No necesitas un presupuesto millonario para proteger una empresa. Estas diez prácticas cierran las puertas por donde entra la gran mayoría de los ataques.
La mayoría de los ataques exitosos no usan técnicas de película. Usan una contraseña repetida, un correo convincente o un equipo sin actualizar. Por eso, lo básico bien hecho protege más que cualquier herramienta costosa.
1. Doble factor de autenticación en todo
El 2FA hace que una contraseña robada no sea suficiente. Prefiere una app autenticadora al SMS, que puede robarse con un cambio fraudulento de SIM.
2. Una contraseña distinta para cada servicio
Usa un gestor de contraseñas. Si se filtra una clave, los atacantes la prueban en todos lados; si son distintas, el daño queda en un solo sitio.
3. Actualizaciones al día
Cada parche cierra una vulnerabilidad que los atacantes ya conocen. Sistema operativo, navegador, Office y firmware de los equipos de red.
4. Respaldos con la regla 3-2-1
Tres copias, en dos medios distintos, una fuera del sitio. Y al menos una desconectada o inmutable: si el ransomware la alcanza, deja de ser respaldo.
5. Mínimo privilegio
Nadie trabaja a diario con una cuenta de administrador. Cada persona tiene solo los permisos que su trabajo requiere.
6. Capacitar contra el phishing
Correos, SMS (smishing) y llamadas (vishing) con urgencia, premios o amenazas. La regla: ante la urgencia, verifica por otro canal. Nunca desde el enlace que te enviaron.
7. Cifrado de discos
BitLocker en Windows o FileVault en Mac. Si un portátil se pierde, los datos no se pueden leer. Guarda bien la clave de recuperación.
8. Red de invitados separada
Los dispositivos de visitantes y los aparatos inteligentes no deberían ver los equipos de contabilidad.
9. Un plan para cuando algo pase
¿A quién se avisa? ¿Qué se hace primero? Con ransomware, lo primero es aislar el equipo de la red. Tener esto escrito antes del incidente reduce el daño.
10. Proteger los datos personales
En Colombia, la Ley 1581 de 2012 obliga a tratar los datos personales con autorización y medidas de seguridad. Los delitos informáticos están en la Ley 1273 de 2009.
La tríada que lo resume todo
Confidencialidad (que solo lo vea quien debe), integridad (que no se altere) y disponibilidad (que esté cuando se necesita). Cada control de esta lista protege al menos una de las tres.
Sigue practicando
Esta guía acompaña las preguntas de Ciberseguridad del Reto TI del día. Aprende a pensar como atacante y defender como experto en el Curso de Ciberseguridad, gratis y en vivo.
Equipo Industria Ingenieros
Clases con profesionales, preguntas en el chat y certificado verificable con QR y blockchain.