Plan de ciberseguridad para pymes: fases de implantación

Empieza entonces la parte más cara: reconstruir la operativa, explicar a los clientes qué ha ocurrido, revisar los datos expuestos, atender a proveedores y comprobar si la empresa puede seguir facturando con normalidad. Para un negocio local, una interrupción breve puede afectar a la caja del día; una brecha de datos puede prolongarse mucho más en la memoria de los clientes.

Por eso la ciberseguridad en pequeñas empresas no debería organizarse alrededor de compras aisladas —un antivirus nuevo, una licencia de copias o una charla puntual—, sino alrededor de un plan. El Plan Director de Seguridad, o PDS, permite convertir una preocupación difusa en un calendario con responsables, presupuesto, prioridades y revisiones. No elimina el riesgo, pero ayuda a tomar decisiones antes de que el incidente las tome por la empresa.

Si diriges una pyme de entre 10 y 249 empleados, lo que tienes delante no es un manual teórico. Es una herramienta de gestión que conecta tecnología, cumplimiento legal y continuidad del negocio. La diferencia está en cómo se implanta: un documento que nadie consulta sirve de poco; un plan asumido por dirección puede ordenar inversiones que, de otro modo, competirían sin criterio con ventas, operaciones o recursos humanos.

La ciberseguridad también se mide en caja: una interrupción, una fuga de datos o un fraude pueden afectar a la facturación, a la relación con los clientes y a la capacidad de trabajar. El PDS ayuda a preparar respuestas antes de tener que improvisarlas.

El coste oculto de no tener un plan: lo que pierdes mientras decides

Antes de entrar en las fases, conviene aterrizar el impacto. Una pyme sin Plan Director de Seguridad suele convivir con tres debilidades estructurales: activos críticos sin catalogar, medidas desplegadas sin una relación clara con el riesgo y decisiones que dependen de la memoria de una persona concreta. Cuando esa persona se marcha, cambia de proveedor o está de vacaciones durante un incidente, la empresa descubre que no tenía un sistema, sino una colección de costumbres.

El problema se hace visible de varias maneras:

• Una cuenta de correo con acceso a facturas y datos de clientes no tiene una protección distinta de una cuenta secundaria.
• Las copias de seguridad existen, pero nadie ha comprobado si permiten recuperar el servicio.
• Los permisos se mantienen aunque el empleado haya cambiado de puesto o el proveedor ya no trabaje con la empresa.
• La documentación sobre proveedores, aplicaciones y tratamientos de datos está repartida entre correos, carpetas y hojas de cálculo.
• El personal sabe que debe tener cuidado con el phishing, pero no sabe a quién avisar ni qué hacer después de pulsar un enlace.

En un comercio local, esto puede afectar al sistema de cobro, al programa de fidelización, a la tienda online o a los datos necesarios para gestionar pedidos. En una clínica, entran en juego historiales y citas. En una asesoría, nóminas, declaraciones y documentación financiera. En una empresa de servicios, el riesgo puede concentrarse en el acceso remoto, en la nube o en la información que se comparte con clientes y colaboradores.

El perfil de riesgo combina datos personales, facturación digital, conexión con proveedores y una dependencia creciente de plataformas externas. A eso se suman credenciales reutilizadas, dispositivos mezclados —ordenador corporativo, móvil personal, tablet— y aplicaciones contratadas por distintos departamentos sin una visión común. Un correo fraudulento bien dirigido puede abrir la puerta a un fraude; una cuenta comprometida puede servir para acceder a otros sistemas; una configuración incorrecta en la nube puede dejar información expuesta sin que nadie lo detecte de inmediato.

La pregunta correcta no es «¿puedo permitirme un plan de ciberseguridad?», sino «¿qué parte de mi negocio depende ahora mismo de sistemas que no he revisado?». Planteado así, el PDS deja de ser un gasto abstracto y pasa a ser un proyecto de continuidad. Permite decidir qué proteger primero, qué riesgos aceptar temporalmente y qué medidas necesitan presupuesto propio.

Diagnóstico inicial: análisis de activos críticos y mapa de amenazas

La primera fase del PDS consiste en conocer la situación actual. En la práctica, es una auditoría de madurez que combina información técnica, organizativa y legal. No empieza por comprar tecnología, sino por responder tres preguntas con nombres concretos y responsables identificados.

Qué hay que proteger

El inventario debe incluir algo más que servidores y ordenadores. También debe recoger la información y los servicios de los que depende la actividad:

• Datos de clientes, empleados y proveedores.
• Nóminas, contratos, facturas y documentación financiera.
• Aplicaciones de gestión, comercio electrónico, reservas o atención al cliente.
• Cuentas de correo, almacenamiento en la nube y herramientas de colaboración.
• Dispositivos corporativos y personales que acceden a recursos de la empresa.
• Redes wifi, sistemas de videovigilancia, terminales de pago y dispositivos conectados.
• Proveedores que gestionan información o mantienen sistemas esenciales.
• Dominios, perfiles corporativos y cuentas con capacidad para publicar o modificar contenidos.

Cada activo debe valorarse por su importancia para el negocio. No es lo mismo perder durante unas horas una herramienta auxiliar que quedarse sin acceso al sistema de facturación en plena campaña. Tampoco es igual que se produzca una indisponibilidad, una alteración de datos o una filtración. La confidencialidad, la integridad y la disponibilidad deben analizarse por separado, aunque en un incidente puedan aparecer juntas.

Qué puede ocurrir

El mapa de amenazas debe partir de la actividad real de la empresa. Para una pyme, las amenazas más habituales no siempre son las más sofisticadas. El phishing, el robo de credenciales, el ransomware, el fraude al CEO, las filtraciones accidentales y los errores de configuración pueden tener más recorrido que un ataque especialmente complejo.

También hay que mirar fuera de la organización. Un proveedor con acceso remoto, una plataforma de reservas, una gestoría o un servicio de alojamiento pueden convertirse en un punto de entrada o en una causa de indisponibilidad. La cadena de suministro no es una preocupación reservada a las grandes compañías: basta con que una empresa pequeña dependa de un tercero para prestar un servicio crítico.

Cómo está la empresa ahora

La auditoría de ciberseguridad de una pyme debería revisar, como mínimo:

• Gestión de identidades, contraseñas y doble autenticación.
• Altas, bajas y cambios de permisos.
• Actualizaciones de sistemas y aplicaciones.
• Protección de equipos y dispositivos móviles.
• Configuración de correo, dominios y servicios en la nube.
• Copias de seguridad, retención y capacidad real de recuperación.
• Registro de incidentes y procedimiento de comunicación.
• Contratos con encargados del tratamiento y obligaciones de protección de datos.
• Formación del personal y canales para reportar mensajes sospechosos.

No hace falta convertir esta fase en una certificación ni perseguir una perfección documental que la empresa no pueda mantener. Sí hace falta obtener una fotografía honesta. Un análisis que oculta las carencias para que el resultado parezca mejor solo consigue que el plan posterior nazca mal orientado.

Como consultora, aquí suelo encontrar el mismo freno: la información existe, pero está dispersa. La persona responsable de sistemas conoce una parte; administración conoce otra; dirección sabe qué servicios no pueden detenerse y el proveedor externo tiene el detalle de determinadas configuraciones. El diagnóstico debe reunir esas piezas y dejar constancia de quién responde por cada una.

Estructura del Plan Director de Seguridad (PDS) según el INCIBE

El enfoque del INCIBE articula el PDS en seis fases consecutivas. Son una secuencia lógica, aunque el trabajo pueda volver atrás cuando aparece información nueva. La clave no es rellenar seis apartados, sino conseguir que cada fase produzca una decisión útil para la siguiente.

La segunda fase suele recibir menos atención de la que merece. La seguridad no puede diseñarse al margen de la estrategia. Si la empresa va a abrir una nueva sede, externalizar parte de la atención al cliente o aumentar el uso de aplicaciones en la nube, esas decisiones cambian la superficie de ataque y las necesidades de control. El PDS debe recogerlas.

La tercera fase convierte los riesgos en proyectos. «Mejorar la seguridad» no es un proyecto ejecutable. «Implantar doble autenticación en las cuentas con acceso a información sensible», «revisar los permisos de los usuarios externos» o «establecer un procedimiento de recuperación de copias» sí lo son. Cada iniciativa debería tener un alcance, un responsable, una dependencia y una forma razonable de comprobar si se ha completado.

En la fase de aprobación, dirección no se limita a firmar. Debe aceptar las prioridades, asignar recursos y decidir qué riesgos no pueden esperar. Sin esa implicación, el responsable técnico queda obligado a negociar cada medida como si fuese una excepción. El PDS funciona mejor cuando forma parte de la conversación habitual de la empresa, igual que el presupuesto, la continuidad operativa o la protección de datos.

Criterios de priorización: cómo optimizar el esfuerzo en medidas técnicas y legales

La pregunta decisiva llega cuando el diagnóstico ya está hecho: ¿por dónde empiezo? Una pyme no puede ejecutar todas las medidas al mismo tiempo, y tampoco debería hacerlo sin entender las dependencias. La priorización sirve para concentrar el esfuerzo en aquello que reduce riesgos relevantes y puede mantenerse con los recursos disponibles.

Un criterio sencillo consiste en cruzar el esfuerzo necesario con la mejora esperable en seguridad. Las medidas de poco esfuerzo y alto impacto suelen ocupar las primeras posiciones, pero no son las únicas. Algunas actuaciones estructurales —segmentar una red, sustituir una aplicación obsoleta o rediseñar los permisos— pueden exigir más trabajo y ser necesarias para que otras medidas funcionen.

Regla de trabajo: empieza por las actuaciones que reduzcan exposición y mejoren la capacidad de respuesta, pero no confundas rapidez con simplicidad. Una medida solo es útil si la empresa puede mantenerla, revisarla y saber cuándo deja de funcionar.

Entre las primeras actuaciones que suelen aparecer en un PDS están la protección reforzada de las identidades, las copias de seguridad separadas de los sistemas principales, la gestión de parches, la revisión de permisos y la formación práctica del personal. No forman una receta universal: su prioridad depende del diagnóstico. Una empresa con copias fiables pero cuentas compartidas tendrá un problema distinto de otra que disponga de buenos controles de acceso, pero no pueda recuperar sus datos.

Medidas técnicas

El bloque técnico puede incluir:

• Doble autenticación en correo, administración, acceso remoto y servicios con información sensible.
• Gestión de actualizaciones y parches con responsables y plazos definidos.
• Protección de equipos y servidores, con capacidad de detectar comportamientos anómalos.
• Copias de seguridad con separación suficiente respecto de los sistemas de producción.
• Pruebas de restauración, porque una copia que nunca se ha recuperado es una hipótesis, no una garantía.
• Segmentación de redes cuando conviven dispositivos de trabajo, visitas, videovigilancia o sistemas de cobro.
• Cifrado de la información cuando el riesgo y el tipo de datos lo justifiquen.
• Registro y revisión de accesos relevantes.

El objetivo no es comprar el mayor número posible de herramientas. Una solución que genera alertas que nadie revisa puede aportar menos que un control más sencillo, bien configurado y con un responsable claro.

Medidas organizativas

La tecnología necesita procedimientos. La empresa debe saber qué ocurre cuando alguien pierde un dispositivo, recibe un correo sospechoso, detecta una transferencia inusual o descubre que un proveedor ha tenido un incidente.

Aquí entran la política de uso aceptable, el procedimiento de gestión de incidentes, el plan de continuidad y la formación. Esta última debe estar vinculada al trabajo real: ejemplos de facturas falsas, cambios fraudulentos de cuenta bancaria, enlaces que imitan a un proveedor habitual o solicitudes urgentes de información. Un curso único puede servir como punto de partida, pero no sustituye la creación de una cultura en la que avisar pronto sea más importante que ocultar un error.

También conviene definir sustituciones. Si solo una persona sabe recuperar una copia, administrar el dominio o revocar accesos, existe una dependencia operativa que el PDS debe hacer visible.

Medidas legales y de protección de datos

La protección de datos en el comercio local y en cualquier pyme que trate información personal no puede separarse de la seguridad. El PDS debería coordinarse con el registro de actividades de tratamiento, los contratos con encargados, las políticas de conservación y los procedimientos para atender derechos o comunicar una brecha cuando corresponda.

El bloque legal puede abarcar la adaptación al RGPD y a la LOPDGDD, la revisión de contratos con proveedores tecnológicos, el control de transferencias de información, la gestión de consentimientos y la documentación de incidentes. No se trata de añadir documentos por inercia. Se trata de que las obligaciones legales reflejen lo que ocurre realmente en los sistemas.

La priorización también debe tener en cuenta la dependencia entre medidas. Por ejemplo, revisar permisos pierde eficacia si la empresa no tiene un procedimiento de altas y bajas. Formar al personal ayuda menos si los mensajes sospechosos no pueden reportarse a un canal atendido. Y comprar una solución de copias no resuelve la continuidad si nadie ha decidido qué servicios deben recuperarse primero.

Puesta en marcha y monitorización: la fase que define si el plan vive o muere

Aprobar el PDS no es el final. Es el momento en que el documento tiene que convertirse en operaciones, compras, cambios de configuración y hábitos. La fase de puesta en marcha debe reflejar qué se hace, quién lo hace, cuándo se revisa y qué sucede si el resultado no es el esperado.

Un cuadro de mando para una pyme no necesita acumular indicadores. Puede centrarse en cuestiones que permitan tomar decisiones:

• Tiempo de detección y comunicación de los incidentes.
• Estado de las actualizaciones críticas.
• Cobertura de la doble autenticación en los servicios prioritarios.
• Resultado de las pruebas de restauración.
• Revisión de usuarios, permisos y cuentas externas.
• Personal formado y áreas pendientes.
• Cumplimiento de las revisiones legales y contractuales.

Cada indicador necesita un responsable y un umbral que provoque una acción. Decir que las copias están «activas» aporta poca información; saber cuándo se hizo la última restauración comprobada permite hablar de capacidad real de recuperación. Del mismo modo, contar empleados formados no basta si los incidentes siguen sin comunicarse o si la formación no alcanza a quienes gestionan pagos y datos de clientes.

El PDS debe revisarse cuando cambie el negocio: una nueva línea de actividad, una fusión, la apertura de una sede, la incorporación de un proveedor crítico o una migración relevante a la nube pueden alterar el análisis de riesgos. También conviene revisarlo de forma periódica, porque los sistemas, las amenazas y la organización no permanecen quietos.

Un plan estático pierde valor aunque el documento siga siendo correcto en apariencia. La monitorización permite detectar ese desgaste y ajustar las prioridades sin esperar a que ocurra un incidente.

Financiación mediante el Kit Consulting: plazos y segmentos de ayuda

El programa Kit Consulting, gestionado por Red.es, financia la contratación de servicios de asesoramiento digital especializado con fondos europeos. Entre las categorías contempladas se encuentra el diseño de planes de ciberseguridad adaptados a la pyme. La utilidad de esta vía no está en encargar un informe genérico, sino en aprovechar el asesoramiento para producir entregables que la empresa pueda aplicar: inventario, análisis de riesgos, hoja de ruta, prioridades y sistema de seguimiento.

Los importes se segmentan por tamaño de plantilla:

El programa está dirigido a empresas de entre 10 y 249 empleados, de acuerdo con las condiciones de la convocatoria. Las microempresas de menos de 10 trabajadores y las grandes empresas de más de 250 quedan fuera de estos segmentos. También deben cumplirse los requisitos administrativos correspondientes, entre ellos disponer de domicilio fiscal en España, estar al corriente de las obligaciones tributarias y acreditar la condición de pyme.

Los plazos deben comprobarse en la convocatoria aplicable, pero el esquema del programa contempla hitos concretos:

• Tres meses desde la concesión para formalizar el primer Acuerdo de Prestación de Servicios de Asesoramiento con el asesor digital.
• Tres meses desde la validación del acuerdo para completar el servicio contratado.
• Cinco meses desde la validación del acuerdo como plazo máximo para presentar la justificación del trabajo ante Red.es.

Estos plazos condicionan la preparación. Conviene tener claro qué categoría se necesita, qué alcance tendría el servicio y qué documentación debe aportar la empresa antes de iniciar la solicitud o formalizar el acuerdo. Si el diagnóstico interno no está mínimamente ordenado, parte del tiempo subvencionado se consumirá reconstruyendo información básica.

La ayuda se concede en régimen de concurrencia no competitiva. Eso significa que no se valora la solicitud frente a otras para establecer una clasificación competitiva, pero sí es necesario cumplir los requisitos y atender al marco presupuestario y temporal de la convocatoria. La empresa debe revisar las condiciones vigentes, los plazos y la disponibilidad antes de dar por hecho que la ayuda está asegurada.

El asesoramiento financiado no sustituye la responsabilidad de la dirección. El proveedor puede aportar metodología, análisis y recomendaciones; la empresa debe decidir qué acepta, asignar recursos y mantener las medidas. Tampoco tiene sentido contratar un PDS si nadie va a participar en las entrevistas, validar el inventario o aprobar las prioridades.

Pasar del «ya lo miraré» al calendario firmado

Si tuviera que convertir todo lo anterior en una línea de trabajo, empezaría por estas decisiones:

1. Delimita el alcance. Identifica las áreas, servicios y datos que el plan debe cubrir. No es igual proteger una tienda física con gestión de clientes que una empresa que depende de ventas online, acceso remoto y varios proveedores tecnológicos.

2. Nombra a un responsable interno. Puede apoyarse en una asesoría o en un proveedor especializado, pero debe existir una persona dentro de la empresa capaz de coordinar información, decisiones y seguimiento.

3. Reúne a las áreas que conocen el negocio. Dirección, administración, operaciones, recursos humanos y sistemas ven partes distintas del riesgo. El inventario será más útil si incorpora esas perspectivas.

4. Exige entregables utilizables. Un PDS debería dejar un inventario de activos, un análisis de riesgos, una hoja de ruta priorizada, responsables, presupuesto y un sistema de revisión. Sin esa conexión con la ejecución, el informe se queda en diagnóstico.

5. Separa las medidas urgentes de los proyectos estructurales. La doble autenticación o la revisión de cuentas pueden avanzar mientras se prepara una renovación de sistemas, pero deben quedar dentro de una misma hoja de ruta.

6. Incluye la revisión desde el principio. La fecha de seguimiento no debe depender de que el proveedor vuelva a llamar. Tiene que formar parte del calendario de dirección y de la gestión ordinaria de la empresa.

Un PDS no puede prometer que no habrá ataques, ni garantizar por sí solo que los datos estarán siempre a salvo. Lo que sí puede aportar es una mejora de la preparación: más visibilidad sobre los activos, decisiones de inversión mejor justificadas, responsabilidades menos ambiguas y una respuesta menos improvisada cuando algo falle.

En una pyme, esa mejora no es un asunto reservado al departamento de informática. Afecta a quien cobra, contrata, vende, atiende al cliente, administra los permisos y decide qué proveedor entra en los sistemas. La ciberseguridad empieza con herramientas, pero se sostiene con decisiones repetidas y revisadas.

El calendario, por tanto, no es un trámite final. Es la parte del plan que convierte la intención en trabajo. Y en seguridad, tener claro qué se hará después suele ser una ventaja mucho más práctica que saber enumerar todas las amenazas posibles.