Checklist de ciberseguridad para pymes: 10 puntos antes de sufrir un ataque

La mayoría de ataques a pequeñas empresas no son ataques dirigidos por alguien que “quiere entrar en tu empresa concreta”: son escaneos automatizados que recorren internet buscando puertas mal cerradas. Eso es una mala noticia (no hace falta ser un objetivo interesante para sufrir un incidente) y una buena noticia (cerrar las puertas más obvias reduce el riesgo drásticamente, sin necesitar un presupuesto de gran empresa).

Esta checklist no sustituye una auditoría de seguridad completa, pero cubre los puntos que con más frecuencia dan pie a un incidente real.

1. Contraseñas únicas y gestor de contraseñas

Si alguien reutiliza la misma contraseña en tres servicios distintos, un solo filtrado de datos ajeno (que ni siquiera depende de vosotros) compromete los tres. Un gestor de contraseñas soluciona esto en una tarde.

2. Autenticación en dos pasos (2FA) en todo lo crítico

Email corporativo, panel de administración de la web, hosting, redes sociales de la empresa. El 2FA es la medida individual con mejor relación esfuerzo/protección que existe hoy.

3. Copias de seguridad que de verdad se han probado

Tener backups no sirve de nada si nadie ha comprobado que se pueden restaurar. Programa una prueba de restauración real, aunque sea una vez cada trimestre.

4. Actualizaciones al día (CMS, plugins, dependencias)

Buena parte de los ataques automatizados explotan vulnerabilidades conocidas y ya parcheadas en versiones antiguas de WordPress, plugins o librerías. Mantener todo actualizado cierra ese tipo de ataque casi por completo.

5. Principio de mínimo privilegio

No todo el equipo necesita acceso de administrador a todo. Revisa quién tiene qué permisos y retira los que ya no hacen falta (exempleados, colaboradores puntuales, integraciones antiguas).

6. HTTPS en toda la web, sin excepciones

Si alguna página o subdominio todavía carga sin certificado válido, es una puerta abierta y además penaliza en buscadores.

7. Formularios y APIs con validación real

Un formulario de contacto o una API sin validación de lo que reciben es una de las vías de entrada más comunes para inyecciones y abuso automatizado. No basta con validar en el navegador: hay que validar también en el servidor.

8. Un plan por escrito para “si pasa algo”

¿Quién decide si se desconecta un servidor? ¿A quién se avisa primero? ¿Hay obligación legal de notificar (RGPD) y en qué plazo? Tenerlo pensado antes de un incidente ahorra horas críticas durante uno.

9. Formación básica del equipo

El phishing sigue siendo la puerta de entrada más habitual, y no hace falta que sea sofisticado para funcionar. Una sesión de una hora al año sobre cómo detectar un correo sospechoso reduce el riesgo más que muchas herramientas caras.

10. Una auditoría externa, al menos una vez

Quien construyó un sistema tiene puntos ciegos sobre él casi por definición. Una revisión externa —aunque sea puntual— suele encontrar cosas que nadie de dentro había visto.

---

Si al repasar esta lista hay más de dos o tres puntos que no cumplís, no significa que vayáis a sufrir un ataque mañana, pero sí que el riesgo es más alto de lo necesario para el esfuerzo que cuesta corregirlo. En Studio Santole hacemos auditorías de seguridad y hardening de webs y APIs partiendo exactamente de este tipo de checklist, adaptada a cada caso. Si quieres una segunda opinión sobre vuestra situación actual, escríbenos.