Seguridad informática en empresas: 10 errores que debes evitar
La seguridad informática de una empresa no depende de una única herramienta.
Contraseñas, actualizaciones, usuarios, redes, copias de seguridad y procedimientos forman parte de una misma estrategia. Muchos incidentes no aparecen por utilizar una tecnología especialmente insegura, sino por situaciones cotidianas: una cuenta con demasiados permisos, un sistema sin actualizar, una contraseña reutilizada o una copia de seguridad que nunca se ha probado.
Estos son algunos de los errores de seguridad informática más habituales en las empresas y las medidas que podemos aplicar para reducir el riesgo.
1. Pensar que una empresa pequeña no es un objetivo
Uno de los primeros errores es asumir que los ciberdelincuentes solo están interesados en grandes compañías.
Muchos ataques son automatizados y buscan sistemas vulnerables, cuentas comprometidas o direcciones de correo a las que enviar phishing, independientemente del tamaño de la organización.
Una pyme puede disponer de información comercial, datos de clientes, acceso a cuentas bancarias o correo corporativo útil para cometer fraude.
La seguridad debe ser proporcional al riesgo, pero ser una empresa pequeña no constituye una medida de protección.
2. Confiar únicamente en las contraseñas
Una contraseña robusta sigue siendo importante, pero no siempre es suficiente.
Las credenciales pueden obtenerse mediante phishing, filtraciones, malware o ingeniería social.
Por eso las cuentas importantes deberían utilizar autenticación multifactor (MFA) siempre que sea posible, especialmente correo electrónico, servicios cloud, aplicaciones empresariales, accesos remotos y cuentas administrativas.
También conviene utilizar contraseñas diferentes para cada servicio y recurrir a un gestor de contraseñas cuando sea necesario.
La MFA añade una barrera adicional cuando una contraseña ha sido comprometida.
3. Dar más permisos de los necesarios
No todos los usuarios deberían acceder a toda la información ni disponer de privilegios administrativos.
Aplicar el principio de mínimo privilegio significa conceder únicamente los accesos necesarios para realizar cada función.
También debemos revisar esos permisos cuando una persona cambia de puesto o abandona la empresa. Mantener cuentas antiguas, accesos olvidados o permisos de proveedores que ya no trabajan con nosotros amplía innecesariamente la superficie de ataque.
Las cuentas administrativas deberían reservarse para tareas que realmente necesitan privilegios elevados.
4. No actualizar sistemas y aplicaciones
Una vulnerabilidad conocida y sin corregir puede convertirse en una puerta de entrada.
Sistemas operativos, navegadores, aplicaciones, servidores y dispositivos de red necesitan un procedimiento de actualización.
La empresa debería conocer qué sistemas mantiene, cuáles tienen actualizaciones pendientes y cuáles han llegado al final de su ciclo de soporte.
Un buen ejemplo es Windows 10, cuyo soporte general ya ha terminado. Mantener tecnología fuera de soporte durante largos periodos puede dejar vulnerabilidades sin corregir y generar problemas de compatibilidad.
En servidores conviene aplicar controles adicionales. En nuestra guía sobre seguridad de servidores analizamos medidas específicas para estos sistemas.
5. Pensar que el phishing se soluciona solo con un filtro de correo
Los filtros antispam y las herramientas de seguridad pueden bloquear muchos mensajes maliciosos, pero no todos.
Un atacante puede hacerse pasar por un proveedor, un responsable de la organización o un servicio conocido y solicitar una transferencia, un cambio de cuenta bancaria o el acceso a una página falsa.
Por eso la formación de los usuarios sigue siendo necesaria.
Los empleados deberían saber reconocer señales sospechosas y disponer de un procedimiento sencillo para confirmar una petición antes de actuar.
Esto resulta especialmente importante en departamentos que gestionan pagos, proveedores, nóminas o información sensible.
En nuestra guía sobre phishing por correo electrónico explicamos qué señales pueden ayudar a detectar estos intentos.
6. Exponer servicios y accesos remotos sin control
El acceso remoto forma parte del funcionamiento normal de muchas empresas, pero debe diseñarse correctamente.
Dependiendo del servicio podemos utilizar VPN, aplicaciones cloud con autenticación fuerte u otros mecanismos de acceso seguro.
La cuestión fundamental es no dejar servicios innecesariamente expuestos a Internet y controlar quién puede acceder, desde qué dispositivos y mediante qué mecanismos de autenticación.
El firewall forma parte de esta estrategia al controlar las comunicaciones según las reglas definidas, pero tampoco debe considerarse una solución aislada.
Puedes ampliar este punto en nuestra guía sobre qué es un firewall y para qué sirve.
7. Tener copias de seguridad sin comprobar que funcionan
“Hacemos backups” no siempre significa que podamos recuperar la empresa después de una incidencia.
Las copias pueden fallar, estar incompletas o quedar accesibles desde los mismos sistemas comprometidos.
Una estrategia de backup debería incluir monitorización y pruebas de restauración.
Tenemos que saber qué información se copia, con qué frecuencia, cuánto tiempo se conserva y cuánto tardaríamos en recuperarla.
También conviene evitar que todas las copias dependan del mismo entorno que estamos intentando proteger. Un ransomware o una cuenta administrativa comprometida puede afectar tanto a los datos originales como a determinados backups.
Las copias de seguridad también permiten recuperarnos de averías, borrados accidentales y otros incidentes.
8. Olvidar los dispositivos que acceden a la información
Portátiles, móviles y otros dispositivos forman parte del perímetro de seguridad.
Si un usuario puede acceder al correo, documentos corporativos o aplicaciones desde un dispositivo, ese equipo también debe gestionarse.
Conviene controlar actualizaciones, protección del dispositivo, bloqueo de pantalla y posibilidad de retirar el acceso si se pierde o deja de pertenecer al usuario.
También debemos decidir qué política aplicamos a dispositivos personales para evitar que información corporativa quede accesible desde equipos sin ningún control.
9. No monitorizar los sistemas
La seguridad no consiste únicamente en intentar impedir ataques.
También necesitamos detectar comportamientos anómalos y disponer de información suficiente para investigar una incidencia.
Servidores, firewalls, servicios cloud y sistemas de identidad generan registros y alertas que pueden resultar útiles.
El nivel de monitorización dependerá del tamaño y criticidad de la infraestructura, pero los sistemas importantes no deberían funcionar sin ninguna supervisión.
Si nadie revisa errores de backup, accesos anómalos o cambios relevantes, determinados problemas pueden permanecer activos durante demasiado tiempo.
10. No saber qué hacer cuando ocurre un incidente
Ninguna estrategia puede garantizar que nunca tendremos un incidente.
Por eso debemos preparar también la respuesta.
Si detectamos ransomware, una cuenta comprometida o un servidor atacado, alguien debe saber cómo actuar.
Conviene definir cómo aislar los sistemas afectados, a quién avisar, quién puede tomar decisiones y qué servicios deben recuperarse primero.
También debemos saber dónde están las copias de seguridad y cómo acceder a ellas aunque parte de la infraestructura habitual esté afectada.
Un procedimiento sencillo y conocido suele ser mucho más útil que improvisar mientras la empresa está parada.
¿Por dónde debería empezar una empresa?
No todas las organizaciones necesitan las mismas herramientas, pero existen algunas prioridades aplicables a prácticamente cualquier entorno:
- mantener un inventario de equipos, usuarios y sistemas;
- aplicar actualizaciones y retirar tecnología fuera de soporte;
- utilizar MFA en cuentas importantes;
- limitar privilegios y revisar usuarios;
- proteger los accesos remotos;
- disponer de backups supervisados y probados;
- formar a los usuarios frente a phishing;
- monitorizar los sistemas críticos;
- disponer de un procedimiento básico de respuesta a incidentes.
A partir de ahí podemos decidir qué controles adicionales necesita cada infraestructura.
La seguridad en la nube también requiere gestión
Migrar sistemas a la nube no elimina la necesidad de protegerlos.
El proveedor puede responsabilizarse de determinadas capas de infraestructura, pero la empresa continúa gestionando usuarios, permisos, aplicaciones, configuraciones y datos según el servicio contratado.
Una mala configuración, una cuenta comprometida o permisos excesivos pueden generar incidentes aunque la infraestructura física del proveedor sea segura.
En cómo reforzar la seguridad en la nube analizamos estas medidas con más detalle.
Seguridad informática: prevenir, detectar y recuperar
Una estrategia de seguridad empresarial debería trabajar en tres ámbitos.
Prevenir, reduciendo las posibilidades de que un ataque tenga éxito mediante actualizaciones, autenticación, control de accesos y formación.
Detectar, utilizando monitorización y alertas para identificar comportamientos anómalos.
Y recuperar, disponiendo de copias de seguridad y procedimientos que permitan restablecer la actividad.
La pregunta no debería ser solamente cómo evitar un ataque, sino también cómo detectarlo y qué hacer si ocurre.
La seguridad informática debe gestionarse como un proceso continuo. Los usuarios cambian, aparecen nuevas aplicaciones, los equipos envejecen y las amenazas evolucionan.
En ENDEOS integramos estas medidas dentro de la administración de sistemas para empresas, manteniendo infraestructura, actualizaciones, copias de seguridad y sistemas bajo supervisión para reducir incidencias y mantener la actividad operativa.
Artículos relacionados:
- classic-editor-remember:
- block-editor