¿Qué es la ciberseguridad? Medidas para pymes

01¿Qué protege la ciberseguridad?

La ciberseguridad se apoya en tres objetivos básicos: la confidencialidad de los datos, es decir, que solo las personas autorizadas puedan verlos; su integridad, es decir, que no se modifiquen sin permiso; y su disponibilidad, es decir, que puedan usarse cuando se necesitan. Un ataque vulnera al menos uno de los tres.

En una pequeña empresa, lo que hay que proteger es más de lo que se cree: la lista de clientes y sus datos de contacto, los registros contables, la información bancaria y de pagos, la correspondencia por correo electrónico, el sitio web y el sistema de reservas o pedidos. Cada uno de ellos tiene tanto valor comercial como responsabilidad legal.

02¿Por qué las pymes están en el punto de mira?

Un error muy extendido es pensar que los atacantes solo apuntan a las grandes empresas. En realidad, la mayor parte de los ataques están automatizados: internet se escanea de forma constante y, cuando se encuentra un sitio sin actualizar, una cuenta con contraseña débil o una conexión de escritorio remoto abierta, se aprovecha sin mirar el tamaño de la empresa.

La verdadera dificultad de la ciberseguridad para pymes son los recursos: no hay un equipo de seguridad propio y las tareas de TI suelen ser una función añadida de algún empleado. La buena noticia es que una parte importante de los ataques se evita no con productos caros, sino con unos pocos hábitos básicos.

03Tipos de ciberataques

Los tipos de ciberataques que más sufren las pequeñas empresas son más humanos que técnicos. El atacante, muchas veces, no rompe un sistema: engaña a alguien para que le abra la puerta.

Phishing

Es el método de hacerse pasar, mediante un correo o un mensaje, por un banco, una empresa de mensajería o un proveedor conocido para llevar al usuario a una página de acceso falsa y robarle la contraseña. Las señales para reconocerlo y las formas de protegerse se explican con detalle en nuestro artículo qué es el phishing.

Ransomware

Es el software malicioso que cifra los archivos del ordenador y del servidor y exige un pago para abrirlos. Pagar no garantiza que los archivos se recuperen; la única garantía real son las copias de seguridad guardadas fuera de la red. Tratamos el tema aparte en la guía de ransomware.

Facturas falsas y fraude del CEO

El atacante escribe como si fuera un proveedor o un directivo desde una cuenta de correo que ha tomado o suplantado, y pide que el pago se haga a una cuenta nueva. Como no contiene software malicioso, pasa fácilmente los filtros; la medida más eficaz es la regla de la confirmación por teléfono.

Ataques a contraseñas

Los pares de usuario y contraseña filtrados de otros sitios se prueban automáticamente en las cuentas que usan la misma contraseña. Una contraseña filtrada en un sitio pone en peligro todas las cuentas en las que la haya reutilizado.

Vulnerabilidades web y DDoS

Los componentes de software sin actualizar, las contraseñas débiles del panel de administración y un tratamiento defectuoso de los formularios son los puntos débiles más comunes de los sitios web. Los ataques DDoS, por su parte, saturan el sitio con tráfico falso hasta dejarlo inaccesible.

04Medidas básicas de bajo presupuesto

Las siguientes medidas de seguridad para empresas no exigen una gran inversión, pero reducen de forma notable la superficie de ataque. No hace falta hacerlas todas a la vez; los tres primeros puntos son los de mayor rentabilidad.

• Verificación en dos pasos: hágala obligatoria en las cuentas de correo, banca, contabilidad, redes sociales y panel de administración del sitio.
• Contraseñas únicas y largas: use una contraseña distinta para cada cuenta y guárdelas en un gestor de contraseñas; cómo crearlas se explica en el artículo cómo crear una contraseña segura.
• Actualizaciones periódicas: active la actualización automática en el sistema operativo, el navegador, el software de oficina, el módem y los componentes del sitio web.
• Copia de seguridad aparte: haga copias automáticas, con al menos una de ellas guardada fuera de la red o de forma inalterable.
• Mínimo privilegio: que cada empleado acceda solo a las cuentas que necesita para su trabajo; las cuentas de administrador no deben usarse a diario.
• Red de invitados: separe el Wi-Fi abierto para clientes de la red en la que están la caja, el TPV y los ordenadores de la oficina.
• Proceso de baja: cierre las cuentas del empleado que deja la empresa el mismo día y cambie las contraseñas compartidas.

05Seguridad del sitio web y del servidor

Su sitio web es, a menudo, la única puerta de su negocio abierta a internet. Servir el sitio con HTTPS, proteger el panel de administración con autenticación sólida, eliminar los componentes que no se usan y mantener actualizado el software del servidor son los requisitos básicos. Al encargar una nueva web corporativa, preguntar por estos puntos en la fase de presupuesto es mucho más fácil que parchear después.

La seguridad y el rendimiento suelen trabajar en las mismas capas: un software de servidor actualizado, una caché y una CDN bien configuradas, y una capa de red que filtra el tráfico de ataque antes de que llegue a su sitio. Abordamos estos ajustes conjuntamente en el trabajo de velocidad y rendimiento.

Si vende online, la seguridad de las páginas de pago es especialmente importante. Una plataforma de e-commerce en la que los datos de la tarjeta no pasan directamente por su servidor y que usa la infraestructura segura de la entidad de pago reduce mucho este riesgo. En las soluciones de software sectoriales, como los sistemas de reservas y pedidos, los permisos de usuario y los registros de operaciones también son una parte básica de la seguridad.

06Concienciación de los empleados

Por sólidas que sean las medidas técnicas, basta que un empleado introduzca su contraseña en un enlace falso para saltarse toda la estructura. Por eso la concienciación es la capa de seguridad más barata y más eficaz.

En lugar de formaciones largas, funcionan mejor los recordatorios breves y periódicos. Mostrar un ejemplo real de phishing en las reuniones de equipo, dejar claro a quién se comunica un correo sospechoso y crear una cultura que no culpe a quien se equivoca permite detectar los problemas a tiempo.

• Antes de hacer clic en adjuntos y enlaces inesperados, verifique al remitente por otro canal.
• Confirme siempre por teléfono los cambios en los datos de pago y de cuentas bancarias.
• No conecte memorias USB ni dispositivos personales a los ordenadores de trabajo sin control.
• Comunique de inmediato una situación sospechosa en lugar de ocultarla; avisar pronto reduce el daño.

07¿Qué hacer durante un ataque?

Un breve plan de respuesta a incidentes redactado de antemano le permite dar los pasos correctos en un momento de pánico. El plan puede caber en una página; lo importante es que quede claro quién hace qué y a quién se llama.

1. Aísle el dispositivo afectado de la red, pero no lo apague; es importante que queden huellas para la investigación.
2. Cambie desde otro dispositivo las contraseñas de las cuentas que sospeche que han sido comprometidas y cierre las sesiones abiertas.
3. Llame a su banco y a su proveedor de pagos; detenga las operaciones sospechosas.
4. Deje constancia de qué ha ocurrido, cuándo se detectó y qué datos se han visto afectados.
5. Antes de volver a una copia limpia, cierre el punto de entrada del ataque.
6. Siga los avisos del Centro Nacional de Respuesta a Incidentes Cibernéticos de Türkiye, USOM, y notifique si es necesario.

08KVKK y seguridad de los datos

Toda empresa que trate datos como el nombre, el teléfono o la dirección de sus clientes está obligada a garantizar su seguridad en el marco de la Ley n.º 6698 de Protección de Datos Personales (KVKK, la ley turca de protección de datos, comparable al RGPD). La ley exige al responsable del tratamiento que adopte medidas técnicas y organizativas adecuadas.

Cuando se produce una violación de datos, hay que notificarlo a las personas afectadas y a la autoridad turca de protección de datos personales; en las resoluciones de la autoridad se prevé un plazo de 72 horas para esta notificación. Este artículo es de carácter informativo general; para el detalle de sus obligaciones, consulte la normativa vigente y a su asesor jurídico.