Post actualizado el día octubre 29, 2026 by DeiviSanzPlay
Checklist de tecnología para proteger tu empresa en 2026Hay una escena que se repite en muchas pymes: el responsable de IT recibe una alerta del proveedor de correo porque alguien ha intentado entrar con credenciales de un empleado desde otro país. No hay daño, pero tampoco hay registro claro de qué pasó. A partir de ahí empieza la búsqueda de herramientas. La tentación es comprar el producto que más suena o el que vende el partner de turno. Ese camino suele terminar en un panel de control que nadie consulta.
Lo que sigue es una lista de comprobación pensada para revisar en orden, no para comprar en bloque. Cada bloque incluye tecnologías concretas, la pregunta que conviene hacerse antes de contratarlas y una limitación honesta. No es un ranking ni una promesa de inmunidad: ninguna pila tecnológica elimina el riesgo, solo lo reparte y lo hace visible.
Bloque 1: identidad y acceso. La base de todo
Antes de mirar firewalls o SIEM, revisa cómo entra la gente a los sistemas. La mayoría de incidentes graves empiezan con una cuenta comprometida, no con un exploit exótico.
- Gestor de contraseñas corporativo con bóveda compartida y auditoría de accesos. Ejemplo real: equipos que comparten la clave del panel de facturación por WhatsApp. Un gestor con roles elimina esa práctica sin discursos.
- MFA resistente a phishing (passkeys o llaves FIDO2) en correo, VPN, panel de cloud y banca. El SMS sigue siendo mejor que nada, pero es interceptable con SIM swapping.
- SSO con proveedor de identidad (Entra ID, Google Workspace, Okta) para centralizar altas y bajas. Cuando alguien se va, se desactiva una cuenta, no quince.
- Revisión trimestral de cuentas privilegiadas: quién es admin, desde cuándo y por qué. Documenta la respuesta.
Limitación: el MFA con llaves físicas no funciona bien en organizaciones con rotación alta y trabajadores sin dispositivo propio. En ese caso, passkeys sincronizadas o autenticadores con número de emparejamiento son más realistas que forzar hardware que se pierde.
Bloque 2: endpoint. Lo que ya está dentro
El perímetro se movió al portátil del comercial. La lista se centra en lo que puedes verificar, no en lo que promete el folleto.
- EDR (detección y respuesta en endpoint) en lugar de antivirus clásico. Pregunta al proveedor si permite aislamiento de host y consulta de telemetría sin coste extra.
- Cifrado de disco obligatorio en portátiles y móviles, con recuperación de claves custodiada. Un robo sin cifrado es una brecha notificable.
- Gestión de parches con ventana definida: sistema operativo, navegador, plugins y firmware. Mide el porcentaje de equipos actualizados, no la existencia de la herramienta.
- Inventario de software que distinga lo autorizado de lo instalado. Casi siempre aparecen dos o tres herramientas olvidadas con acceso a datos.
Limitación: el EDR no funciona igual en equipos con sistemas operativos fuera de soporte ni en dispositivos personales (BYOD) donde el empleado no acepta el agente. Ahí toca política y segmentación de red, no más software.
Bloque 3: correo y navegación. El vector de entrada
La mayoría de intentos de fraude llegan por un enlace o un adjunto. Estas capas se solapan a propósito.
- Filtro antiphishing con análisis de enlaces en tiempo real, no solo por lista negra. Revisa la tasa de falsos positivos antes de firmar: un filtro agresivo que bloquea facturas legítimas genera sombra de TI.
- DMARC en modo rechazo para el dominio propio, con SPF y DKIM correctos. Es barato y frena la suplantación directa.
- Navegador con aislamiento remoto (RBI) o extensiones de protección para el personal que abre enlaces externos a diario.
- Simulaciones de phishing con métricas de reporte, no solo de clic. Si nadie usa el botón de reportar, la simulación es teatro.
Limitación: el filtrado de correo no protege frente a un ataque por mensajería instantánea o por llamada telefónica (vishing). Esas vías necesitan protocolo y formación, no una pasarela.
Bloque 4: red y acceso remoto
- VPN corporativa o ZTNA con verificación de dispositivo antes de dar acceso a recursos internos. La VPN clásica sin postura de dispositivo reparte confianza de más.
- Segmentación de red: separa invitados, IoT, servidores y puestos de trabajo. Un televisor de sala de reuniones no debe hablar con el servidor de nóminas.
- DNS filtrado para bloquear dominios maliciosos conocidos. Es una capa barata y silenciosa.
- WiFi con WPA3 y red de invitados aislada, con rotación de credenciales cuando alguien con acceso se marcha.
Limitación: ZTNA exige inventario de aplicaciones y cierta disciplina de identidad. En entornos con sistemas heredados que no admiten proxy, la migración se alarga y conviene un acceso híbrido temporal.
Bloque 5: copias de seguridad y recuperación
El ransomware no se combate solo con detección. La pregunta útil es cuánto tardarías en restaurar el correo y la facturación sin pagar.
- Regla 3-2-1: tres copias, dos medios, una fuera de línea o inmutable. Verifica que el backup no sea accesible con las mismas credenciales del servidor.
- Prueba de restauración documentada al menos semestral, con tiempos medidos. Un backup que nunca se restaura es una hipótesis.
- Protección de la copia con almacenamiento WORM o cuenta de solo escritura. Los grupos de ransomware buscan primero los backups.
- Plan de continuidad con roles y contactos impresos. Si el correo cae, el plan no puede vivir solo en el correo.
Limitación: la inmutabilidad no funciona si el atacante compromete la consola de administración del proveedor de backup durante semanas. Revisa permisos y alertas de acceso anómalo a la plataforma.
Bloque 6: visibilidad y detección
- Centralización de logs de servidores, firewall, identidad y cloud en un destino separado. Sin logs no hay investigación posible.
- Alertas priorizadas: accesos imposibles, creación de cuentas admin, desactivación de antivirus, picos de cifrado. Configura diez alertas bien afinadas antes que doscientas ruidosas.
- SIEM ligero o MDR gestionado si no hay equipo 24/7. Pregunta por el tiempo de respuesta y por quién toma la decisión de aislar un equipo.
- Honeytokens en archivos y cuentas señuelo: generan alertas de bajo ruido cuando alguien explora donde no debe.
Limitación: un SIEM sin personal que lo lea es un cementerio de eventos. Si no hay analista interno, el MDR externalizado tiene sentido; si lo hay, empieza por afinar lo que ya tienes antes de añadir otra consola.
Bloque 7: nube y datos
- Revisión de permisos en almacenamiento cloud: enlaces públicos, carpetas compartidas con externos y tokens de aplicación antiguos.
- CSPM (gestión de postura en cloud) básico para detectar buckets abiertos y roles demasiado amplios.
- Clasificación mínima de datos: qué es confidencial, qué es público y quién puede exportarlo. Sin etiquetas, las políticas de DLP no saben qué proteger.
- Borrado seguro y retención definida para equipos y cuentas que se dan de baja.
Limitación: el DLP clásico rinde mal en equipos con procesos creativos o con intercambio constante de archivos con clientes. En esos casos, la apuesta realista es cifrado y control de acceso, no bloquear adjuntos.
Bloque 8: personas y proceso. La capa que no se instala
- Canal único de reporte de incidentes, visible y sin castigo. Un correo sospechoso reportado a tiempo vale más que una herramienta extra.
- Procedimiento de alta y baja de empleados con checklist de accesos firmada.
- Formación breve y recurrente centrada en fraude de pago y suplantación de proveedor, los dos escenarios que más dinero mueven en pymes.
- Contacto con proveedor de respuesta a incidentes y con la aseguradora, acordado antes de necesitarlo.
Limitación: la formación anual genérica tiene efecto limitado. Lo que cambia conductas es el ejercicio práctico con casos del propio sector y el refuerzo inmediato tras un intento real.
Cómo usar esta lista sin caer en el catálogo infinito
Marca cada punto con tres estados: hecho, en curso y no aplica. Empieza por identidad, copias y correo, que concentran el mayor retorno por esfuerzo. Después mide: porcentaje de cuentas con MFA, tiempo medio de restauración, número de equipos con cifrado y alertas atendidas en menos de una hora. Si un punto no tiene dueño ni fecha, no está hecho.
Conviene apoyarse en marcos reconocidos como el NIST Cybersecurity Framework o los controles CIS, y contrastar las afirmaciones de los proveedores con fuentes independientes: organismos de ciberseguridad nacionales, informes de respuesta a incidentes publicados por CERTs y documentación técnica de los propios fabricantes. Ninguna de esas fuentes garantiza un resultado; sirven para hacer preguntas mejores antes de firmar.
La experiencia de muchos equipos pequeños apunta a lo mismo: no falta tecnología, falta orden. Una pila modesta bien operada supera a una suite cargada de módulos sin dueño. Esta checklist no promete cero incidentes, pero sí reduce la superficie y, sobre todo, acorta el tiempo entre el aviso y la respuesta, que es donde se decide la factura final.
Perfiles verificables: Sitio web
Publicado el 29 de October de 2026. Última revisión: 29 de October de 2026.
