{"id":45,"date":"2026-10-07T14:20:06","date_gmt":"2026-10-07T14:20:06","guid":{"rendered":"https:\/\/soupit.ar\/blog\/?p=45"},"modified":"2026-10-07T14:20:06","modified_gmt":"2026-10-07T14:20:06","slug":"ciberseguridad-para-pymes-los-errores-mas-frecuentes-y-como-prevenirlos","status":"publish","type":"post","link":"https:\/\/soupit.ar\/blog\/ciberseguridad-para-pymes-los-errores-mas-frecuentes-y-como-prevenirlos\/","title":{"rendered":"Ciberseguridad para pymes: los errores m\u00e1s frecuentes y c\u00f3mo prevenirlos"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Un lunes a la ma\u00f1ana, la administraci\u00f3n de una pyme recibe un correo del proveedor de siempre. Mismo logo, misma firma, mismo tono. Solo cambia un detalle: avisa que la cuenta bancaria para los pagos es otra. Nadie sospecha, la transferencia sale y, dos semanas despu\u00e9s, el proveedor real reclama una factura que figura como pagada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ese tipo de historia es mucho m\u00e1s com\u00fan que los ataques sofisticados que aparecen en las pel\u00edculas. En la mayor\u00eda de las pymes, los incidentes de seguridad no empiezan con un hacker rompiendo un sistema complejo, sino con una contrase\u00f1a repetida, un plugin sin actualizar, una cuenta de un exempleado que sigue activa o un correo que parec\u00eda leg\u00edtimo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sin embargo, muchas empresas siguen pensando que la ciberseguridad es un tema de bancos y grandes corporaciones. Que una empresa chica no le interesa a nadie. La realidad es que la mayor\u00eda de los ataques son automatizados y oportunistas: no buscan una empresa en particular, buscan cualquier puerta que haya quedado abierta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En esta nota repasamos los errores de seguridad m\u00e1s frecuentes en pymes, por qu\u00e9 ocurren y c\u00f3mo prevenirlos con medidas concretas y proporcionadas. No hace falta un presupuesto enorme ni un equipo dedicado para mejorar mucho. Al final hay un plan de 90 d\u00edas y una lista de verificaci\u00f3n para empezar.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Por qu\u00e9 las pymes tambi\u00e9n son un objetivo<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Una pyme maneja informaci\u00f3n valiosa: datos de clientes, cuentas bancarias, facturaci\u00f3n, accesos a sistemas de gesti\u00f3n, tiendas online y correos con proveedores. Para quien ataca, eso alcanza.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, suele tener algunas caracter\u00edsticas que la vuelven un blanco atractivo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Menos controles formales que una empresa grande.<\/li>\n\n\n\n<li>Pocas personas que concentran muchos accesos.<\/li>\n\n\n\n<li>Sistemas instalados hace a\u00f1os y mantenidos a medias.<\/li>\n\n\n\n<li>Proveedores externos con permisos amplios y poco revisados.<\/li>\n\n\n\n<li>Ninguna persona responsable de la seguridad de manera expl\u00edcita.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Muchos ataques se lanzan de forma masiva: robots que prueban contrase\u00f1as filtradas, que buscan sitios con versiones vulnerables o que env\u00edan miles de correos falsos por d\u00eda. No hace falta ser famoso para quedar en la lista.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La buena noticia es que la mayor\u00eda de esos ataques aprovecha errores b\u00e1sicos. Y los errores b\u00e1sicos se pueden corregir.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Contrase\u00f1as repetidas y cuentas sin doble factor<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Es probablemente el error m\u00e1s extendido. La misma contrase\u00f1a para el correo, el home banking, el sistema de gesti\u00f3n y la tienda online. O una contrase\u00f1a compartida por todo el equipo, anotada en un papel o en una planilla.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando un servicio cualquiera sufre una filtraci\u00f3n, esas credenciales terminan circulando. Si se repiten en otros servicios, quien las obtiene puede probarlas en todos lados. Herramientas como <a href=\"https:\/\/haveibeenpwned.com\/\">Have I Been Pwned<\/a> permiten verificar si un correo apareci\u00f3 en filtraciones conocidas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 conviene hacer con las contrase\u00f1as<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Algunas pr\u00e1cticas simples cambian mucho el panorama:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Usar un gestor de contrase\u00f1as para toda la empresa.<\/li>\n\n\n\n<li>Generar contrase\u00f1as largas y distintas para cada servicio.<\/li>\n\n\n\n<li>Evitar cuentas compartidas siempre que el servicio permita usuarios individuales.<\/li>\n\n\n\n<li>Cambiar de inmediato las contrase\u00f1as que aparecieron en una filtraci\u00f3n.<\/li>\n\n\n\n<li>No enviar contrase\u00f1as por WhatsApp ni por correo.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Un gestor de contrase\u00f1as tambi\u00e9n facilita compartir accesos de forma controlada y quitarlos cuando alguien deja la empresa.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">El doble factor, empezando por las cuentas cr\u00edticas<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">El segundo factor de autenticaci\u00f3n agrega un paso extra al iniciar sesi\u00f3n: un c\u00f3digo en una app, una llave f\u00edsica o una confirmaci\u00f3n en el celular. Aunque alguien obtenga la contrase\u00f1a, sin ese segundo paso no puede entrar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Conviene activarlo primero en las cuentas que m\u00e1s da\u00f1o har\u00edan si se comprometen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Correo corporativo, especialmente el de administraci\u00f3n y direcci\u00f3n.<\/li>\n\n\n\n<li>Home banking y plataformas de pago.<\/li>\n\n\n\n<li>Panel de administraci\u00f3n del sitio web o la tienda online.<\/li>\n\n\n\n<li>Dominio, hosting y DNS.<\/li>\n\n\n\n<li>Redes sociales de la marca.<\/li>\n\n\n\n<li>Sistemas de gesti\u00f3n, ERP y CRM.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Siempre que se pueda, es preferible usar una app de autenticaci\u00f3n antes que c\u00f3digos por SMS.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Correos y mensajes que parecen leg\u00edtimos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El phishing sigue siendo una de las puertas de entrada m\u00e1s usadas. Ya no se trata de correos mal escritos con promesas absurdas: muchos imitan con precisi\u00f3n a bancos, proveedores, organismos p\u00fablicos o servicios conocidos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tambi\u00e9n llegan por WhatsApp, SMS o redes sociales, y a veces desde cuentas reales que fueron comprometidas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Se\u00f1ales para desconfiar<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de hacer clic, descargar un archivo o responder, conviene preguntarse:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>\u00bfEl remitente es exactamente el de siempre o tiene una letra cambiada?<\/li>\n\n\n\n<li>\u00bfEl mensaje pide actuar con urgencia o amenaza con una consecuencia?<\/li>\n\n\n\n<li>\u00bfSolicita contrase\u00f1as, c\u00f3digos o datos bancarios?<\/li>\n\n\n\n<li>\u00bfEl enlace lleva a un dominio distinto al oficial?<\/li>\n\n\n\n<li>\u00bfIncluye un adjunto inesperado, como una factura que nadie pidi\u00f3?<\/li>\n\n\n\n<li>\u00bfPropone cambiar una forma de pago o una cuenta bancaria?<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ninguna de estas se\u00f1ales es definitiva por s\u00ed sola, pero varias juntas justifican frenar y verificar.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Una regla simple para pagos y cambios de datos<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Hay una medida que previene buena parte de los fraudes m\u00e1s costosos: ning\u00fan cambio de cuenta bancaria, medio de pago o dato sensible se acepta solo por correo o mensaje.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ese tipo de pedido se confirma por otro canal, con un contacto conocido y previamente registrado. Una llamada al n\u00famero de siempre, no al que aparece en el correo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La regla tiene que estar escrita y ser conocida por todo el equipo de administraci\u00f3n. As\u00ed nadie siente que est\u00e1 desconfiando de un proveedor: simplemente cumple el procedimiento.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Sistemas y plugins sin actualizar<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Cada actualizaci\u00f3n de software corrige errores, y muchas corrigen fallas de seguridad. Cuando esas fallas se publican, tambi\u00e9n se vuelven conocidas para quienes buscan aprovecharlas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un sistema operativo viejo, un WordPress con plugins abandonados o un servidor que nadie toca hace a\u00f1os son puertas abiertas que se pueden encontrar de forma autom\u00e1tica.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 suele quedar desactualizado<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Los puntos que m\u00e1s se descuidan son:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Sistemas operativos de computadoras y notebooks.<\/li>\n\n\n\n<li>Navegadores y extensiones.<\/li>\n\n\n\n<li>CMS como WordPress, junto con sus temas y plugins.<\/li>\n\n\n\n<li>Servidores, bases de datos y paneles de hosting.<\/li>\n\n\n\n<li>Routers, firewalls y dispositivos de red.<\/li>\n\n\n\n<li>Sistemas de gesti\u00f3n instalados localmente.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">En el caso de los sitios web, el tema da para una nota aparte. Si ten\u00e9s un sitio en WordPress, te puede servir esta gu\u00eda sobre <a href=\"https:\/\/soupit.ar\/blog\/como-saber-si-tu-sitio-wordpress-necesita-mantenimiento-urgente\/\">c\u00f3mo saber si tu sitio WordPress necesita mantenimiento urgente<\/a>.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">C\u00f3mo ordenar las actualizaciones<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Actualizar sin control tambi\u00e9n tiene riesgos: una actualizaci\u00f3n puede romper una integraci\u00f3n o un sistema cr\u00edtico. Por eso conviene un proceso simple:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Hacer un inventario de equipos, sistemas y versiones.<\/li>\n\n\n\n<li>Activar actualizaciones autom\u00e1ticas en equipos de usuarios y navegadores.<\/li>\n\n\n\n<li>Definir una ventana peri\u00f3dica para actualizar servidores y sistemas cr\u00edticos.<\/li>\n\n\n\n<li>Probar primero en un entorno de prueba cuando el sistema es sensible.<\/li>\n\n\n\n<li>Hacer un backup antes de cada actualizaci\u00f3n importante.<\/li>\n\n\n\n<li>Reemplazar el software que ya no recibe soporte.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Lo importante es que actualizar deje de ser algo que se hace cuando alguien se acuerda.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Accesos que nadie revisa<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Con el tiempo, los permisos se acumulan. Alguien necesit\u00f3 acceso a la facturaci\u00f3n para un proyecto puntual y lo conserv\u00f3. Un exempleado sigue teniendo su usuario en el sistema. Un proveedor que termin\u00f3 su trabajo hace un a\u00f1o todav\u00eda puede entrar al hosting.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cada acceso innecesario es un riesgo que nadie est\u00e1 mirando.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Altas, bajas y cambios de rol<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">La mejor forma de controlar los accesos es atarlos a los movimientos del equipo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Cuando alguien ingresa, recibe solo los permisos que necesita para su funci\u00f3n.<\/li>\n\n\n\n<li>Cuando alguien cambia de rol, se revisan y ajustan sus accesos.<\/li>\n\n\n\n<li>Cuando alguien deja la empresa, se desactivan todas sus cuentas el mismo d\u00eda.<\/li>\n\n\n\n<li>Cada cierto tiempo, se revisa la lista completa de usuarios activos.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Tener una planilla o un documento con qu\u00e9 accesos tiene cada persona ya es un avance enorme.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Proveedores y cuentas compartidas<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Los proveedores externos suelen tener accesos amplios: agencias, desarrolladores, contadores, soporte t\u00e9cnico. Conviene darles usuarios propios, con permisos acotados, y quitarlos cuando termina el trabajo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Las cuentas gen\u00e9ricas como \u00abadmin\u00bb o \u00abventas\u00bb, usadas por varias personas, impiden saber qui\u00e9n hizo qu\u00e9. Siempre que sea posible, es mejor reemplazarlas por usuarios individuales.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Backups que no protegen frente a un ransomware<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El ransomware cifra los archivos de la empresa y pide un rescate para devolverlos. Uno de los motivos por los que causa tanto da\u00f1o es que muchas empresas descubren, en ese momento, que sus backups tambi\u00e9n quedaron cifrados o que nunca funcionaron.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un backup conectado permanentemente a la red, en la misma carpeta compartida o con las mismas credenciales que el resto de los sistemas, puede ser alcanzado por el mismo ataque.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Qu\u00e9 hace que un backup sirva de verdad<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Para que un respaldo proteja frente a este tipo de incidentes, conviene que cumpla con algunas condiciones:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Al menos una copia fuera de la oficina o en la nube.<\/li>\n\n\n\n<li>Al menos una copia desconectada, inmutable o con acceso separado.<\/li>\n\n\n\n<li>Credenciales distintas de las que se usan en el d\u00eda a d\u00eda.<\/li>\n\n\n\n<li>Pruebas de restauraci\u00f3n peri\u00f3dicas.<\/li>\n\n\n\n<li>Retenci\u00f3n suficiente para volver a una versi\u00f3n anterior al incidente.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Profundizamos en este tema en la nota sobre <a href=\"https:\/\/soupit.ar\/blog\/backups-empresariales-que-guardar-cada-cuanto-y-donde\/\">backups empresariales: qu\u00e9 guardar, cada cu\u00e1nto y d\u00f3nde<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Equipos y redes descuidados<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La seguridad no depende solo de los sistemas en la nube. Las computadoras, notebooks, celulares y la red de la oficina tambi\u00e9n son puntos de entrada.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Notebooks y celulares<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Un equipo perdido o robado puede exponer correos, archivos y sesiones abiertas. Algunas medidas b\u00e1sicas:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Bloqueo de pantalla con contrase\u00f1a o PIN en todos los dispositivos.<\/li>\n\n\n\n<li>Cifrado del disco en notebooks.<\/li>\n\n\n\n<li>Antivirus o protecci\u00f3n de endpoint activa y actualizada.<\/li>\n\n\n\n<li>Usuarios sin permisos de administrador para el uso diario.<\/li>\n\n\n\n<li>Posibilidad de bloquear o borrar el equipo de forma remota.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Si el equipo usa sus propios dispositivos para trabajar, conviene definir qu\u00e9 se puede hacer desde ellos y qu\u00e9 no.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">La red de la oficina y el trabajo remoto<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">En muchas oficinas, el Wi-Fi tiene la misma contrase\u00f1a desde hace a\u00f1os y la comparten empleados, visitas y clientes. El router conserva la clave de f\u00e1brica y nadie sabe bien qu\u00e9 dispositivos est\u00e1n conectados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Conviene separar la red de invitados de la red de trabajo, cambiar las contrase\u00f1as por defecto, actualizar el firmware del router y, para el trabajo remoto, usar conexiones seguras para acceder a los sistemas internos en lugar de exponerlos directamente a internet.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Sitios web y tiendas online expuestos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El sitio web y la tienda online son la cara p\u00fablica de la empresa, y tambi\u00e9n uno de los puntos m\u00e1s atacados. Un sitio comprometido puede distribuir malware, redirigir a p\u00e1ginas falsas, robar datos de clientes o quedar marcado como peligroso por los buscadores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El proyecto <a href=\"https:\/\/owasp.org\/www-project-top-ten\/\">OWASP Top 10<\/a> re\u00fane las categor\u00edas de riesgo m\u00e1s relevantes en aplicaciones web y es una buena referencia para equipos de desarrollo.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Puntos a revisar en un sitio<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Algunos controles b\u00e1sicos para cualquier sitio o tienda:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Certificado HTTPS v\u00e1lido en todas las p\u00e1ginas.<\/li>\n\n\n\n<li>CMS, temas, plugins y dependencias actualizados.<\/li>\n\n\n\n<li>Panel de administraci\u00f3n con doble factor y usuarios individuales.<\/li>\n\n\n\n<li>Formularios protegidos contra spam y abuso.<\/li>\n\n\n\n<li>Backups autom\u00e1ticos del sitio y de la base de datos.<\/li>\n\n\n\n<li>Monitoreo de disponibilidad y de cambios inesperados.<\/li>\n\n\n\n<li>Hosting confiable, con soporte y aislamiento entre sitios.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">En una tienda online, adem\u00e1s, conviene revisar c\u00f3mo se integran los pagos: lo ideal es que los datos de tarjetas los procese siempre la plataforma de pago y nunca queden guardados en el servidor propio.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Datos de clientes guardados sin criterio<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Muchas empresas acumulan datos de clientes sin saber bien d\u00f3nde est\u00e1n: planillas descargadas, exportaciones del CRM en el escritorio, correos con documentos adjuntos, carpetas compartidas abiertas a cualquiera con el enlace.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cuantos m\u00e1s datos y m\u00e1s copias haya, mayor es el riesgo y m\u00e1s dif\u00edcil es protegerlos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En Argentina, el tratamiento de datos personales est\u00e1 regulado, y la <a href=\"https:\/\/www.argentina.gob.ar\/aaip\/datospersonales\">Agencia de Acceso a la Informaci\u00f3n P\u00fablica<\/a> publica informaci\u00f3n sobre las obligaciones de quienes administran bases de datos.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Algunas pr\u00e1cticas que ayudan:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Guardar solo los datos que realmente se necesitan.<\/li>\n\n\n\n<li>Centralizar la informaci\u00f3n en sistemas con control de acceso.<\/li>\n\n\n\n<li>Revisar los permisos de las carpetas y documentos compartidos.<\/li>\n\n\n\n<li>Eliminar exportaciones y copias que ya no se usan.<\/li>\n\n\n\n<li>Definir qui\u00e9n puede descargar o exportar informaci\u00f3n de clientes.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Errores frecuentes y c\u00f3mo prevenirlos<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A modo de resumen, estos son los errores que m\u00e1s se repiten y la medida que conviene priorizar en cada caso:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><th>Error frecuente<\/th><th>Riesgo principal<\/th><th>Medida de prevenci\u00f3n<\/th><\/tr><tr><td>Contrase\u00f1as repetidas o compartidas<\/td><td>Acceso no autorizado a varias cuentas<\/td><td>Gestor de contrase\u00f1as y claves \u00fanicas<\/td><\/tr><tr><td>Cuentas cr\u00edticas sin doble factor<\/td><td>Robo de correo, banco o redes<\/td><td>Activar segundo factor en cuentas clave<\/td><\/tr><tr><td>Pagos aceptados solo por correo<\/td><td>Fraude por cambio de cuenta bancaria<\/td><td>Verificar por otro canal conocido<\/td><\/tr><tr><td>Software y plugins desactualizados<\/td><td>Explotaci\u00f3n de fallas conocidas<\/td><td>Inventario y rutina de actualizaciones<\/td><\/tr><tr><td>Usuarios de exempleados activos<\/td><td>Accesos sin control<\/td><td>Bajas el mismo d\u00eda y revisi\u00f3n peri\u00f3dica<\/td><\/tr><tr><td>Backups conectados y sin probar<\/td><td>P\u00e9rdida total ante un ransomware<\/td><td>Copia desconectada y pruebas de restauraci\u00f3n<\/td><\/tr><tr><td>Equipos sin bloqueo ni cifrado<\/td><td>Exposici\u00f3n ante p\u00e9rdida o robo<\/td><td>Bloqueo, cifrado y borrado remoto<\/td><\/tr><tr><td>Wi-Fi compartido con visitas<\/td><td>Acceso a la red interna<\/td><td>Red de invitados separada<\/td><\/tr><tr><td>Datos de clientes dispersos<\/td><td>Filtraciones y problemas legales<\/td><td>Centralizar y minimizar datos<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Ninguna de estas medidas requiere una gran inversi\u00f3n. Lo que s\u00ed requiere es que alguien se haga cargo de implementarlas y sostenerlas.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Qu\u00e9 hacer si ocurre un incidente<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aunque se tomen todas las precauciones, un incidente puede ocurrir igual. La diferencia est\u00e1 en qu\u00e9 tan r\u00e1pido se detecta y qu\u00e9 tan ordenada es la respuesta.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Las primeras horas<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ante una sospecha de incidente, conviene:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>No apagar ni borrar nada sin evaluar, para no perder informaci\u00f3n \u00fatil.<\/li>\n\n\n\n<li>Aislar el equipo o la cuenta afectada de la red.<\/li>\n\n\n\n<li>Cambiar las contrase\u00f1as comprometidas desde un dispositivo seguro.<\/li>\n\n\n\n<li>Avisar al banco de inmediato si hubo un pago fraudulento.<\/li>\n\n\n\n<li>Contactar al equipo t\u00e9cnico o al proveedor de soporte.<\/li>\n\n\n\n<li>Registrar qu\u00e9 pas\u00f3, cu\u00e1ndo y qu\u00e9 se hizo.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Tener esos pasos escritos antes de necesitarlos evita improvisar en el peor momento.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Despu\u00e9s del incidente<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Cuando la situaci\u00f3n est\u00e1 controlada, llega el momento de entender c\u00f3mo ocurri\u00f3 y qu\u00e9 cambiar para que no se repita. Tambi\u00e9n puede ser necesario avisar a clientes, proveedores o autoridades, seg\u00fan el tipo de datos involucrados.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un incidente bien analizado suele dejar a la empresa mucho mejor preparada que antes.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Capacitar al equipo sin aburrirlo<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La tecnolog\u00eda ayuda, pero muchas decisiones de seguridad las toman personas: abrir o no un adjunto, confirmar o no un pago, compartir o no una contrase\u00f1a.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una capacitaci\u00f3n \u00fatil no es una charla larga una vez por a\u00f1o. Funciona mejor algo breve y frecuente:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Ejemplos reales de correos y mensajes falsos.<\/li>\n\n\n\n<li>Reglas claras y cortas, como la verificaci\u00f3n de pagos.<\/li>\n\n\n\n<li>Un canal simple para consultar ante una duda.<\/li>\n\n\n\n<li>Reconocimiento a quien reporta algo sospechoso, aunque sea una falsa alarma.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Hay materiales gratuitos y pensados para empresas, como los de <a href=\"https:\/\/www.incibe.es\/empresas\">INCIBE<\/a> o la campa\u00f1a <a href=\"https:\/\/www.cisa.gov\/secure-our-world\">Secure Our World<\/a> de CISA, que se pueden adaptar al equipo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Lo m\u00e1s importante es que nadie tenga miedo de avisar. Un error reportado a tiempo es mucho menos grave que uno escondido.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Un plan de 90 d\u00edas para empezar<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">No hace falta resolver todo a la vez. Un plan por etapas permite avanzar sin frenar la operaci\u00f3n. Como marco de referencia m\u00e1s completo, el <a href=\"https:\/\/www.nist.gov\/cyberframework\">NIST Cybersecurity Framework<\/a> organiza la seguridad en funciones como identificar, proteger, detectar, responder y recuperar.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Primer mes: lo urgente<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">En las primeras semanas conviene concentrarse en lo que m\u00e1s reduce el riesgo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Activar el doble factor en correo, banco, hosting y redes.<\/li>\n\n\n\n<li>Implementar un gestor de contrase\u00f1as.<\/li>\n\n\n\n<li>Dar de baja usuarios de personas y proveedores que ya no trabajan con la empresa.<\/li>\n\n\n\n<li>Escribir la regla de verificaci\u00f3n de pagos y cambios de cuenta.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Segundo mes: ordenar<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Con lo urgente resuelto, llega el momento de ordenar:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Inventariar equipos, sistemas, accesos y proveedores.<\/li>\n\n\n\n<li>Ponerse al d\u00eda con las actualizaciones pendientes.<\/li>\n\n\n\n<li>Revisar backups y agregar una copia desconectada.<\/li>\n\n\n\n<li>Separar la red de invitados de la red de trabajo.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">Tercer mes: probar y medir<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Por \u00faltimo, se trata de comprobar que todo funciona:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Hacer una prueba de restauraci\u00f3n completa.<\/li>\n\n\n\n<li>Escribir el procedimiento ante incidentes.<\/li>\n\n\n\n<li>Hacer una primera capacitaci\u00f3n breve con el equipo.<\/li>\n\n\n\n<li>Definir una revisi\u00f3n trimestral de accesos y actualizaciones.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Lista de verificaci\u00f3n<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Antes de dar por cubierta la seguridad b\u00e1sica de tu empresa, revis\u00e1:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Cada persona tiene su propio usuario en los sistemas principales.<\/li>\n\n\n\n<li>Las contrase\u00f1as son \u00fanicas y se guardan en un gestor.<\/li>\n\n\n\n<li>El correo corporativo tiene doble factor activado.<\/li>\n\n\n\n<li>El home banking y las plataformas de pago tienen doble factor.<\/li>\n\n\n\n<li>El dominio, el hosting y el DNS tienen accesos protegidos.<\/li>\n\n\n\n<li>Las redes sociales de la marca tienen doble factor y m\u00e1s de un administrador.<\/li>\n\n\n\n<li>Existe una regla escrita para verificar cambios de cuenta bancaria.<\/li>\n\n\n\n<li>Los sistemas operativos y navegadores se actualizan autom\u00e1ticamente.<\/li>\n\n\n\n<li>El sitio web, sus plugins y temas est\u00e1n actualizados.<\/li>\n\n\n\n<li>Hay un inventario de equipos, sistemas y accesos.<\/li>\n\n\n\n<li>Los usuarios de exempleados y exproveedores fueron dados de baja.<\/li>\n\n\n\n<li>Los accesos se revisan al menos una vez por trimestre.<\/li>\n\n\n\n<li>Hay una copia de backup desconectada o inmutable.<\/li>\n\n\n\n<li>La restauraci\u00f3n de backups se prob\u00f3 en los \u00faltimos meses.<\/li>\n\n\n\n<li>Las notebooks tienen bloqueo de pantalla y disco cifrado.<\/li>\n\n\n\n<li>La red de invitados est\u00e1 separada de la red de trabajo.<\/li>\n\n\n\n<li>Los datos de clientes est\u00e1n centralizados y con acceso controlado.<\/li>\n\n\n\n<li>Existe un procedimiento escrito ante incidentes.<\/li>\n\n\n\n<li>El equipo sabe a qui\u00e9n avisar ante algo sospechoso.<\/li>\n\n\n\n<li>Alguien tiene asignada la responsabilidad de la seguridad.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Si varios \u00edtems quedan sin resolver, conviene empezar por el doble factor, las contrase\u00f1as y los backups, que son los que m\u00e1s riesgo reducen con menos esfuerzo.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">La seguridad se construye de a poco<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La ciberseguridad no es un producto que se compra una vez ni un proyecto que se termina. Es un conjunto de h\u00e1bitos y controles que se sostienen en el tiempo y que acompa\u00f1an el crecimiento de la empresa.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Una pyme no necesita la misma estructura que un banco. Necesita cerrar las puertas m\u00e1s obvias, saber qu\u00e9 tiene que proteger y estar preparada para responder si algo sale mal.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cada medida suma, y las primeras son las que m\u00e1s protegen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En Soup IT ayudamos a empresas a mejorar su seguridad de forma pr\u00e1ctica: diagn\u00f3stico de riesgos, ordenamiento de accesos, configuraci\u00f3n de doble factor, mantenimiento y actualizaci\u00f3n de sitios web y sistemas, backups con pruebas de restauraci\u00f3n, hardening de servidores y soporte ante incidentes. Podemos trabajar junto al equipo interno o hacernos cargo del mantenimiento t\u00e9cnico mediante outsourcing.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Si tu empresa no sabe por d\u00f3nde empezar o sospecha que tiene puertas abiertas, podemos hacer una revisi\u00f3n inicial y convertir ese diagn\u00f3stico en un plan concreto, con prioridades y plazos realistas. Escribinos por <a href=\"https:\/\/wa.me\/541170630982\">WhatsApp<\/a> o a <a href=\"mailto:contacto@soupit.ar\">contacto@soupit.ar<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Adem\u00e1s, pod\u00e9s visitar <a href=\"https:\/\/soupit.ar\/\">Soup IT<\/a> y seguirnos en <a href=\"https:\/\/www.linkedin.com\/company\/soupit\">LinkedIn<\/a> e <a href=\"https:\/\/instagram.com\/soup.itar\">Instagram<\/a> para encontrar m\u00e1s contenidos sobre ciberseguridad, sitios web, desarrollo de software, automatizaci\u00f3n, infraestructura y tecnolog\u00eda aplicada a empresas.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Un lunes a la ma\u00f1ana, la administraci\u00f3n de una pyme recibe un correo del proveedor de siempre. Mismo logo, misma firma, mismo tono.<\/p>\n","protected":false},"author":2,"featured_media":46,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[33,29,32,13,31,14],"class_list":["post-45","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sin-categoria","tag-ciberseguridad","tag-infraestructura","tag-outsourcing","tag-pymes","tag-seguridad","tag-soup-it"],"_links":{"self":[{"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/posts\/45","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/comments?post=45"}],"version-history":[{"count":1,"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/posts\/45\/revisions"}],"predecessor-version":[{"id":47,"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/posts\/45\/revisions\/47"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/media\/46"}],"wp:attachment":[{"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/media?parent=45"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/categories?post=45"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/soupit.ar\/blog\/wp-json\/wp\/v2\/tags?post=45"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}