Los hábitos de ciberseguridad de la plantilla protegen a una pyme tanto como el antivirus o el cortafuegos. Buena parte de los incidentes no empieza con un ataque sofisticado, sino con un gesto cotidiano: abrir un adjunto, repetir una contraseña o conectar un USB encontrado. La buena noticia es que esos gestos se pueden entrenar sin grandes inversiones.
¿Por qué empezar por las personas?
La tecnología filtra mucho, pero no todo. Un correo bien escrito que suplanta a un proveedor puede pasar los filtros y llegar a la bandeja de quien paga las facturas. En ese momento la única defensa es que esa persona sepa qué mirar y a quién avisar. Por eso la formación no es un complemento, sino una capa más de seguridad. Si buscas la visión completa, la tienes en nuestra guía de ciberseguridad para pymes.
Los 10 hábitos que más protegen
1. Una contraseña distinta para cada servicio
Si se filtra la de una tienda online, no debe abrir también el correo de empresa. Un gestor de contraseñas las genera y las recuerda, de modo que solo hay que memorizar una.
2. Doble factor siempre que exista
El segundo paso (una aplicación en el móvil o una llave física) frena la mayoría de accesos con contraseñas robadas. Prioridad: correo, banca, nube y accesos remotos.
3. Desconfiar de la urgencia
«Pago inmediato», «tu cuenta será bloqueada», «el jefe lo necesita ya». La prisa es la herramienta favorita del fraude. Ante un correo urgente, parar y comprobar.
4. Verificar por otro canal los cambios de cuenta bancaria
Si un proveedor avisa por correo de que ha cambiado de cuenta, se confirma llamando al teléfono de siempre, nunca al que aparece en ese mismo correo.
5. Mirar el remitente y el enlace antes de pulsar
El nombre visible puede ser cualquiera. Lo que cuenta es la dirección real y el dominio al que lleva el enlace, que se ve al pasar el ratón por encima.
6. Bloquear la pantalla al levantarse
Un gesto de un segundo que evita accesos indebidos en oficinas con visitas, mostradores o espacios compartidos.
7. Instalar las actualizaciones cuando se piden
Posponer semanas un reinicio deja abiertos fallos que ya son públicos. Lo ideal es que el equipo de sistemas las programe fuera del horario de trabajo.
8. Separar lo personal de lo profesional
Nada de instalar programas por cuenta propia ni de guardar documentos de la empresa en cuentas personales de almacenamiento.
9. Cuidado fuera de la oficina
En redes Wi-Fi públicas, usar la VPN de la empresa o compartir datos desde el móvil. Y no dejar el portátil a la vista en el coche.
10. Avisar pronto, aunque sea una falsa alarma
Quien ha pulsado un enlace dudoso debe poder decirlo sin miedo. Una hora de ventaja permite cambiar contraseñas y aislar un equipo antes de que el problema crezca.
Cómo convertirlos en rutina
- Sesiones cortas y periódicas: veinte minutos cada trimestre funcionan mejor que un curso largo al año.
- Simulacros de phishing: correos de prueba para medir y enseñar, nunca para señalar a nadie.
- Normas en una página: qué se puede instalar, cómo se comparten archivos y a quién se avisa.
- Ejemplo desde dirección: si gerencia pide excepciones al doble factor, el resto las pedirá también.
- Acogida de nuevas incorporaciones: las normas se explican el primer día, junto con las cuentas y los accesos.
Qué hacer si alguien cae en la trampa
- Desconectar el equipo de la red (cable y Wi-Fi) sin apagarlo.
- Avisar de inmediato al responsable de informática o al proveedor de soporte.
- Cambiar las contraseñas afectadas desde otro dispositivo.
- Si hay datos personales comprometidos, valorar la notificación a la Agencia Española de Protección de Datos, que debe hacerse en un máximo de 72 horas. Lo detallamos en RGPD para pymes.
- Anotar qué pasó y cuándo para aprender de ello.
Para dudas concretas, INCIBE ofrece el teléfono gratuito 017 de ayuda en ciberseguridad. Y recuerda que ningún hábito sustituye a unas copias de seguridad que funcionen.
Preguntas frecuentes
¿Cada cuánto hay que formar a la plantilla?
Mejor poco y a menudo. Una sesión breve por trimestre y un recordatorio cuando aparece un fraude nuevo mantienen la atención sin saturar.
¿Sirve de algo en una empresa de cinco personas?
Sí. En equipos pequeños una sola cuenta comprometida suele dar acceso a todo, así que el efecto de cada hábito es mayor.
¿Qué es más urgente si solo puedo hacer una cosa?
Activar el doble factor en el correo. Es la puerta de entrada al resto de servicios, porque desde él se restablecen las demás contraseñas.
¿Quieres ponerlo en marcha?
En Sinis Technology ayudamos a pymes a combinar medidas técnicas y formación dentro de nuestros servicios de seguridad informática para empresas. Escríbenos y revisamos por dónde empezar en tu caso.
