| John Bosman | 1,426 palabras
Muchas pequeñas empresas tienen algunas protecciones, pero nunca terminaron de configurarlas. Estos 10 pasos constituyen la base inicial. Una vez completados, la rutina de higiene los mantiene en funcionamiento. Para conocer las amenazas detrás de cada paso, vea contra qué protegen estos pasos.
Respuesta corta
Los pasos esenciales de configuración son MFA en cada cuenta crítica, un gestor de contraseñas para el equipo, permisos de administrador limitados, un inventario de dispositivos y cuentas, detección y respuesta en endpoints (EDR), copias de seguridad probadas y separadas, autenticación de correo electrónico, una regla de verificación de pagos, una red y acceso remoto protegidos, y un plan de respuesta a incidentes por escrito. La mayoría puede completarse en unas semanas sin un departamento de TI dedicado. También son los controles por los que suelen preguntar las solicitudes de seguro cibernético.
Punto de control del lector
- ¿Podría enumerar todos los dispositivos, cuentas y sistemas que usa su empresa, y quién tiene permisos de administrador en cada uno?
- Si mañana recibiera por correo electrónico un cambio en los datos bancarios, ¿existe una regla escrita que exija una llamada de confirmación antes de que alguien pague?
- Si esta noche sufriera ransomware, ¿sabe cuáles son las primeras tres llamadas que debe hacer y esa lista está guardada en un lugar al que podría acceder sin conexión?
Respuesta rápida
Configure la base una vez y luego manténgala.
Configure estos controles una vez, en orden, y anote cuándo termina cada uno. Después entréguelos a la rutina para que se mantengan activos. El objetivo no es un programa de seguridad perfecto, sino una base verificable que un equipo pequeño pueda mantener.
De un vistazo
Qué conviene confirmar antes de la próxima revisión
| Problema principal | Controles que se iniciaron pero nunca se terminaron: MFA en algunas cuentas, copias de seguridad que nunca se probaron y permisos de administrador que todavía tiene todo el mundo. |
|---|---|
| Punto ciego común | Responder "sí" en una solicitud de seguro cibernético porque se compró una herramienta, aunque nunca se configuró por completo. |
| Documento útil | Un registro de configuración de una página: cada paso, fecha de finalización, responsable y lo que se cubrió. |
| Mejor siguiente paso | Use la Puntuación de Preparación para la Renovación Comercial. |
1. Active la autenticación multifactor (MFA) en cada cuenta crítica
MFA hace que una contraseña robada sea menos útil porque la persona que inicia sesión debe proporcionar otro factor. Empiece por el correo electrónico y continúe con banca, nómina, acceso remoto, almacenamiento en la nube y cuentas de administrador. Cuando estén disponibles, prefiera una app de autenticación o una llave de acceso en lugar de códigos por mensaje de texto.
Listo cuando: nadie puede iniciar sesión en una cuenta crítica solo con una contraseña.
2. Implemente un gestor de contraseñas para el equipo
Un gestor compartido da a la empresa un lugar controlado para las credenciales, en vez de dejarlas en correos, memorias individuales o notas. Traslade allí las contraseñas compartidas, cámbielas y otorgue a cada persona solo el acceso que necesite.
Listo cuando: no hay contraseñas en hojas de cálculo, notas adhesivas ni chats de grupo.
3. Limite los permisos de administrador
El trabajo diario debe realizarse con cuentas estándar. Solo personas designadas deben tener cuentas de administrador y esas cuentas deben usarse únicamente para tareas administrativas; así se limita lo que una cuenta cotidiana comprometida puede cambiar.
Listo cuando: puede nombrar a cada administrador y cada uno tiene un inicio de sesión de administrador separado.
4. Cree un inventario
No se puede proteger ni retirar lo que nadie puede identificar. Enumere dispositivos, programas, cuentas en la nube, proveedores con acceso y dónde se almacenan los datos confidenciales. La lista también da a su proveedor de TI y a quien revise su seguro un punto de partida concreto.
Listo cuando: tiene una sola lista y una persona responsable de mantenerla actualizada.
5. Instale detección y respuesta en endpoints (EDR) y actualizaciones automáticas
Las herramientas de detección y respuesta pueden ayudar a identificar actividad sospechosa en computadoras y servidores, mientras que las actualizaciones corrigen debilidades conocidas. Instale detección y respuesta en endpoints (EDR) en cada computadora y servidor, y active las actualizaciones automáticas cuando sea práctico.
Listo cuando: cada dispositivo del inventario muestra protección activa y actualizaciones activadas.
6. Configure copias de seguridad que sobrevivan a un ataque
Las copias de seguridad solo ayudan si un atacante no puede alcanzarlas fácilmente. Siga el enfoque 3-2-1: tres copias, dos tipos de almacenamiento y una guardada sin conexión o separada de la red; documente cómo restaurarlas. El ransomware suele atacar primero las copias de seguridad; por eso importa la separación.
Listo cuando: se ha probado una restauración completa una vez y los pasos están documentados.
7. Proteja su dominio y filtrado de correo electrónico
El correo electrónico es el origen de muchos problemas de pagos e inicios de sesión. Active SPF, DKIM y DMARC, las protecciones integradas contra phishing y archivos adjuntos de Microsoft 365 o Google Workspace, y avisos de remitentes externos para que el equipo tenga señales útiles antes de actuar.
Listo cuando: su proveedor de TI o administrador de correo confirma que los tres registros y los filtros están activos.
8. Redacte una regla de verificación de pagos
Cualquier dato bancario nuevo o modificado, o solicitud de pago urgente, debe confirmarse llamando a un número conocido, nunca al número incluido en el mensaje. Agregue doble aprobación por encima de un límite en dólares que usted elija. Los deepfakes y las solicitudes que parecen confiables hacen que esta regla sencilla sea más importante.
Listo cuando: la regla está escrita, se compartió con todas las personas que pueden mover dinero y las configuraciones de su banco coinciden con ella.
9. Proteja su red y acceso remoto
Cambie las contraseñas predeterminadas de enrutadores y dispositivos, mantenga el Wi-Fi de invitados separado de los sistemas empresariales, desactive el escritorio remoto que no sea necesario y exija MFA para cualquier acceso remoto restante. Estas decisiones reducen la exposición de la red antes de que un incidente la ponga a prueba.
Listo cuando: ningún dispositivo usa una contraseña predeterminada y el acceso remoto solo funciona con MFA.
10. Redacte un plan de respuesta a incidentes
Mantenga el plan en una página: quién decide, a quién llamar—su proveedor de TI, la línea de asistencia para brechas de su aseguradora o su agente, y su banco—y dónde se guarda sin conexión el número de póliza. Incluya una lista de verificación para la salida de empleados y proveedores que dejan de trabajar con la empresa.
Listo cuando: el plan está impreso, guardado sin conexión y las personas clave lo han leído.
Cómo se relacionan estos pasos con su seguro cibernético
Las solicitudes y renovaciones de seguro cibernético suelen preguntar por MFA, copias de seguridad, detección y respuesta en endpoints (EDR), seguridad de correo electrónico, permisos de administrador y planificación de incidentes. Esas respuestas son declaraciones sobre su empresa. Responda con base en lo que realmente está configurado, no en lo que se compró o se planeó.
Muchas pólizas cibernéticas incluyen una línea de asistencia para brechas y pueden exigir que notifique a la aseguradora antes de contratar proveedores externos. Revise su póliza e incluya ese número en el plan de respuesta a incidentes del paso 10. La cobertura, los servicios de respuesta y los requisitos dependen de la póliza y los hechos; consulte cómo funciona el seguro cibernético antes de suponer que una póliza determinada responderá.
Preguntas frecuentes
Preguntas frecuentes sobre seguro comercial
¿Cuáles son los pasos de ciberseguridad más importantes para una pequeña empresa?
MFA, un gestor de contraseñas, copias de seguridad probadas, detección y respuesta en endpoints (EDR) y una regla de verificación de pagos cubren las brechas más comunes. Los demás pasos hacen esos controles más fáciles de administrar, documentar y mantener.
¿Cuánto tiempo toma configurarlos?
Muchas pequeñas empresas pueden trabajar en la lista durante unas semanas, a menudo con ayuda de un proveedor de TI. El tiempo real depende del tamaño del equipo, los sistemas en uso y cuánto ya está configurado.
¿Estos pasos afectan mi seguro cibernético?
Las aseguradoras suelen preguntar por estos controles en las solicitudes y renovaciones. Las respuestas deben coincidir con lo que realmente está implementado, porque las respuestas inexactas pueden crear problemas de cobertura; el efecto depende de la póliza y los hechos.
Elija los primeros tres pasos que aún no ha terminado, asigne un responsable y una fecha, y regístrelos a medida que avanza. Después, la rutina de higiene los mantiene activos.
Qué hacer a continuación
Conecte la configuración inicial de ciberseguridad con la manera en que opera su empresa antes de que una renovación, un reclamo o una solicitud urgente revele una brecha.
Puntuación de Preparación para la Renovación Comercial | Iniciar una revisión de cobertura | Próximo paso natural