Checklist de ciberseguridad para pymes:
autoevalúa tu empresa en 5 minutos.

Usamos autenticación multifactor (MFA) en el correo y en cualquier acceso remoto.

Una contraseña robada no basta para entrar si hay un segundo factor de verificación.

Cada persona tiene su propio usuario: no compartimos cuentas ni contraseñas.

Sin usuarios individuales no hay forma de saber quién hizo qué.

Los permisos de administrador se limitan a quienes los necesitan y se revisan al menos una vez al año.

Menos cuentas con privilegios reducen lo que un atacante puede tomar.

Cuando una persona sale de la empresa, desactivamos sus accesos el mismo día.

Las cuentas de exempleados que siguen activas son una puerta olvidada.

Todos los equipos y servidores tienen antivirus o EDR administrado y actualizado.

Un antivirus sin actualizar o sin consola central deja equipos sin protección sin que nadie lo note.

Windows y las aplicaciones críticas se actualizan con una rutina definida de parches.

Muchos ataques aprovechan vulnerabilidades que ya tienen parche disponible.

Los portátiles y celulares con información de la empresa tienen cifrado y bloqueo de pantalla.

Si se pierde un equipo cifrado, la información no queda expuesta.

Tenemos un inventario actualizado de equipos y software, con licencias vigentes.

No se puede proteger lo que no se sabe que existe.

Un firewall protege la red y sus reglas y actualizaciones se revisan periódicamente.

Un firewall instalado pero sin mantenimiento deja de proteger con el tiempo.

El Wi-Fi de visitantes está separado de la red interna de la empresa.

Así un dispositivo ajeno no llega a tus servidores ni a tus carpetas compartidas.

Empleados y proveedores acceden de forma remota por VPN u otro mecanismo seguro con MFA.

El acceso remoto sin controles es una de las entradas más usadas por los atacantes.

Alguien revisa las alertas y los registros (logs) del firewall y de los sistemas críticos.

Sin monitoreo, un incidente puede pasar semanas sin detectarse.

Las copias de seguridad de la información crítica se hacen de forma automática.

Las copias manuales dependen de que alguien se acuerde de hacerlas.

Mantenemos al menos una copia fuera de la red principal (nube o almacenamiento inmutable).

Un ransomware cifra también las copias que están al alcance de la red.

Probamos restaurar una copia al menos una vez al año.

Una copia que nunca se ha restaurado es una suposición, no una garantía.

Tenemos por escrito qué sistemas son críticos y cuánto tiempo podemos estar sin ellos.

Sin esa definición no hay cómo priorizar la recuperación cuando algo falla.

El equipo recibe capacitación o simulacros de phishing al menos una vez al año.

Muchos incidentes empiezan con un correo falso que alguien abre.

Existe una política de uso de equipos, correo y contraseñas que todos conocen.

Las reglas que no están escritas ni comunicadas no se pueden exigir.

Sabemos dónde están los datos personales y sensibles y quién puede acceder a ellos.

Es el punto de partida para protegerlos y para responder ante la Ley 1581.

Controlamos la salida de información sensible por USB, correo o nube.

La mayoría de las fugas son errores internos, no ataques externos.

Hay un procedimiento claro para reportar un incidente y todos saben a quién llamar.

En un incidente, cada hora sin una respuesta ordenada aumenta el daño.

Contamos con soporte TI o de seguridad con tiempos de respuesta definidos.

Un tiempo de respuesta acordado evita depender de la buena voluntad de alguien.

Después de un incidente revisamos qué falló y corregimos la causa.

Sin esa revisión, el mismo problema se repite.

Tenemos política de tratamiento de datos personales y autorización de los titulares (Ley 1581 de 2012).

Es una obligación legal para las empresas que manejan datos personales en Colombia.