas de personas que ya no trabajan en la empresa, accesos concedidos para una sustitución puntual y que nadie retiró, y contraseñas que circulan por conversaciones antiguas. Una cuenta olvidada es una puerta abierta sin vigilancia, y quien ataca la busca justamente porque nadie la revisa.
El criterio práctico es el privilegio mínimo: cada persona debería ver solo lo que necesita para su trabajo. Si el comercial consulta el almacén pero no modifica precios, su cuenta no debería permitirlo. Documenta ese reparto y tendrás la base de todo lo que viene después.
Paso 2: cierra la puerta de las contraseñas y la verificación
Las contraseñas reutilizadas son el fallo más rentable para quien ataca. Una filtración en cualquier servicio ajeno permite probar esa misma combinación en tu correo corporativo, y funciona más veces de las que imaginas. La solución no es memorizar cadenas imposibles, sino usar un gestor que genere claves distintas para cada servicio.
Complementa eso con la verificación en dos pasos allí donde esté disponible, empezando por el correo y el acceso remoto. Aquí conviene decidir con criterio: prioriza la verificación por aplicación antes que el SMS, porque el segundo canal es vulnerable a la suplantación de tarjeta. No hace falta activarla en cincuenta sitios a la vez; empieza por los cinco que guardan información crítica.
Un detalle que se pasa por alto: revisa también los buzones compartidos del tipo «info@» o «administracion@». Si tres personas conocen la misma clave, nadie sabe quién hizo qué. Convierte esas cuentas en buzones con acceso delegado y rastros individuales.
Paso 3: automatiza actualizaciones y prueba las copias
Muchos equipos llevan meses con actualizaciones pendientes porque «todo funciona». Ese es justo el estado que aprovechan las vulnerabilidades conocidas: no hace falta un ataque nuevo, basta con una debilidad publicada y sin aplicar. Lo mismo ocurre con el firmware del router o con los complementos del gestor de contenidos de tu web.
La parte que casi nadie ejecuta es la prueba de restauración. Tener copias no significa poder recuperar el negocio. Una copia que nunca se ha restaurado es una promesa, no una protección. Elige un archivo poco importante, recupéralo hasta el final y mide cuánto tardas: ese tiempo será tu parada real si mañana falla el servidor.
Define después la frecuencia según el dato: la facturación diaria no admite el mismo ritmo que un archivo de contratos antiguos. Y guarda al menos una copia fuera del equipo y de la red local, para que un incidente no arrastre original y respaldo a la vez.
Ese trabajo de cierre de huecos tiene continuidad lógica en esta lectura sobre vulnerabilidades abiertas en pymes, útil para priorizar por impacto y no por urgencia.
Cómo proteger los sistemas frente a vulnerabilidades en pymes
Ordenar qué se actualiza primero evita dispersión: aplica antes los parches de lo que da servicio a clientes y deja para después el software auxiliar.
Paso 4: prepara los equipos y a las personas
El eslabón humano sigue siendo el más fácil de romper. Un correo que simula una factura pendiente, un enlace que imita al transportista habitual o una llamada del «banco» bastan para abrir la puerta. La formación funciona mejor cuando es breve, periódica y basada en ejemplos del propio sector, no en teoría general.
En el plano técnico, tres medidas resuelven buena parte del riesgo diario:
- Filtro antiphishing en el correo: bloquea en origen muchos mensajes antes de que alguien decida pulsar un enlace.
- Bloqueo automático de sesión y disco cifrado: si un portátil se pierde, la información no viaja legible.
- Inventario de dispositivos personales: aclara qué móviles y ordenadores particulares pueden conectarse y bajo qué condiciones.
Después de la lista, vuelve al criterio: cada medida necesita un responsable y una forma de comprobarse. Si nadie sabe quién revisa el filtro de correo, en la práctica no existe. Anota ese nombre y la fecha de la última revisión.
Paso 5: revisa el avance y prepara una respuesta
La seguridad no se cierra con una auditoría anual. Programa una revisión trimestral sencilla: accesos dados de alta y de baja, actualizaciones aplicadas, resultado de la última restauración y cualquier incidente registrado, aunque sea leve. Esa rutina detecta la deriva antes de que se convierta en problema.
Y ten preparado qué harás si algo pasa. No necesitas un gran protocolo, pero sí tres respuestas claras: a quién avisas primero, qué equipos desconectas y de dónde recuperas la información. Decidir con antelación evita improvisar en el peor momento. Si tus sistemas tratan datos personales, revisa también si el incidente obliga a notificar a una autoridad competente.
Reforzar la seguridad informática del negocio consiste en repetir controles pequeños con fecha y responsable, no en comprar una herramienta más.
Ordena el siguiente paso con ayuda experta
Recorrer estos cinco pasos ya mejora tu situación real, aunque solo completes los dos primeros. La clave es no tratarlos como una lista que se tacha y se olvida, sino como una rutina con responsables y fechas. Revisa el inventario de accesos, activa la verificación en las cuentas críticas y comprueba hoy mismo una restauración.
Si prefieres que alguien revise el conjunto y te diga qué priorizar, en 25 Veinticinco adaptamos tu empresa a la normativa vigente y protegemos tus sistemas frente a accesos no autorizados y vulnerabilidades. Cuéntanos qué tienes ahora y te propondremos por dónde empezar con servicios integrales de seguridad para empresas.
Da el primer paso esta semana: identifica las tres cuentas que más información guardan y refuérzalas antes del viernes.