La digitalización ya no es exclusiva de grandes compañías tecnológicas. Un comercio regional que acepta pagos electrónicos, una institución educativa que administra expedientes, una clínica que organiza citas o una pequeña empresa que utiliza servicios en la nube dependen diariamente de sistemas conectados. Esa transformación facilita muchas tareas, pero también obliga a prestar atención a la protección de la información.
Para organizaciones con recursos limitados, el desafío es especialmente complejo. No siempre existe un departamento especializado en ciberseguridad y, en ocasiones, la misma persona se ocupa de tareas administrativas, sistemas y proveedores tecnológicos. NIST ha desarrollado precisamente una guía basada en su Cybersecurity Framework 2.0 para pequeñas y medianas organizaciones que cuentan con planes de seguridad modestos o que todavía están comenzando a estructurarlos.
La cuestión central no consiste en intentar eliminar todos los riesgos, algo poco realista, sino en identificar qué información y sistemas son importantes, establecer prioridades y prepararse para responder cuando se produzca un incidente.
Los datos se han convertido en parte de la infraestructura cotidiana
Una pequeña organización puede manejar más información de la que parece. Bases de clientes, correos electrónicos, documentos laborales, facturas, credenciales de acceso y registros de proveedores forman parte de las operaciones habituales. Dependiendo de la actividad, también pueden procesarse datos personales de mayor sensibilidad.
Por eso, proteger los datos no significa únicamente impedir que alguien los robe. La seguridad también tiene que preservar su integridad y disponibilidad. Una organización necesita confiar en que la información no ha sido modificada indebidamente y que podrá recuperarla cuando resulte necesaria.
ENISA recomienda abordar la protección de datos personales mediante una evaluación basada en riesgos. En términos prácticos, cuanto mayor sea el impacto potencial asociado al tratamiento de determinada información, más rigurosas deberán ser las medidas adoptadas para protegerla.
También conviene preguntarse si todos los datos almacenados son realmente necesarios. Conservar información sin una finalidad justificada puede ampliar innecesariamente la superficie que debe protegerse.
Phishing y errores humanos: problemas que no son exclusivamente técnicos
Una parte importante de la ciberseguridad ocurre fuera del código y de los servidores. Los delincuentes también intentan conseguir acceso engañando a las personas que utilizan los sistemas.
ENISA identificó el phishing entre los incidentes comunes sufridos por las pequeñas y medianas empresas analizadas en su investigación, junto con ransomware, robo de equipos y fraudes mediante suplantación de directivos.
Un mensaje puede aparentar proceder de un proveedor, compañero o responsable de la empresa e intentar que el destinatario abra un archivo, entregue sus credenciales o realice un pago. Por esa razón, la formación del personal debe acompañar a las soluciones técnicas.
Entre las medidas básicas que una organización puede incorporar se encuentran:
- formar a los empleados para reconocer mensajes sospechosos;
- definir claramente quién puede acceder a información sensible;
- mantener sistemas y aplicaciones actualizados;
- utilizar mecanismos sólidos de autenticación;
- proteger los dispositivos utilizados para trabajar;
- realizar copias de seguridad periódicas;
- establecer un procedimiento para comunicar incidentes;
- revisar la seguridad de proveedores y servicios externos.
Ninguna de estas medidas garantiza por sí sola que un incidente no vaya a producirse. Su valor está en reducir riesgos y evitar que un único error tenga consecuencias desproporcionadas.
Control de acceso: no todos necesitan ver toda la información
En una organización pequeña es frecuente que las personas acumulen responsabilidades. Eso no significa que todas deban tener acceso a todos los sistemas.
Limitar los permisos según las funciones reduce la exposición de información sensible. Un empleado que necesita consultar pedidos, por ejemplo, no tiene necesariamente que disponer de privilegios administrativos sobre el servidor o acceso completo a documentación de recursos humanos.
OWASP incluye los controles de acceso entre los elementos que deben considerarse al proteger información sensible y también presta atención a aspectos como cifrado, retención y tratamiento seguro de datos en registros y bases de datos.
La revisión de permisos es igualmente importante cuando una persona cambia de función o deja la organización. Mantener cuentas antiguas o privilegios que ya no son necesarios crea accesos adicionales sin aportar un beneficio operativo.
Este principio resulta aplicable tanto a instituciones como a comercios. La escala puede cambiar, pero la lógica permanece: cada usuario debería disponer de los permisos necesarios para realizar su trabajo y no de accesos adicionales simplemente por comodidad.
Sitios web y servicios digitales también forman parte del perímetro
Para muchos comercios regionales, la página web se ha convertido en una extensión del establecimiento físico. Puede utilizarse para recibir consultas, gestionar reservas, presentar productos o dirigir al cliente hacia un sistema de pago. Una vulnerabilidad en esa infraestructura puede afectar tanto a la organización como a sus usuarios.
El mismo principio se aplica a servicios digitales de sectores muy distintos. Una tienda, un portal informativo, una plataforma de reservas o un servicio de entretenimiento con secciones como slots online operan en contextos diferentes, pero todos dependen de infraestructura web y necesitan gestionar correctamente los riesgos asociados a sus sistemas. La existencia de una página accesible desde un navegador no elimina responsabilidades relacionadas con configuración, mantenimiento y protección de la información.
ENISA recomienda que las pequeñas empresas mantengan sus sitios web correctamente configurados y actualizados y que realicen comprobaciones de seguridad para detectar posibles debilidades.
El cifrado es otra pieza de esta arquitectura. OWASP señala que la criptografía desempeña un papel relevante en la defensa frente a la lectura o modificación no autorizada de información, y advierte de que la protección no debería limitarse únicamente a los sistemas externos.
Copias de seguridad y recuperación después de un incidente
Prevenir es importante, pero una estrategia realista también debe contemplar qué ocurrirá cuando algo falle. Un ataque de ransomware, una avería, un error humano o la pérdida de un dispositivo pueden dejar información inaccesible.
Las copias de seguridad permiten disponer de una vía de recuperación, siempre que estén correctamente diseñadas. ENISA recomienda que los backups sean regulares y, cuando sea posible, automatizados. También aconseja mantenerlos separados del entorno de producción, cifrarlos cuando corresponda y comprobar periódicamente que realmente pueden restaurarse.
Este último punto suele pasarse por alto. Tener una copia no garantiza que la recuperación vaya a funcionar. Un archivo puede estar incompleto, una configuración puede haberse copiado incorrectamente o el procedimiento de restauración puede no haber sido probado.
ENISA también describe la conocida regla 3-2-1: mantener tres copias de los archivos importantes, utilizar dos medios de almacenamiento diferentes y conservar al menos una copia fuera del entorno informático principal de la empresa.
La recuperación, además, debería formar parte de un plan más amplio. Una organización necesita saber qué sistemas debe recuperar primero, quién toma las decisiones y cómo continuará operando mientras los servicios habituales no estén disponibles.
La ciberseguridad como proceso continuo de gestión
Uno de los errores más habituales es considerar la seguridad como una compra puntual: instalar una herramienta, cambiar algunas contraseñas y dar el problema por resuelto. Los riesgos digitales cambian junto con los sistemas, los proveedores y la propia organización.
El Cybersecurity Framework 2.0 de NIST propone precisamente un enfoque de gestión continua. Su estructura se organiza alrededor de seis funciones: Govern, Identify, Protect, Detect, Respond y Recover. El marco puede utilizarse en organizaciones de diferentes tamaños y sectores para comprender, priorizar y comunicar los riesgos de ciberseguridad.
Para una institución regional o una pequeña empresa, esto no significa necesariamente construir una estructura comparable a la de una multinacional. Puede empezar por preguntas mucho más concretas: qué activos son críticos, qué información se almacena, quién tiene acceso, dónde están las copias de seguridad y qué procedimiento se seguirá ante una incidencia.
También es necesario revisar periódicamente esas respuestas. La incorporación de un nuevo proveedor en la nube, un sistema de pagos o una plataforma para empleados puede modificar el mapa de riesgos aunque el tamaño de la organización permanezca igual.
En mi opinión, el principal desafío para instituciones y comercios regionales no consiste en adoptar la mayor cantidad posible de herramientas de seguridad, sino en convertir la protección de datos en una práctica habitual de gestión. Saber qué se protege, limitar los accesos, formar a las personas, mantener copias recuperables y contar con un plan de respuesta crea una base mucho más sólida que depender de una única solución tecnológica.
