Ciberseguridad para pymes: plan básico

Una pyme no necesita un departamento de seguridad para estar razonablemente protegida: necesita hacer bien unas pocas cosas, en el orden correcto, y revisarlas con regularidad. En esta lección convertirás todo lo aprendido hasta ahora en un plan concreto para un negocio de 5 a 50 personas, con una forma de medir el avance que puedes mostrar a los socios y un caso real de una empresa de logística en Guadalajara.

1. Conoce tus prioridades
2. Mide dónde estás
3. Planifica 90 días
4. Protege el correo
5. Asigna el presupuesto

Por qué una pyme necesita un plan propio

Las grandes empresas tienen equipos, herramientas y auditorías. Una pyme suele tener a "la persona que sabe de computadoras", contraseñas compartidas entre varios empleados y la información crítica repartida entre laptops, celulares y cuentas personales de correo o nube. A la vez, depende de muy pocos sistemas: si el correo, la facturación o la cuenta bancaria fallan, el negocio se detiene. Por eso la prioridad no es comprar herramientas sofisticadas, sino cerrar las puertas más usadas y asegurarse de poder recuperarse.

Los controles que más protegen

Si solo pudieras hacer cinco cosas este mes, deberían ser estas. Son baratas, se aplican en pocos días y cortan la mayoría de los ataques que viste en el nivel básico:

El quinto es capacitar al equipo contra el phishing y fijar la regla de verificar por teléfono cualquier cambio de datos bancarios. Cuesta muy poco y protege contra el fraude del falso proveedor, que no se detiene con tecnología.

Cómo medir: el porcentaje de cumplimiento ponderado

No todos los controles valen lo mismo. Tener doble factor importa más que tener una política firmada. Por eso cada control del checklist tiene un peso: 3 para los críticos, 2 para los importantes y 1 para los recomendables. Luego:

Puntos obtenidos: Sí = peso · Parcial = peso × 0,5 · No = 0
Puntos posibles:  el peso de cada control (los N/A no cuentan)
% de cumplimiento = suma de puntos obtenidos ÷ suma de puntos posibles

En Excel (fila 5):
=SI(E5="Sí";D5;SI(E5="Parcial";D5*0,5;0))        puntos obtenidos
=SI(E5="N/A";0;D5)                               puntos posibles
=SUMA(F5:F24)/SUMA(G5:G24)                       % total
=SUMAR.SI(B5:B24;"Proteger";F5:F24)/SUMAR.SI(B5:B24;"Proteger";G5:G24)   % de una función

El checklist de la plantilla agrupa los 20 controles en las 6 funciones del NIST Cybersecurity Framework 2.0 (Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar), que estudiarás a fondo en la próxima lección. El semáforo marca "Bueno" a partir del 80%, "Mejorable" entre 50% y 79% y "Crítico" por debajo del 50%.

El plan de 90 días

Intentar todo a la vez agota al equipo y no termina nada. Divide el trabajo en tres etapas de un mes, empezando por lo que más reduce el riesgo con menos esfuerzo:

1. Días 1 a 30Cerrar las puertas más usadasDoble factor en correo, banca y nube; copias automáticas funcionando; actualizaciones automáticas activadas; contraseñas de fábrica cambiadas; bajas de exempleados revisadas. Nombrar a un responsable.
2. Días 31 a 60Ordenar y endurecerInventario de equipos, cuentas y datos; gestor de contraseñas para el equipo; cuentas de administrador separadas; cifrado de laptops; red de invitados; SPF, DKIM y DMARC en el dominio.
3. Días 61 a 90Preparar al equipo y a la empresaCapacitación contra phishing y simulación; plan de respuesta a incidentes de una página; primera prueba de restauración; revisión de proveedores críticos; nueva medición con el checklist.
4. DespuésMantenerRevisión trimestral del checklist, prueba de restauración mensual y capacitación anual. La seguridad es un hábito, no un proyecto que termina.

Protege el correo de tu dominio: SPF, DKIM y DMARC

Si tu empresa usa un correo con dominio propio (ventas@tuempresa.com), cualquiera podría intentar enviar correos que parezcan venir de ese dominio para engañar a tus clientes. Tres registros que se configuran en el DNS del dominio lo dificultan mucho:

Lo habitual es empezar DMARC en modo de solo monitoreo, revisar los reportes durante unas semanas para descubrir qué servicios legítimos envían en tu nombre (la plataforma de email marketing, el sistema de facturación) y luego endurecer la política. Tu proveedor de correo tiene guías paso a paso. Si haces campañas de correo, esto además mejora la entrega, como verás en la lección de email marketing del curso de marketing digital.

Cuánto invertir y en qué

No hay una cifra universal, pero sí una forma de repartirla con sentido. Este es un presupuesto ilustrativo de una pyme mexicana de 25 personas que decidió destinar $60.000 MXN al año a seguridad, es decir, $2.400 por empleado al año o $200 al mes. Los precios reales varían según el proveedor y el país:

Caso: una empresa de logística en Guadalajara

Lo pendiente para el siguiente trimestre: revisar a los proveedores críticos (el único control que seguía en "No"), terminar el inventario de datos personales y ensayar el plan de respuesta con un simulacro.

Errores comunes

Resumen

• Una pyme se protege bien con pocos controles bien hechos: doble factor, copias probadas, actualizaciones, cuentas individuales y capacitación.
• El porcentaje de cumplimiento ponderado (obtenidos ÷ posibles) muestra el avance y da más peso a lo crítico.
• Un plan de 90 días en tres etapas evita querer hacerlo todo a la vez.
• SPF, DKIM y DMARC dificultan que suplanten el correo de tu dominio.
• El presupuesto debe ir primero a proteger equipos, identidades y copias, y medirse cada trimestre.

En la próxima lección: Gestión de riesgos y el marco NIST CSF. Aprenderás a calcular y priorizar riesgos con una matriz de probabilidad e impacto y a usar las seis funciones del NIST CSF 2.0.