Post actualizado el día octubre 28, 2026 by DeiviSanzPlay
Las dudas que llegan a un técnico cuando una empresa de cinco a cincuenta empleados se plantea protegerse no suelen ser las de los manuales. Son otras. Aquí van respuestas directas, con matices incluidos.
¿Necesito un departamento de ciberseguridad si tengo menos de 20 empleados?
No. Y contratar a un especialista a tiempo completo para una plantilla pequeña suele ser un desperdicio de presupuesto. Lo que sí funciona en ese tamaño es un servicio externo de monitorización y respuesta (el llamado MDR, detección y respuesta gestionada) combinado con formación interna básica. El coste típico ronda una cuota mensual fija, mucho menor que un salario. La limitación: ningún proveedor externo conoce tu negocio como tú, así que alguien dentro debe tener la responsabilidad clara de aprobar cambios y revisar alertas.
Un error frecuente: contratar la herramienta y no asignar dueño. Sin una persona que lea los avisos, el sistema acaba ignorado en dos semanas.
¿El antivirus gratuito es suficiente para una pyme?
Depende de qué protege. En un portátil aislado que solo se usa para correo, un antivirus básico cubre lo elemental. En un equipo con acceso a la facturación, a la base de datos de clientes o a la banca online, no. La razón práctica: los antivirus domésticos detectan malware conocido, pero no bloquean técnicas como el robo de sesión o el correo fraudulento dirigido (phishing específico) dirigido a tu sector.
Esto no funciona para empresas que manejan datos personales de terceros: ahí hay obligaciones legales (RGPD en Europa, LFPDPPP en México, Ley 1581 en Colombia) que exigen medidas técnicas documentadas, y un antivirus gratuito no genera los registros que un auditor pedirá.
¿Por dónde empiezo si tengo cero presupuesto?
Por lo que no cuesta dinero y evita la mayoría de incidentes reales:
- Autenticación en dos pasos en el correo corporativo y en el acceso remoto. Es la medida con mejor relación coste-beneficio según la documentación de los principales proveedores cloud.
- Copias de seguridad probadas: una copia que nunca has restaurado no es una copia. Haz una restauración de prueba cada trimestre.
- Separar cuentas de administrador de las de uso diario: nadie debería navegar con permisos de administrador.
- Actualizaciones automáticas activadas en sistemas operativos y navegadores.
Conozco un caso concreto: una gestoría de siete personas perdió tres días de trabajo porque el único backup estaba en un disco conectado al mismo ordenador que se cifró con ransomware. La copia existía, pero no servía. Ese es el fallo que más se repite.
¿Vale la pena pagar un seguro contra ciberataques?
Puede ayudar a cubrir la recuperación, pero muchas pólizas exigen requisitos previos (doble factor, copias externas, formación) y excluyen el pago de rescates. Antes de firmar, pide por escrito qué cubre exactamente un incidente de ransomware y qué no. Un seguro no sustituye controles: es una capa más.
¿Qué pasa con el teletrabajo y los dispositivos personales?
Aquí hay un matiz que muchos artículos omiten: permitir el uso de ordenadores personales (BYOD) ahorra dinero, pero multiplica la superficie de ataque y complica el borrado de datos si un empleado se va. Si lo permites, exige como mínimo cifrado del disco, bloqueo por PIN y separación de la cuenta de trabajo. Si no puedes imponerlo, plantéate equipos corporativos, aunque sean de gama baja.
¿Cuánto tarda en notarse un ataque?
Según estudios del sector, las pymes suelen tardar semanas en detectar una intrusión, y muchas la descubren porque un proveedor o un cliente les avisa. Por eso la monitorización continua importa más que la prevención perfecta: asumir que entrarán y preparar la detección es más realista que creer que nadie lo intentará.
Preguntas rápidas con respuesta corta
¿Debo cambiar todas las contraseñas cada 90 días?
No. La práctica recomendada actualmente es usar contraseñas largas y únicas con un gestor, y cambiarlas solo si hay indicio de compromiso. Los cambios forzados y frecuentes llevan a contraseñas más débiles.
¿Una VPN protege mi empresa?
Protege la conexión entre sedes o para acceso remoto, pero no evita el phishing ni el malware. Es una pieza, no la solución.
¿El correo con dominio propio reduce el fraude?
Ayuda si configuras bien los registros de autenticación de correo (SPF, DKIM y DMARC). Sin esa configuración, cualquiera puede suplantar tu dominio con relativa facilidad.
¿Necesito un plan de respuesta a incidentes?
Sí, aunque sea de dos páginas: a quién llamar, qué apagar primero, cómo comunicar a clientes. En el momento del incidente nadie improvisa bien.
Ninguna de estas medidas garantiza inmunidad. La ciberseguridad en una empresa pequeña es gestión de riesgo con recursos limitados: prioriza lo que evita el daño más probable y asume que habrá fallos.
Perfiles verificables: Sitio web
Publicado el 28 de October de 2026. Última revisión: 28 de October de 2026.
