Ciberseguridad para pequeñas empresas: 10 protecciones clave

Seguridad digital para pequeñas empresas, priorizada por lo que realmente detiene ataques: MFA, actualizaciones, copias de seguridad, fraude por correo y pagos, y un plan de incidentes de una página. No necesitas un equipo de seguridad.

Preguntas frecuentes

¿Cuál es el paso de ciberseguridad más importante para una pequeña empresa?

Activa la autenticación multifactor en el correo, la banca, el gestor de contraseñas y todas las cuentas de administración. Las contraseñas robadas están detrás de muchos accesos ilícitos, y la MFA detiene la mayoría. Cuando puedas, usa una app de autenticación o una llave de seguridad en vez de mensajes de texto.

¿Cuánto debería gastar una pequeña empresa en ciberseguridad?

No hay una cantidad fija. Muchas de las protecciones más eficaces son gratuitas o ya están incluidas en herramientas que pagas, como la MFA, las actualizaciones automáticas y el antivirus integrado. Los principales costes suelen ser un gestor de contraseñas, un servicio de copias de seguridad y, a medida que creces, asistencia informática gestionada. Consulta los precios vigentes.

¿De verdad atacan a las pequeñas empresas?

Sí, sobre todo mediante ataques automatizados y oportunistas: correos de suplantación, intentos de adivinar contraseñas y facturas falsas. Los atacantes no necesitan saber quién eres; solo necesitan una cuenta débil. Organismos públicos como CISA en EE. UU. y NCSC en el Reino Unido publican guías para pequeñas empresas precisamente por este motivo.

¿Necesito un seguro cibernético?

Puede cubrir costes de respuesta a incidentes, recuperación de datos y avisos legales. Antes de ofrecer un precio, las aseguradoras suelen preguntar si usas MFA, copias de seguridad y protección de dispositivos. Aplicar primero las medidas básicas también puede ayudarte a obtener cobertura.

¿Qué hago si creo que nos han hackeado?

Desconecta de la red los dispositivos afectados, cambia desde un dispositivo limpio las contraseñas de las cuentas afectadas, ponte en contacto inmediatamente con el banco si se movió dinero y contacta con tu proveedor de TI o aseguradora. Denuncia el fraude ante la autoridad correspondiente, como IC3 del FBI en EE. UU. o Action Fraud en el Reino Unido.

La ciberseguridad de una pequeña empresa se basa en una lista breve: autenticación multifactor en todas las cuentas importantes, actualizaciones automáticas, copias de seguridad probadas, un gestor de contraseñas y la costumbre de verificar cualquier solicitud de mover dinero. Estas cinco medidas bloquean muchos de los ataques que realmente sufren las pequeñas empresas y ninguna requiere un equipo de seguridad.

Los ataques contra pequeñas empresas rara vez son sofisticados. Suelen ser correos de suplantación, contraseñas reutilizadas, facturas falsas de proveedores y software sin actualizar. Por eso, las protecciones siguientes están ordenadas según el riesgo que eliminan por hora de trabajo, no por lo técnicas que parecen.

Las 10 protecciones, por orden de prioridad

#	Protección	Qué detiene	Esfuerzo
1	Autenticación multifactor	Toma de cuentas con contraseñas robadas	1 tarde
2	Regla de verificación de pagos	Facturas falsas, fraude del director general	1 reunión
3	Actualizaciones automáticas	Ataques a fallos de software conocidos	1 hora
4	Copias de seguridad restauradas y probadas	Ransomware, borrado, pérdida de equipos	Medio día
5	Gestor de contraseñas	Contraseñas débiles y reutilizadas	1 semana para implantarlo
6	Protección del correo	Suplantación del dominio y phishing	1 a 2 horas
7	Protección de dispositivos	Malware y portátiles perdidos	1 día
8	Acceso con privilegios mínimos	Que una cuenta comprometida dé acceso a todo	Continuo
9	Formación del equipo	Clics en mensajes de phishing	30 minutos por trimestre
10	Plan de incidentes	Caos cuando algo sale mal	1 hora

1. Autenticación multifactor (MFA)

Si esta semana haces una sola cosa, que sea esta. Activa la MFA en este orden:

Correo electrónico (Google Workspace o Microsoft 365). El correo permite restablecer las demás contraseñas.
Banca y cuentas de pago en línea (Stripe, PayPal y nóminas).
El registrador del dominio y el alojamiento del sitio. Perderlos significa perder el sitio y el correo.
Cuentas de contabilidad, CRM y redes sociales.

Es mejor usar una app de autenticación (Microsoft Authenticator, Google Authenticator o la del gestor de contraseñas) o una llave física como YubiKey. Los códigos por mensaje de texto son mejores que nada, pero se pueden interceptar mediante el intercambio de SIM. En Google Workspace y Microsoft 365, los administradores pueden exigir MFA a todo el mundo para que nadie la desactive.

2. La regla para verificar pagos

La vulneración del correo empresarial, en la que un delincuente se hace pasar por un proveedor o propietario y pide un pago o un cambio de datos bancarios, es uno de los delitos más costosos que el IC3 del FBI recibe cada año. Ningún software lo detiene por completo. Una regla sí ayuda:

Confirma por teléfono cualquier nuevo beneficiario o cambio de datos bancarios, usando un número que ya tenías, nunca uno incluido en el correo.
Confirma en persona o mediante un número conocido las solicitudes urgentes de pago que supuestamente envía «el jefe».
Exige que dos personas aprueben los pagos que superen una cantidad determinada.

Déjalo por escrito e informa a quien lleva la contabilidad y al banco.

3. Actualizaciones automáticas

La mayoría de los ataques que tienen éxito aprovecha fallos que ya tienen solución. Activa las actualizaciones automáticas de Windows, macOS, teléfonos, navegadores y plugins. Sustituye los productos que ya no reciben soporte, como un router antiguo o un sistema operativo que haya llegado al fin de su vida útil. Si usas WordPress, mantén actualizados el núcleo, los temas y los plugins, y elimina los que no utilizas.

4. Copias de seguridad que hayas restaurado de verdad

La regla 3-2-1 es una buena referencia: tres copias de los datos importantes, en dos tipos de almacenamiento y una fuera del sitio. Para la mayoría de las pequeñas empresas sería algo así:

Archivos en la nube (Google Drive, OneDrive o Dropbox) como copia de trabajo
Un servicio de copias independiente que conserve el historial de versiones, para poder recuperar archivos cifrados por ransomware
Una copia que no esté conectada de forma permanente, para que un atacante tampoco pueda borrarla

Ten en cuenta que Google Workspace y Microsoft 365 no son copias de seguridad completas por sí solos; los elementos eliminados solo se conservan durante un tiempo limitado. Una vez por trimestre, restaura un archivo real y mide cuánto tardas. Una copia no probada es solo una suposición.

5. Un gestor de contraseñas

Reutilizar contraseñas convierte una filtración en un sitio web en acceso al correo. Un gestor empresarial como 1Password, Bitwarden o Dashlane asigna contraseñas únicas, permite compartir accesos sin enviarlos por chat y facilita retirar el acceso al instante cuando alguien se marcha. Consulta los precios actuales; los planes de empresa suelen cobrarse por usuario.

6. Protección del correo

Aquí hay dos tareas:

Evita que suplanten tu dominio. Configura los registros DNS SPF, DKIM y DMARC del dominio. Tu proveedor de correo ofrece instrucciones paso a paso. Google y Yahoo ya los exigen a quienes envían grandes volúmenes y, además, dificultan que los delincuentes envíen facturas falsas que parezcan tuyas.
Filtra el correo entrante. Usa los filtros integrados contra phishing y malware de Google Workspace o Microsoft 365 y activa los avisos para remitentes externos.

7. Protección de dispositivos

Activa el cifrado completo del disco: BitLocker en Windows, FileVault en Mac y el cifrado predeterminado en teléfonos modernos.
Mantén activo el antivirus integrado (Microsoft Defender viene incluido en Windows).
Exige bloquear la pantalla con un tiempo de espera breve.
Cuando tengas alrededor de diez empleados, considera la gestión de dispositivos (Microsoft Intune, gestión de endpoints de Google o Jamf para Mac) para borrar a distancia un portátil perdido.

8. Acceso con privilegios mínimos

Da a cada persona el acceso que necesita y nada más. Separa las cuentas de administración de las de uso diario. Retira a antiguos empleados y contratistas el día que se marchen. Revisa dos veces al año quién tiene acceso a la banca, las nóminas y el alojamiento del sitio web.

9. Formación del equipo

Evita el vídeo anual de una hora. En su lugar:

Muestra ejemplos reales de phishing que hayan llegado a la bandeja de entrada.
Facilita que cualquiera pueda reportar un correo sospechoso sin miedo a ser culpado.
Enseña una regla: si un correo genera urgencia sobre dinero, contraseñas o tarjetas regalo, verifica la solicitud por otro medio.

10. Un plan de incidentes de una página

Escríbelo antes de necesitarlo:

A quién llamar: proveedor de TI, línea de fraude del banco, aseguradora y abogado si hay datos de clientes implicados.
Cómo aislar un dispositivo: desconecta el cable de red, apaga el Wi-Fi y no lo apagues del todo si quizá necesites conservar pruebas.
Dónde están las copias y quién puede restaurarlas.
Tus obligaciones legales de avisar a clientes o reguladores si se exponen datos personales; varían según el país y el estado.

Imprímelo. Si los sistemas quedan bloqueados, un documento en la unidad compartida no servirá.

Qué hacer esta semana, este mes y este trimestre

Esta semana: activa MFA en el correo, banco y registrador del dominio. Escribe la regla de verificación de pagos y compártela.
Este mes: activa las actualizaciones automáticas en todo, configura un servicio de copias y restaura un archivo, y empieza a implantar un gestor de contraseñas con los accesos compartidos.
Este trimestre: configura SPF, DKIM y DMARC en el dominio, cifra todos los portátiles, revisa los accesos y redacta el plan de incidentes de una página.

Una vez hecho esto, pregunta a la aseguradora o al proveedor de TI qué más añadirían para tu sector. Las empresas que aceptan pagos con tarjeta también deberían consultar los requisitos PCI DSS que les correspondan; los consultorios sanitarios o jurídicos pueden tener reglas sectoriales adicionales.

Tu sitio web también forma parte de la superficie de ataque

También importan tu sitio web y tu dominio. Usa HTTPS en todas partes, protege el registrador con MFA y bloqueo de dominio, mantén actualizado el software del sitio y no almacenes tú mismo números de tarjeta: deja que se encargue el procesador de pagos. Las plataformas alojadas reducen gran parte del trabajo de mantenimiento. Por ejemplo, We.Inc incluye SSL en los sitios que crea, así que no tienes que gestionar actualizaciones del servidor ni de plugins. Para las tareas de mantenimiento que quedan, consulta nuestra guía sobre el coste de mantenimiento web.

Para obtener orientación oficial y gratuita, vale la pena leer los recursos de CISA para pequeñas empresas, las guías de inicio rápido del NIST Cybersecurity Framework y la guía para pequeñas empresas del NCSC del Reino Unido.

Empieza gratis

Empieza gratis · Sin tarjeta de crédito

Umair Ali Sadaqat

Fundador de We.Inc

Umair es el fundador de We.Inc. Escribe sobre la creación de sitios web con IA, las agencias y el negocio de gestionar un estudio web.

¿Listo para crear algo grande?

Únete a los 15,000+ negocios que usan We.Inc para lanzar, crecer y automatizar, todo desde una plataforma.