Ciberseguridad con recursos limitados: qué proteger primero según el negocio que tienes

Con recursos limitados, la pregunta no es “¿qué tengo que hacer para proteger mi negocio?” — esa lista, en el fondo, es bastante conocida y consensuada. La pregunta útil es otra: ¿por dónde se empieza? Es la misma duda que surge en cualquier decisión con presupuesto ajustado: no falta información sobre qué hacer, falta un criterio para decidir qué hacer primero.

1. El orden importa más que la lista

Cualquier lista de medidas de seguridad es, en el fondo, intercambiable entre negocios: autenticación en dos pasos, copias de seguridad, formación del equipo, software actualizado, un plan de a quién llamar si algo falla. Ninguna PYME necesita inventar esta lista — ya está bastante consensuada entre quienes se dedican a esto.

Lo que sí es propio de cada negocio es el orden en el que se aborda. Y ese orden depende de una pregunta muy concreta: ¿dónde está tu superficie de riesgo real?

2. Si tu negocio tiene web propia

Si gestionas tu propia página —con WordPress o cualquier gestor similar—, tu superficie de riesgo empieza ahí. Un gestor de contenidos desactualizado, o un plugin sin parchear, es una puerta abierta directamente desde fuera, sin que nadie de tu equipo tenga que cometer ningún error para que ocurra. Las vulnerabilidades graves en gestores de contenido muy extendidos, como WordPress, se publican con regularidad: cada aviso de este tipo es, literalmente, la señal de que toca actuar.

Para este perfil, el orden razonable es:

1. Mantener actualizado el gestor de contenidos y sus complementos — es la primera línea de defensa cuando el punto de entrada es la propia web.
2. Copias de seguridad de la web, verificadas — no solo del contenido, también de la configuración; y comprobadas, no solo programadas.
3. Autenticación en dos pasos en el panel de administración — limita el daño si, aun así, alguien consigue una contraseña.
4. Formación del equipo y plan de contacto ante incidentes, como base común a cualquier negocio.

3. Si tu negocio solo usa herramientas de terceros

Si no tienes web propia y trabajas con correo, un CRM en la nube, herramientas de gestión ya montadas por otros, tu superficie de riesgo es distinta: no hay ningún software tuyo que parchear, porque no lo gestionas tú. Aquí el punto de entrada casi siempre es humano — un correo bien disfrazado, una contraseña reutilizada, un acceso que nadie revisó.

Para este perfil, el orden cambia:

1. Autenticación en dos pasos en todas las cuentas en la nube — es, con diferencia, lo primero, porque ahí está tu única puerta de entrada real.
2. Formación breve y periódica del equipo sobre phishing — el error humano es el vector principal cuando no hay software propio que atacar directamente.
3. Copias de seguridad de los datos críticos que viven en esas herramientas — muchas veces se asume, sin comprobarlo, que el proveedor ya se encarga de esto.
4. Plan de contacto ante incidentes, igual que en el otro perfil.

4. Lo que comparten ambos casos

En los dos perfiles aparecen las mismas cinco piezas: autenticación en dos pasos, copias de seguridad verificadas, formación del equipo, mantenimiento del software (propio o ajeno) y un plan mínimo de a quién llamar — el INCIBE tiene una línea gratuita (017) pensada exactamente para esto. Lo que no comparten es el orden. Y ese orden es, precisamente, el criterio que ningún artículo genérico te va a dar, porque depende de tu negocio, no del sector en general. Dos negocios con el mismo tamaño y el mismo presupuesto pueden necesitar empezar por puntos completamente distintos, simplemente porque su forma de estar expuestos es distinta.

🚀 Conclusión: Por dónde empezar, de verdad

No hace falta un departamento de IT ni un presupuesto de gran empresa para aplicar esto. Hace falta identificar dónde está tu puerta de entrada real, y empezar por ahí. El resto viene después, en el orden que le corresponde a tu caso, no al de cualquiera. Y si no tienes claro cuál de los dos perfiles describe mejor tu situación, esa es, en sí misma, la primera pregunta que merece la pena responder antes de tocar nada más.