La ciberseguridad básica para un pequeño negocio empieza por reconocer qué información necesita proteger y quién puede actuar si algo falla. Correo, pedidos y cuentas merecen una revisión proporcionada. Esta guía reúne diez medidas para organizar ese trabajo, propone ensayos con datos ficticios y distingue una preparación documentada de una recuperación que todavía no se ha probado.
Ciberseguridad básica: qué necesitas proteger
ENISA identifica, en entrevistas a pequeñas empresas europeas realizadas durante la pandemia, incidentes como phishing, ransomware y robo de portátiles. Son experiencias de ese contexto, no una tasa actual de ataques para cualquier país. Sirven para ampliar la pregunta: además de un programa malicioso, ¿qué supondría perder un equipo o el acceso al correo?
MEE propone empezar con una hoja: información necesaria para trabajar, lugar donde está, persona responsable y forma de recuperar el acceso. Incluye los compromisos que tendrías que explicar si una interrupción impidiera atenderlos. El inventario debe ayudar a decidir qué revisar primero y qué dudas requieren apoyo especializado.
Diez medidas para organizar la revisión
La selección siguiente es de MEE. Combina orientaciones de INCIBE, ENISA y la Comisión Federal de Comercio de Estados Unidos, con tareas propuestas para convertirlas en una revisión concreta. No es una certificación ni promete evitar una proporción determinada de incidentes.
- Identifica los activos. Enumera equipos, cuentas, datos y páginas de los que depende tu actividad. INCIBE los incluye en el punto de partida de su ficha para pymes.
- Asigna una responsabilidad. Escribe quién coordina la revisión y quién le sustituye. ENISA recomienda definir responsabilidades; dejar una persona de referencia no convierte todo el problema en tarea suya.
- Revisa las contraseñas. La FTC recomienda contraseñas fuertes y contempla el uso de un gestor. Comprueba qué cuentas necesitan atención, sin copiar sus claves dentro del inventario.
- Añade autenticación adicional. La FTC recomienda doble factor. Revisa las opciones de cada servicio y documenta cómo conservarías el acceso de recuperación sin divulgar los códigos al equipo.
- Atiende las actualizaciones. La FTC aconseja actualizar los programas y utilizar actualizaciones automáticas. Anota qué equipos o aplicaciones necesitan una revisión manual y quién comprobará las tareas pendientes.
- Limita los accesos. INCIBE aconseja controlarlos y retirar software obsoleto. Revisa quién necesita entrar en cada recurso y qué acceso sigue abierto después de un cambio de funciones.
- Verifica los mensajes inesperados. Ante un enlace imprevisto, la FTC aconseja contactar por una dirección o número que sepas auténtico. Ensaya ese paso con un mensaje inventado.
- Separa las copias del trabajo habitual. La guía de ENISA recomienda mantenerlas aparte del entorno de producción. Escribe qué copiarías, dónde y con qué periodicidad prevista.
- Prueba la recuperación. INCIBE recomienda comprobar la restauración. Define una prueba autorizada y registra su resultado; «tenemos una copia» y «recuperamos este archivo» expresan comprobaciones diferentes.
- Prepara la respuesta. INCIBE recomienda un plan con acciones y responsables. Deja localizables los contactos de apoyo y acuerda cómo comunicar una incidencia al equipo.
Si aparece un incidente
La guía de ENISA plantea un plan formal de respuesta con funciones claras. Para prepararlo, MEE propone escribir qué persona coordina, cómo se pide ayuda y dónde se registran los hechos. No necesitas incluir contraseñas o información de clientes en ese documento de organización.
Durante un ensayo de mesa, plantea una situación ficticia: una persona informa de que no puede acceder al correo. Describe quién recibe el aviso, quién contacta con el soporte conocido y cómo se mantiene informado el equipo. Conserva como pendientes las decisiones técnicas que no puedas resolver con conocimiento suficiente.
Ante un incidente real, sigue el plan correspondiente y solicita apoyo cualificado. Evita improvisar borrados o restauraciones: una guía general no determina qué procedimiento necesita un equipo concreto. Anota lo observado y cuándo ocurrió, siguiendo las indicaciones de quien gestione la respuesta. Este artículo no realiza un diagnóstico de un sistema afectado.
El mejor argumento en contra: tiempo, coste y complejidad
ENISA reconoce que el presupuesto limitado y la falta de conocimientos dificultan la seguridad de las pymes. Esa objeción obliga a tomar en serio la carga del trabajo. Una lista de recomendaciones no aporta por sí sola personal, tiempo o dinero, y puede dejar tareas abiertas que requieran asistencia externa.
La respuesta de MEE es hacer visible esa carga. Elige una revisión que puedas completar, asigna una persona y escribe qué queda fuera de su alcance. Si necesitas ayuda, prepara preguntas concretas sobre los recursos identificados. Priorizar permite ordenar el siguiente paso; no convierte lo aplazado en un riesgo resuelto.
Dos ensayos sin datos reales
Ejemplo hipotético: una tienda descubre en su revisión que no sabe quién mantiene el acceso a una página antigua. La responsable anota la duda, identifica al proveedor y prepara una consulta por su canal conocido. El ejercicio encuentra una tarea pendiente; no demuestra que la cuenta estuviera comprometida ni que una modificación haya sido aplicada.
Ejemplo hipotético: un taller conserva una copia de un archivo ficticio de pedidos. Durante una prueba autorizada intenta recuperarlo en un entorno preparado para ello y registra qué pudo abrir. Si la recuperación falla, mantiene esa tarea pendiente y busca ayuda. El ensayo no permite afirmar que toda la información del taller sea recuperable.
Qué puedes hacer tú
Escoge un recurso importante y completa cuatro casillas: responsable, acceso, copia prevista y ayuda necesaria. Añade la fecha de la última comprobación realmente realizada. Después acuerda la siguiente revisión. Mantén separadas las acciones terminadas, los ensayos previstos y las dudas: ese registro ofrece una base concreta para decidir dónde dedicar esfuerzo.
Preguntas frecuentes
¿Con estas medidas queda protegido todo el negocio?
No permiten dar esa garantía. Son un punto de partida para revisar recursos y responsabilidades. La situación depende de los sistemas, las personas y las tareas concretas. Conserva las dudas abiertas y pide apoyo cuando corresponda. Marcar una lista no equivale a una auditoría ni demuestra la ausencia de incidentes.
¿Puedo probar con una copia de datos de clientes?
Para el ejercicio inicial, usa un archivo ficticio que puedas identificar y comparar después. Así delimitas qué intentas recuperar sin involucrar información real de terceros. Una prueba sobre sistemas de trabajo necesita preparación y autorización adecuadas. Describe lo que comprobaste en ese ensayo, sin extender el resultado a otros archivos.
¿Qué hago si no tengo una persona especializada?
Empieza por identificar los recursos y escribir las dudas que no sabes resolver. Define quién coordinará las consultas y busca asistencia adecuada para las decisiones técnicas. No presentes una tarea como completada porque alguien figure como responsable. Ese nombre organiza el seguimiento; la comprobación pendiente sigue necesitando trabajo y conocimiento.
Para seguir aprendiendo
- Guía de seguridad digital para expresarte con libertad
- Alfabetización digital básica: lo mínimo para trabajar hoy
- Programar sin ser programador: herramientas sin código
Fuentes y alcance
Consulta y revisión: 03/11/2026. Los ejemplos hipotéticos y las pautas prácticas son propuestas de MEE. Se indica el alcance de las fuentes consultadas.
- INCIBE · 7 claves prácticas para fortalecer la seguridad digital de tu pyme. Ficha de una página leída en la consulta web. Orientaciones sobre activos, accesos, copias y respuesta. La descarga local no devolvió un PDF legible. Consulta: 03/11/2026.
- ENISA · SMEs Cybersecurity, página temática. Contexto de entrevistas europeas durante la pandemia y barreras de presupuesto y conocimientos. No tasa actual mundial de ataques. Consulta: 03/11/2026.
- Federal Trade Commission · Protect Your Personal Information From Hackers and Scammers · noviembre de 2024. Orientaciones consultadas en la página oficial: contraseñas, doble factor, actualizaciones y verificación de mensajes. El acceso local devolvió un error 404. Consulta: 03/11/2026.
- ENISA · Cybersecurity guide for SMEs: 12 steps to securing your business · 2021. Pasajes de la guía de 2021 sobre responsabilidades, acceso, copias y plan de respuesta. No auditoría o prueba de recuperación de un negocio concreto. Consulta: 03/11/2026.
