Ciberseguridad básica para una pyme del Biobío: lo mínimo que no puedes saltarte

"A nosotros no nos va a pasar, somos una empresa chica" es lo que escucho antes, y "nos encriptaron todo el servidor" es lo que escucho después. Los ataques que golpean a las pymes del sur no son operaciones sofisticadas dirigidas contra tu empresa: son barridos automáticos que buscan puertas abiertas, y una constructora de Los Ángeles con veinte trabajadores tiene exactamente las mismas puertas que una empresa grande. La diferencia es que la grande tiene quién las cierre.

El riesgo real no es un hacker, es tu rutina

En las pymes que he revisado en el Biobío, Los Ríos y La Araucanía, los incidentes casi nunca empiezan con una vulnerabilidad exótica. Empiezan con una clave repetida en cinco servicios, con un correo falso de "el banco" que alguien abrió un viernes en la tarde, con el notebook del jefe de operaciones que salió de la oficina sin cifrar, o con un ex trabajador que sigue teniendo acceso al Drive de la empresa ocho meses después de irse. Nada de eso se arregla comprando un antivirus más caro. Se arregla con hábitos y con configuración, que es la parte aburrida y la única que funciona.

1. Doble factor en todo lo que se pueda

Si tuvieras que hacer una sola cosa después de leer esto, sería esta: activa la verificación en dos pasos en el correo corporativo, en el banco, en el ERP y en cualquier sistema donde vivan datos de clientes o dinero. Una contraseña robada deja de servirle al atacante si además necesita un código de tu teléfono. Cuesta quince minutos por persona, es gratis en Google Workspace y en Microsoft 365, y previene la mayoría de los accesos indebidos que terminan en un incidente serio. Si puedes elegir, usa una aplicación de autenticación en vez de SMS: el mensaje de texto se puede interceptar, la app no.

2. Contraseñas que nadie tenga que recordar

Pedirle a tu equipo que invente y memorice claves largas y distintas para cada sistema no funciona: terminan en un cuaderno, en un Excel compartido o repitiendo la misma con un número al final. Un gestor de contraseñas para la empresa resuelve el problema completo por unos pocos dólares al mes por usuario, y además te permite quitarle el acceso a alguien sin tener que cambiar diez claves a mano. Lo importante no es cuál marca elijas, sino que el equipo deje de compartir credenciales por WhatsApp.

3. Respaldos que alguien probó alguna vez

Casi todas las pymes creen que tienen respaldos. Muy pocas han verificado que sirven. Un respaldo que nunca se restauró es una hipótesis, no un plan: he visto discos que llevaban catorce meses sin copiar nada y nadie lo notó porque el aviso de error llegaba a un correo que ya no existía. La regla mínima es tener al menos una copia fuera de la oficina y fuera de la red —si el ransomware cifra tus archivos, también cifra el disco USB que está conectado al mismo servidor— y hacer una prueba de restauración cada cierto tiempo, con fecha y responsable. Este punto da para bastante más: lo desarrollé completo en la guía sobre respaldo y continuidad operativa para pymes.

4. Cada persona con su cuenta, y accesos que se apagan

El "usuario admin" compartido por toda la oficina es cómodo hasta el día en que necesitas saber quién borró algo. Cada persona con su propia cuenta, con los permisos que su trabajo requiere y no más: el de bodega no necesita entrar a remuneraciones, y el practicante no necesita ser administrador del sistema. Igual de importante es el otro extremo del ciclo: cuando alguien deja la empresa, revocar sus accesos debe ser parte del finiquito, junto con la entrega del computador. Ponlo en una lista de chequeo de RR.HH. y deja de depender de que alguien se acuerde.

5. El correo es la puerta principal

La mayoría de los fraudes que afectan a empresas del sur entran por correo, y el más caro no es el que trae un virus: es el que trae un cambio de datos bancarios. Un proveedor "avisa" desde una dirección casi idéntica a la real que cambió su cuenta, y la transferencia se va. Contra eso no hay software, hay procedimiento: todo cambio de datos bancarios se confirma por teléfono, al número que ya tenías registrado, nunca al que viene en el mismo correo. Súmale a eso los registros SPF, DKIM y DMARC en tu dominio para que nadie pueda enviar correos haciéndose pasar por tu empresa — es una configuración de una tarde que tu proveedor de hosting puede dejar lista.

6. Actualizaciones y equipos

Sistemas operativos, navegadores y el software que usas al día. Suena obvio y es donde más brechas quedan abiertas: servidores con versiones sin soporte, puntos de venta que nadie actualiza "porque funciona así", routers con la clave que venía de fábrica. Agrega cifrado de disco en los notebooks que salen a terreno —BitLocker en Windows, FileVault en Mac, ambos incluidos— para que un equipo perdido en el aeropuerto de Carriel Sur no sea también una filtración de datos.

7. Media hora de formación al año

La medida más barata de todas: sentar al equipo media hora, mostrarles tres correos falsos reales y explicarles a quién avisar cuando algo se ve raro. El objetivo no es que nadie se equivoque nunca —eso no existe—, sino que quien haga clic en algo dudoso lo cuente en cinco minutos en vez de callarlo dos semanas por vergüenza. Esa diferencia es, muchas veces, la diferencia entre un susto y una pérdida.

Y ahora también es un tema legal

Con la Ley 21.719 de protección de datos personales, el descuido dejó de ser solo un riesgo operativo. Si tu empresa maneja datos de clientes, trabajadores o pacientes —y prácticamente todas lo hacen— tienes obligaciones concretas sobre cómo los proteges y qué haces si se filtran. No es materia solo de abogados: buena parte de lo que exige la ley se cumple con las mismas medidas de esta lista, documentadas. Vale la pena que revises tu situación antes de que sea un requisito de un cliente grande o de una licitación.

Por dónde partir esta semana

• Activa doble factor en el correo corporativo y en el banco. Hoy.
• Haz una lista de quién tiene acceso a qué y borra lo que sobre, empezando por gente que ya no trabaja contigo.
• Restaura un respaldo de prueba y anota la fecha. Si no puedes, ya tienes tu primer problema identificado.
• Define la regla del teléfono para cambios de datos bancarios y avísale a contabilidad por escrito.
• Revisa qué equipos y sistemas están sin actualizar y prográmalo, aunque sea de a uno por semana.

Ninguna de estas medidas requiere una inversión grande ni un proyecto de seis meses: requieren decidir que es importante y asignarle un responsable con nombre. Si estás en pleno proceso de digitalizar tu empresa, este es el momento correcto para incorporarlas — está todo explicado en la guía sobre digitalización de pymes en el Biobío, porque la seguridad se diseña junto con el sistema, no se agrega después.

Si quieres saber en qué pie está realmente tu empresa antes de que lo descubras un lunes a las ocho de la mañana, conversemos: eso es parte del servicio de asesoría tecnológica.