Muchas PYMEs piensan que no son un objetivo porque «no tienen nada que robar». En la práctica, la mayoría de ataques no se dirigen a una empresa en particular: buscan contraseñas débiles, equipos sin actualizar y personas que hagan clic en un correo falso. Por eso las medidas básicas protegen tanto.
1. Activa la verificación en dos pasos
Pide un segundo código, además de la contraseña, para entrar al correo, al banco, a las redes sociales y a cualquier sistema en la nube. Aunque alguien robe una contraseña, no podrá entrar sin ese segundo factor.
Empieza por: el correo de la empresa. Quien controla el correo puede recuperar casi todas las demás cuentas.
2. Usa contraseñas únicas y un gestor de contraseñas
Repetir la misma contraseña en varios servicios hace que una sola filtración abra todas las puertas. Un gestor de contraseñas genera y recuerda claves largas y distintas para cada cuenta.
3. Haz copias de seguridad y prueba que funcionen
La regla 3-2-1 es un buen punto de partida: tres copias de la información, en dos medios distintos y una de ellas fuera de la oficina o desconectada de la red. Es la mejor defensa contra el secuestro de datos (ransomware).
Comprueba: restaura un archivo de la copia al menos una vez al mes. Una copia que nunca se ha probado puede no servir el día que la necesites.
4. Mantén todo actualizado
Las actualizaciones corrigen fallas que los atacantes ya conocen. Activa las actualizaciones automáticas en computadores, celulares, el router y los programas que usa tu equipo, y reemplaza los equipos que ya no reciben soporte del fabricante.
5. Enseña a tu equipo a reconocer correos falsos
El correo falso (phishing) sigue siendo una de las formas más comunes de entrar a una empresa. Señales típicas: urgencia («tu cuenta será bloqueada hoy»), remitentes que se parecen pero no son iguales, enlaces que no coinciden con el sitio real y solicitudes de cambiar datos bancarios de un proveedor.
Acuerden una regla: cualquier cambio de cuenta bancaria o pago urgente se confirma por teléfono con un número que ya tengan, nunca respondiendo al mismo correo.
6. Da a cada persona solo los permisos que necesita
Cada colaborador debe tener su propio usuario, y solo el acceso que su trabajo requiere. Cuando alguien sale de la empresa, desactiva sus cuentas el mismo día. Evita compartir una única contraseña de administrador entre varias personas.
7. Separa la red de invitados
Clientes y visitantes no deberían conectarse a la misma red WiFi que tus computadores, cámaras o servidores. Casi todos los routers permiten crear una red de invitados aislada. Cambia también la contraseña que traía el router de fábrica.
8. Ten un plan para cuando algo pase
Define antes de un incidente a quién se avisa, quién desconecta el equipo afectado de la red y dónde están las copias de seguridad. Una hoja con esos tres datos, a la vista, ahorra horas de confusión.
Por dónde empezar
Si solo puedes hacer tres cosas esta semana, activa la verificación en dos pasos en el correo, comprueba que tus copias de seguridad se pueden restaurar y acuerda con tu equipo la regla de confirmar pagos por teléfono. Con eso ya cierras buena parte de los riesgos más comunes.