Ciberseguridad para pymes en Barcelona y Badalona: 10 medidas para aplicar este mes

Una pyme no necesita un presupuesto de gran empresa para protegerse de lo que de verdad le pasa: correos de phishing, cuentas robadas, ransomware y fraudes de cambio de cuenta bancaria. Estas diez medidas cubren la mayor parte del riesgo habitual de una pequeña empresa en Barcelona, Badalona o cualquier otro sitio, casi todas se hacen con herramientas que ya pagas (Microsoft 365 o Google Workspace) y se pueden aplicar en un mes.

Las diez medidas, por orden

1. MFA en todas las cuentas de correo y de administración. Es la medida que más riesgo quita por menos esfuerzo. Mejor si es resistente a phishing al menos para administradores y finanzas.
2. Copias de seguridad que no estén a mano del atacante. Una copia en el mismo servidor o en una unidad de red siempre conectada se cifra con el resto. La regla 3-2-1: tres copias, dos soportes, una fuera. Y probar a restaurar de verdad, al menos una vez.
3. Actualizar sistemas y aplicaciones. Activa las actualizaciones automáticas y presta atención especial a todo lo que esté expuesto a internet (VPN, firewall, servidor de correo). Para decidir qué urge, no mires solo el CVSS.
4. Un usuario para cada persona, y sin permisos de administrador en el día a día. Quien lee correo no debería ser administrador del dominio. Detalle en mínimo privilegio.
5. Dar de baja las cuentas de quien se va, el mismo día. Es el fallo más repetido: cuentas huérfanas que nadie revisa.
6. Proteger el dominio de correo con SPF, DKIM y DMARC. Evita que alguien envíe correos en nombre de tu empresa. Cómo llegar a p=reject sin perder correo legítimo.
7. Un procedimiento para cambios de cuenta bancaria. Cualquier cambio de IBAN se confirma por teléfono, al número que ya tenías. Es la defensa contra el fraude BEC.
8. Antivirus con EDR en todos los equipos y el firewall con la configuración revisada, no la de fábrica.
9. Formación breve y repetida. Quince minutos al trimestre con ejemplos reales de phishing sirven más que una charla anual. Y una norma clara: dudar y preguntar no es molestar.
10. Saber a quién llamar si pasa algo. Un contacto técnico, una persona con autoridad para tomar decisiones y el teléfono de ayuda de INCIBE (017). Mejor tenerlo escrito antes de necesitarlo.

Si solo tienes una tarde

MFA en el correo, una copia de seguridad desconectada y la baja de las cuentas que ya no se usan. Con esas tres, el riesgo cae mucho.

Normativa: qué te afecta

Si tratas datos personales, el RGPD te obliga a notificar a la AEPD una brecha en un plazo máximo de 72 horas desde que la conoces, salvo que sea improbable que suponga riesgo para las personas. Si eres proveedor de una empresa grande o de un sector regulado, es probable que te lleguen requisitos por contrato; mira cómo está NIS2 en España.

Recursos públicos

INCIBE ofrece información y una línea de ayuda gratuita (017) para empresas y ciudadanos, y en Cataluña la Agència de Ciberseguretat de Catalunya publica avisos y guías. Son un buen punto de partida antes de contratar nada.

Preguntas frecuentes

¿Por dónde empieza la ciberseguridad de una pyme?

Por el correo y las cuentas: MFA, bajas de usuarios y copias de seguridad fuera del alcance del atacante. Es donde se producen la mayoría de incidentes reales.

¿Una pyme es objetivo de ataques?

Sí. Los ataques masivos (phishing, ransomware) no eligen por tamaño, sino por lo fácil que sea entrar. Las pymes suelen tener menos defensas y por eso salen rentables.

¿Necesito un SOC propio?

Normalmente no. Una pyme puede contratar un servicio gestionado (MDR) que vigile alertas 24x7. Lo que sí necesita es tener las bases cubiertas y saber quién responde cuando salta una alerta.