Post actualizado el día octubre 29, 2026 by DeiviSanzPlay
Una computadora empresarial que maneja datos sensibles no se protege con una sola herramienta, sino con una suma de controles revisados periódicamente. Esta lista funciona como auditoría rápida para equipos de pyme y departamentos pequeños, donde no siempre hay un especialista dedicado. No está pensada para entornos con requisitos regulatorios extremos (por ejemplo, infraestructuras sanitarias con historiales clínicos a gran escala o entornos industriales con redes segmentadas), que necesitan marcos específicos y auditoría externa.
1. Base del sistema y cuentas
- Cuenta de administrador separada de la de uso diario. En un despacho contable, el socio usaba su sesión de administrador para revisar correo; cualquier adjunto malicioso habría tenido permisos totales. Crear una cuenta estándar para el trabajo diario reduce ese riesgo.
- Cifrado de disco activado (BitLocker en Windows, FileVault en macOS, LUKS en Linux). Si el portátil sale del despacho, los datos no quedan legibles.
- Actualizaciones automáticas verificadas: sistema operativo, navegador, ofimática y firmware. Comprobar que las actualizaciones no lleven semanas pendientes.
- Arranque seguro y contraseña de BIOS/UEFI para evitar que alguien arranque desde un USB externo.
2. Accesos y autenticación
- Gestor de contraseñas corporativo y prohibición de reutilizar claves entre servicios.
- Doble factor en correo, VPN y panel de administración de la nube. Preferible con app de códigos o llave física; el SMS es un respaldo débil ante sim swapping.
- Revisión trimestral de cuentas activas: dar de baja a empleados que ya no están y a cuentas compartidas sin dueño.
- Bloqueo automático de sesión tras pocos minutos de inactividad.
3. Software y navegación
- Ejecutar solo software con licencia o verificado internamente. Nada de descargas de utilidades desde webs de dudosa procedencia.
- Antivirus/EDR con registro centralizado, no solo la solución gratuita preinstalada.
- Extensiones del navegador revisadas: eliminar las que no se usen y revisar permisos.
- Política de bloqueo de dispositivos USB o al menos control de qué se conecta.
4. Red y acceso remoto
- VPN corporativa para trabajo fuera de la oficina, nunca conexión directa al escritorio sin túnel.
- WiFi de invitados separada de la red interna.
- Cortafuegos activo y revisión de reglas abiertas.
- Comprobación de que las impresoras y dispositivos IoT no estén expuestos a internet.
5. Copias de seguridad
- Regla 3-2-1: tres copias, en dos medios distintos, una fuera del emplazamiento.
- Prueba de restauración documentada al menos una vez al año. Una copia que nunca se ha restaurado no es una copia fiable.
- Copias cifradas y con acceso restringido.
6. Datos y trazabilidad
- Clasificación básica de la información (pública, interna, confidencial) para saber qué se puede enviar por correo o guardar en la nube personal.
- Registro de qué empleado accede a qué carpetas, útil ante una fuga o un error humano.
- Bloqueo de sincronización con nubes personales no autorizadas.
- Borrado seguro del equipo antes de reutilizarlo o venderlo.
7. Factor humano
- Simulacros de phishing con formación posterior, no como castigo.
- Protocolo claro para reportar incidentes sin miedo a represalias.
- Revisión de la configuración de privacidad de las herramientas colaborativas.
Ningún checklist garantiza inmunidad: los ataques cambian y los empleados cometen errores. La clave es revisar esta lista cada trimestre, anotar lo que falla y corregirlo antes de que se convierta en un incidente. Fuentes de referencia habituales: guías de organismos de ciberseguridad nacionales, documentación de los propios fabricantes de sistemas operativos y marcos de gestión de riesgos reconocidos.
Perfiles verificables: Sitio web
Publicado el 29 de October de 2026. Última revisión: 29 de October de 2026.
