La seguridad informática de una pyme no se juega en cortafuegos sofisticados. Se juega en cuatro cosas aburridas que casi nadie hace, y que juntas evitan la inmensa mayoría de los incidentes que vemos.
Ninguna de las cuatro cuesta dinero en licencias. Todas cuestan disciplina, que es más caro.
1. El doble factor, en todo lo que importa
Si solo vas a hacer una cosa de esta lista, que sea esta.
La mayoría de los accesos indebidos que acaban en desastre no son ataques sofisticados: es alguien que reutilizó la contraseña del correo en un sitio que sufrió una filtración. Con segundo factor, esa contraseña filtrada no sirve de nada.
Dónde activarlo, por orden: correo, banca, gestor de contraseñas, administración del servidor, redes sociales de la empresa, y todo lo que tenga datos de clientes. Usa aplicaciones de códigos temporales o llaves físicas; evita el SMS, que es el método más débil de los tres.
2. Contraseñas que no se comparten por WhatsApp
Ya le dedicamos un artículo entero a esto —sacarlas de la hoja de cálculo— porque es el problema más extendido y el más fácil de resolver.
Lo importante para este contexto: un gestor de contraseñas no es solo comodidad. Es lo que permite que, cuando alguien deja la empresa, retirarle el acceso a todo sea una acción y no una investigación.
3. Acceso remoto por VPN, no por puerto abierto
Este es el error técnico más frecuente al autoalojar: abrir la administración del servidor a todo internet «porque hay que entrar desde casa».
Un servicio administrativo expuesto recibe intentos de acceso automatizados desde el primer día. No porque alguien tenga algo contra ti: porque hay programas recorriendo internet entera todo el rato.
La solución libre y sencilla es WireGuard: una VPN moderna, rápida y con una configuración mucho más simple que las alternativas antiguas. Los servicios de administración solo escuchan dentro de la VPN, y quien necesita entrar desde fuera, entra por ahí.
Lo público es lo que tiene que ser público —la web, el correo, el sistema para los usuarios— y nada más.
4. Actualizaciones, con un responsable con nombre
Las vulnerabilidades que se explotan de verdad casi nunca son recién descubiertas. Son de hace meses, con parche publicado y no aplicado.
«El equipo de sistemas se encarga» no es una respuesta cuando el equipo de sistemas es una persona que además hace otras cinco cosas. Hace falta:
- Actualizaciones de seguridad del sistema operativo automáticas.
- Un día al mes en el calendario para revisar las aplicaciones: Nextcloud, Odoo, los módulos.
- Una persona con nombre y apellido a quien preguntar cuándo fue la última vez.
La quinta, que no es seguridad pero lo parece
Las copias de seguridad, cifradas y fuera del servidor, con restauración ensayada.
Ante un secuestro de datos, la copia no es una medida de seguridad: es la única alternativa a pagar. Y funciona solo si está fuera del alcance del servidor comprometido, porque el cifrado que hace un atacante alcanza a todo lo que el servidor pueda escribir.
Lo que no necesitas
Para que quede equilibrado, tres cosas que se venden a pymes y rara vez son la prioridad:
- Un cortafuegos caro. Si tienes los puertos administrativos cerrados y todo actualizado, el cortafuegos del sistema sobra para empezar.
- Antivirus en los servidores Linux. Tiene sentido en los equipos de escritorio; en un servidor bien configurado aporta poco.
- Auditorías de seguridad antes de haber hecho las cuatro cosas de arriba. Pagar por que alguien te diga que no tienes doble factor es caro.
Haz primero lo aburrido. Es lo que evita el noventa por cien de los problemas y lo que menos cuesta.