La ciberseguridad de una empresa no se puede valorar únicamente comprobando si hay antivirus instalado, un firewall en funcionamiento o copias de seguridad programadas. La protección depende de cómo se combinan las personas, los dispositivos, los accesos, los datos, los proveedores y los procedimientos que deberían ponerse en marcha cuando algo deja de funcionar.
Por eso, antes de pensar en incorporar nuevas herramientas, resulta útil realizar una revisión mucho más sencilla: hacer las preguntas adecuadas sobre cómo está funcionando actualmente la seguridad de la empresa.
Este checklist no pretende sustituir un análisis técnico de ciberseguridad. Su objetivo es ayudarte a detectar señales que merecen una revisión más profunda y comprobar si existen riesgos que quizá se han normalizado con el paso del tiempo.
INCIBE dispone también de una herramienta oficial de autodiagnóstico de riesgos para empresas, diseñada precisamente para ayudar a identificar el estado de la seguridad de la información y los aspectos que deberían mejorarse.
1. ¿Sabes exactamente qué equipos, sistemas y servicios debes proteger?
No se puede proteger adecuadamente aquello que no se conoce. Sin embargo, a medida que una empresa crece es habitual que aparezcan nuevos portátiles, móviles, aplicaciones en la nube, servidores, cuentas de correo, webs, herramientas SaaS o dispositivos conectados que se incorporan al día a día sin formar parte de un inventario actualizado.
El primer paso debería ser saber qué activos forman parte de la infraestructura y cuáles son críticos para continuar trabajando. No todos tienen la misma importancia: la indisponibilidad de un ordenador secundario no tiene el mismo impacto que perder el acceso al ERP, al correo corporativo o a la base de datos de clientes.
Un inventario básico debería permitir conocer, al menos, qué dispositivos utiliza la empresa, qué aplicaciones contienen información relevante, dónde se almacenan los datos y quién tiene acceso a cada sistema.
INCIBE incluye precisamente la identificación de activos digitales como uno de los pilares iniciales de cualquier plan de ciberseguridad empresarial.
2. ¿Las cuentas importantes utilizan autenticación multifactor?
Una contraseña por sí sola puede dejar de ser suficiente si termina expuesta mediante phishing, reutilización de credenciales, filtraciones de terceros o malware.
La autenticación multifactor añade una segunda comprobación antes de permitir el acceso. Esto resulta especialmente importante en servicios como correo electrónico, VPN, administración cloud, plataformas financieras, aplicaciones de gestión y cuentas con privilegios elevados.
No basta con activar MFA únicamente para dirección o informática. Conviene identificar todas las cuentas cuyo compromiso permitiría acceder a información sensible, realizar cambios importantes o entrar en otros sistemas.
El CCN recomienda la autenticación de dos factores junto con gestores de contraseñas y prácticas adecuadas de gestión de credenciales.
3. ¿Cada persona tiene únicamente los permisos que necesita?
Es habitual que los permisos se acumulen. Una persona cambia de departamento pero conserva accesos anteriores, un proveedor recibe credenciales temporales que nunca se desactivan o varios empleados terminan trabajando con una misma cuenta porque resulta más cómodo.
El problema aparece cuando una credencial comprometida permite acceder a mucha más información de la necesaria. Cuanto mayores sean los privilegios disponibles, mayor puede ser también el impacto de una intrusión.
Una política adecuada debería aplicar el principio de mínimo privilegio: cada usuario dispone únicamente de los accesos necesarios para realizar su trabajo, las cuentas administrativas se utilizan solo cuando corresponde y los permisos se revisan cuando cambian responsabilidades o termina una relación laboral.
La gestión de accesos no es únicamente una cuestión organizativa; es una de las capas fundamentales para limitar hasta dónde puede avanzar un atacante después de conseguir entrar.
4. ¿Los sistemas y programas se actualizan de forma controlada?
Las actualizaciones no sirven únicamente para incorporar nuevas funcionalidades. Muchas corrigen vulnerabilidades que podrían aprovecharse para acceder a dispositivos, ejecutar código malicioso o escalar privilegios.
El riesgo aumenta cuando conviven diferentes versiones de sistemas operativos, servidores, aplicaciones, plugins, dispositivos de red o software que nadie tiene claramente asignado para mantener.
La pregunta importante no es si “normalmente actualizamos”, sino si existe un procedimiento que permita saber qué debe actualizarse, quién es responsable y cuánto tiempo puede permanecer pendiente una actualización crítica.
INCIBE y CCN-CERT incluyen la actualización del software entre las medidas básicas de prevención que una organización debería mantener de forma continuada.
5. ¿Tus copias de seguridad podrían utilizarse realmente después de un ataque?
Disponer de backups es imprescindible, pero el objetivo no es acumular copias: es poder utilizarlas para recuperar la actividad cuando los sistemas originales dejan de estar disponibles.
La empresa debería saber qué información se copia, con qué frecuencia, durante cuánto tiempo se conservan los puntos de recuperación y qué ocurriría si un ransomware intenta alcanzar también el sistema de backup. Además, las restauraciones deberían probarse periódicamente para comprobar que los datos son utilizables y conocer cuánto tiempo llevaría recuperar los servicios críticos.
INCIBE recomienda definir políticas de copia, proteger los respaldos y realizar pruebas de restauración. Puedes ampliar esta información en su guía de copias de seguridad para empresas.
Desde COASER trabajamos soluciones como NAKIVO Backup y plataformas de protección y recuperación como Syneto, especialmente cuando la continuidad del negocio requiere algo más que disponer de una copia tradicional.
6. ¿Sabrías detectar y gestionar un correo de phishing convincente?
El phishing sigue aprovechando algo difícil de parchear con una actualización: la confianza de las personas.
Los mensajes maliciosos ya no tienen por qué estar mal escritos o resultar evidentemente sospechosos. Pueden imitar comunicaciones de proveedores, bancos, Microsoft 365, servicios de mensajería o incluso compañeros de trabajo, y utilizar urgencia, cambios de cuenta bancaria, facturas pendientes o solicitudes de credenciales para provocar una reacción rápida.
La protección técnica del correo es importante, pero debe combinarse con formación. Las personas necesitan saber qué señales revisar, cómo verificar una petición sensible y, sobre todo, a quién consultar cuando tengan dudas sin miedo a estar “molestando”.
INCIBE recomienda precisamente establecer canales claros de comunicación y formar a la plantilla para reconocer correos, enlaces o solicitudes sospechosas.
7. ¿Los dispositivos que acceden a información empresarial están controlados?
La frontera de la oficina prácticamente ha desaparecido. Portátiles, móviles, teletrabajo, acceso remoto y herramientas cloud permiten trabajar desde muchos lugares, pero también aumentan el número de puntos desde los que puede comprometerse la información.
La empresa debería conocer qué dispositivos están autorizados, cómo se protegen, qué ocurre si uno se pierde y si existe alguna forma de revocar el acceso o borrar información sensible de manera remota.
Esta revisión resulta todavía más importante cuando se permite utilizar dispositivos personales. En esos casos conviene definir claramente qué información corporativa puede almacenarse, qué aplicaciones están permitidas y qué requisitos mínimos de seguridad deben cumplirse.
8. ¿Sabes qué proveedores externos pueden acceder a tus sistemas o datos?
Una empresa puede proteger correctamente sus propios sistemas y seguir estando expuesta a través de terceros.
Proveedores informáticos, asesorías, plataformas cloud, empresas de mantenimiento, desarrolladores, agencias o servicios especializados pueden disponer de accesos a aplicaciones, servidores o información corporativa. Conviene saber qué proveedores tienen credenciales, qué nivel de acceso mantienen y cómo se eliminan esos permisos cuando dejan de ser necesarios.
Además de revisar la seguridad del propio proveedor, resulta recomendable evitar cuentas compartidas, exigir mecanismos de autenticación adecuados y conservar trazabilidad sobre los accesos realizados.
El riesgo de terceros debe formar parte del análisis general de ciberseguridad, no tratarse como un problema independiente.
9. ¿Podrías saber rápidamente que se está produciendo un incidente?
Muchas empresas dedican esfuerzos a prevenir ataques, pero tienen menos claridad sobre cómo detectar que algo anómalo está ocurriendo.
Una sucesión de intentos de acceso, conexiones desde ubicaciones extrañas, modificaciones de permisos, actividad inusual en servidores o comportamientos sospechosos en equipos pueden proporcionar señales antes de que el incidente alcance su máximo impacto.
La capacidad de detección dependerá del tamaño y de la infraestructura de cada organización, pero debería existir algún nivel de monitorización, registro de eventos y protección de endpoints que permita investigar qué ha sucedido.
Desde COASER abordamos la ciberseguridad empresarial desde una perspectiva que combina prevención, protección y capacidad de respuesta, porque impedir el 100 % de los incidentes no es un objetivo realista.
10. ¿Existe un procedimiento claro para actuar cuando algo ocurre?
Durante un incidente no debería ser necesario empezar a decidir desde cero quién desconecta un equipo, quién contacta con el proveedor tecnológico, quién informa a dirección o qué sistemas deben recuperarse primero.
Un procedimiento de respuesta debería indicar responsabilidades, vías de comunicación, contactos importantes y criterios básicos para contener el incidente y recuperar la operativa. También conviene considerar escenarios en los que el correo corporativo o determinados sistemas habituales de comunicación no estén disponibles.
INCIBE señala que un plan de ciberseguridad debe contemplar cómo detectar y responder ante incidentes, quién debe ser avisado, cómo aislar los equipos afectados y de qué forma se recuperará la información.
Disponer de esta preparación puede marcar una diferencia importante entre un incidente controlado y una interrupción prolongada.
11. ¿Cuándo fue la última vez que revisaste realmente todos estos riesgos?
La ciberseguridad no puede configurarse una vez y darse por terminada.
Cambian los empleados, se incorporan proveedores, aparecen nuevas aplicaciones, se sustituyen servidores, se contratan servicios cloud y surgen amenazas diferentes. Una medida que era suficiente hace dos años puede haber dejado de responder al escenario actual.
Por eso conviene revisar periódicamente el inventario, los accesos, las copias, las actualizaciones, la formación, los proveedores y los procedimientos de respuesta. INCIBE recomienda revisar el plan de ciberseguridad al menos anualmente y siempre que existan cambios relevantes en la organización.
La guía de gestión de riesgos para empresarios de INCIBE puede ser un buen punto de partida para estructurar esta revisión.
Cómo interpretar este checklist de ciberseguridad
Responder “no” a una de estas preguntas no significa necesariamente que exista una brecha de seguridad, pero sí señala un aspecto que conviene revisar. El verdadero problema aparece cuando varias respuestas dependen de expresiones como “creemos que sí”, “eso lo lleva el informático” o “nunca hemos tenido problemas”.
Una revisión inicial puede organizarse en cuatro áreas:
- Prevención: activos, accesos, MFA, permisos y actualizaciones.
- Protección: endpoints, correo, dispositivos, backups y proveedores.
- Detección: monitorización y capacidad para identificar actividad anómala.
- Respuesta y recuperación: procedimientos, pruebas de restauración y continuidad del negocio.
Este enfoque permite priorizar. No todas las empresas necesitan las mismas herramientas ni el mismo nivel de inversión, pero sí deberían conocer cuáles son sus principales riesgos y qué impacto tendría cada uno sobre la actividad.
La ciberseguridad empieza por saber dónde estás
Desde COASER creemos que una estrategia de ciberseguridad debe empezar por entender la infraestructura, los procesos y las dependencias reales de cada empresa. Incorporar herramientas sin conocer primero los riesgos puede aumentar la complejidad sin resolver necesariamente los puntos más importantes.
Por eso analizamos el entorno, identificamos los riesgos prioritarios y planteamos las medidas necesarias en función del impacto que tendría una interrupción, una pérdida de información o un acceso no autorizado.
La pregunta final no es si tu empresa dispone de medidas de seguridad, sino si esas medidas responden realmente a los riesgos que tiene hoy.
Si varias de estas once preguntas han dejado dudas, puede ser un buen momento para revisar la situación con mayor detalle.
Habla con nuestro equipo y revisemos la ciberseguridad de tu empresa
