Errores de seguridad comunes en pymes (y cómo evitarlos)

La mayoría de incidentes que afectan a una pyme no empiezan con una técnica sofisticada. Empiezan con algo cotidiano: una contraseña que usa medio equipo, un respaldo que nadie ha probado, un usuario de alguien que se fue hace meses.

Eso es una buena noticia: si el problema está en los hábitos, la solución también.

Este artículo repasa los errores de seguridad informática que más se repiten en pymes y qué puedes hacer con cada uno, de forma concreta y barata. Las recomendaciones se apoyan en guías públicas de CISA, la agencia de ciberseguridad de Estados Unidos, que tiene material pensado específicamente para líderes de pequeñas empresas.

1. Contraseñas compartidas o repetidas

Es muy común: una sola contraseña para el correo de ventas, el sistema contable y el Wi-Fi. Todos la conocen.

El problema no es solo que alguien la adivine. Si esa contraseña se filtra en un servicio, sirve para entrar en todos los demás. Y cuando todos usan la misma cuenta, no hay forma de saber quién hizo qué.

Cómo evitarlo:

• Cada persona con su propio usuario. Nada de cuentas genéricas compartidas.
• Una contraseña distinta por servicio. CISA recomienda que tengan al menos 16 caracteres y que sean únicas para cada cuenta.
• Un gestor de contraseñas para el equipo. Genera, guarda y rellena las contraseñas, así nadie tiene que memorizarlas ni anotarlas.

2. No usar autenticación multifactor (MFA)

La autenticación multifactor pide algo más que la contraseña: un código en una app, una llave física o una confirmación en el teléfono. Si alguien roba la contraseña, todavía le falta ese segundo factor.

Muchas pymes no la activan porque "es incómodo" o porque nadie se tomó el tiempo. Sin embargo, casi todos los servicios de correo y almacenamiento en la nube ya la incluyen sin costo adicional.

Cómo evitarlo:

• Actívala primero en el correo, en el almacenamiento de archivos y en cualquier acceso remoto, como recomienda CISA.
• Empieza por las cuentas de administración y por quienes manejan datos sensibles o dinero.
• Prefiere una app de autenticación o una llave de seguridad. Según la misma guía de CISA, los códigos por SMS o correo son la opción menos segura, aunque siguen siendo mejores que nada.

3. Respaldos que nunca se han probado

"Sí, tenemos respaldo." Es una de las frases más tranquilizadoras y, a veces, más engañosas. Un respaldo que nunca se ha restaurado es una suposición, no una garantía.

Pasa de varias formas: el respaldo dejó de ejecutarse hace meses y nadie lo notó; se guardaba en un disco conectado al mismo equipo; o incluía los archivos, pero no la base de datos del sistema de facturación.

Cómo evitarlo:

• Automatiza los respaldos para que no dependan de que alguien se acuerde.
• Mantén al menos una copia desconectada o aislada. La guía de ransomware de CISA recomienda respaldos cifrados y fuera de línea, porque el ransomware busca y destruye las copias que encuentra conectadas.
• Prueba la restauración de forma periódica. Elige un día, recupera un archivo y una base de datos en otro equipo y mide cuánto tardas. Esa misma guía pide probar con regularidad la disponibilidad e integridad de los respaldos.

4. Cuentas de ex empleados que siguen activas

Alguien renuncia, entrega su laptop y se despide. Pero su correo sigue abierto, su usuario del sistema contable sigue activo y todavía tiene la contraseña del Wi-Fi y del acceso remoto.

No se trata de desconfiar de nadie. Una cuenta que nadie vigila es una puerta que nadie cuida: si su contraseña se filtra, nadie notará que alguien la está usando.

Cómo evitarlo:

• Ten una lista de sistemas y accesos por persona. Sin esa lista, es imposible cerrar todo.
• Incluye la baja de accesos en el proceso de salida. CISA, en Cyber Essentials, recomienda tener procedimientos para los cambios de estado de los usuarios, como traslados y despidos.
• Revisa las cuentas cada trimestre. La guía de ransomware de CISA sugiere auditar cada tres meses las cuentas inactivas o no autorizadas, empezando por las de acceso remoto y las de proveedores externos.
• Cambia las contraseñas compartidas que esa persona conocía.

5. Software sin actualizar

Las actualizaciones se posponen porque aparecen en el peor momento. Mientras tanto, el equipo sigue con fallas que el fabricante ya corrigió y que cualquiera puede consultar.

Cómo evitarlo:

• Activa las actualizaciones automáticas en sistemas operativos, navegadores y programas. CISA recomienda que todo producto las tenga activadas e instalar las críticas lo antes posible.
• No olvides el router, el firewall, la VPN y las impresoras de red. También tienen software.
• Identifica los equipos que ya no reciben actualizaciones del fabricante y planifica su reemplazo.

6. Acceso remoto expuesto a internet

Para trabajar desde casa o dar soporte, muchas empresas abren el escritorio remoto (RDP) directamente a internet. Funciona, pero deja la puerta a la vista de cualquiera que esté buscando.

La guía de ransomware de CISA es directa: no expongas servicios como el escritorio remoto en la web. Señala que los atacantes aprovechan con frecuencia los servicios remotos mal protegidos para entrar a una red.

Cómo evitarlo:

• Cierra el escritorio remoto hacia internet y accede a través de una VPN o una solución de acceso remoto con MFA.
• Mantén la VPN actualizada: esa misma guía advierte que los atacantes también explotan VPN sin parches.
• Revisa qué herramientas de soporte remoto hay instaladas y quién las usa. Desinstala las que nadie reconoce.

7. Todos son administradores

Es práctico que todos puedan instalar programas sin pedir permiso. También es práctico para un malware: si el usuario que abre un adjunto malicioso es administrador, el malware tiene los mismos poderes.

Cómo evitarlo:

• Aplica el mínimo privilegio: cada persona con el acceso que necesita para su trabajo, nada más. Lo recomiendan tanto Cyber Essentials como la guía de ransomware de CISA.
• Separa la cuenta de administración de la cuenta de uso diario. Quien administra usa la cuenta privilegiada solo para tareas de administración, no para leer correo ni navegar.

8. No saber qué hacer si algo pasa

El último error no es técnico. Es no tener un plan. Cuando aparece una pantalla de rescate o un correo sospechoso enviado desde tu cuenta, se pierde tiempo decidiendo a quién llamar y qué desconectar.

Un plan básico cabe en una página: a quién avisar, cómo aislar un equipo, dónde están los respaldos y los contactos de tus proveedores. Cyber Essentials incluye la respuesta a incidentes como uno de sus elementos esenciales.

En El Salvador, además, la Ley de Ciberseguridad y Seguridad de la Información y la Ley para la Protección de Datos Personales hacen que la forma en que proteges la información y respondes a un incidente tenga también una dimensión legal. Conviene que tu asesor legal te indique qué aplica a tu empresa.

Por dónde empezar

No tienes que resolver todo esta semana. Un orden razonable:

1. MFA en correo y cuentas de administración.
2. Actualizaciones automáticas activadas.
3. Una prueba real de restauración de respaldos.
4. Revisión de cuentas y permisos.
5. Cierre del acceso remoto expuesto.

La mayoría de estos pasos cuesta más tiempo que dinero.

Si quieres saber cuáles de estos errores están presentes en tu empresa, en SITCON Digital te ayudamos a revisarlo con una evaluación práctica y a priorizar qué corregir primero. Puedes conocer cómo trabajamos en nuestros servicios de ciberseguridad.

Preguntas frecuentes

¿Mi pyme es demasiado pequeña para que la ataquen?

No conviene pensarlo así. Muchos ataques son automáticos: buscan contraseñas filtradas, equipos sin actualizar o escritorios remotos abiertos, sin fijarse en el tamaño de la empresa. Una pyme con pocos controles puede ser un blanco más fácil que una gran empresa. La buena noticia es que los controles básicos, como MFA, respaldos probados y actualizaciones, cuestan poco y reducen mucho la exposición.

¿Por dónde empiezo si nunca he hecho nada de seguridad?

Empieza por tres cosas: activa la autenticación multifactor en el correo y en las cuentas de administración, configura actualizaciones automáticas en todos los equipos y haz una prueba real de restauración de tus respaldos. Después revisa quién tiene acceso a qué y elimina las cuentas de personas que ya no trabajan contigo. Con eso cubres buena parte de los errores más comunes.

¿Un antivirus es suficiente para proteger mi empresa?

Un antivirus ayuda, pero no resuelve los errores de este artículo. No evita que alguien entre con una contraseña robada, no prueba tus respaldos ni cierra un escritorio remoto expuesto a internet. La seguridad de una pyme depende más de buenas prácticas de acceso, actualizaciones y respaldos que de una sola herramienta. Úsalo como una capa más, no como la única.

¿Cada cuánto debo revisar las cuentas de usuario?

La guía de ransomware de CISA recomienda auditar cada trimestre las cuentas de usuarios y administradores para detectar cuentas inactivas o no autorizadas. Además, lo ideal es que la baja de una persona incluya, el mismo día, el cierre de todos sus accesos. Si tienes una lista de sistemas y responsables, esa revisión toma poco tiempo y evita sorpresas.