Políticas de ciberseguridad: las 7 que toda empresa debe tener

Porque hizo lo que le pareció normal. Usó la contraseña del correo en el portal de la empresa de transportes. Conectó el pendrive de casa. Prestó su contraseña al becario «solo por hoy». Sin una regla por escrito, nada de esto está prohibido. Una política no es un documento jurídico: es media página con lo que se hace y lo que no.

• Frases, no códigos 14 caracteres o más, en lugar de palabras cortas llenas de símbolos.
• Una credencial por servicio Guardada en el gestor de contraseñas de la empresa; nunca enviada por email ni por chat.
• MFA sin excepciones Correo, archivos y acceso remoto. La dirección también: es el objetivo favorito.
• Cuentas compartidas Credencial nueva cada vez que alguien deja la empresa.

Los detalles están en cómo elegir y usar un gestor de contraseñas.

Los de la empresa, con protección activa, actualizaciones automáticas y disco cifrado. Los personales, solo a través del navegador, sin guardar archivos en local. Un portátil nunca pasa la noche en el coche. Si desaparece, se avisa el mismo día y el acceso se bloquea a distancia. Software, solo el de la lista aprobada, que tiene que existir.

No hacer clic, no responder y reenviarlo al equipo de IT. Un cambio de IBAN de un proveedor se confirma siempre por teléfono, en un número que ya tenía, nunca en el que aparece en el email. Es lo que frena el fraude de la factura con el IBAN cambiado. Los datos de clientes no viajan por correo personal ni por apps de mensajería.

• Lo mínimo necesario Cada persona accede a lo que pide su función, nada más.
• Revisión cada seis meses Carpetas compartidas y SharePoint.
• Administración local Solo el equipo de IT.
• Terceros Accesos nominales, con plazo y registro.
• Cambio de funciones El acceso antiguo se retira; no basta con añadir el nuevo.

Es el acceso mínimo del modelo Zero Trust adaptado a pymes.

Solo con una política que diga qué se copia, cada cuánto, adónde y durante cuántos días se guarda. Al menos una copia fuera de las instalaciones e inmutable: el ransomware no puede borrarla. Restauraciones probadas en fechas fijadas, con el resultado anotado. Un responsable de las alertas de fallo, con plazo para actuar. Vea cómo trabaja nuestro backup gestionado y qué añade un plan de recuperación ante desastres.

1. Cadena de alerta: quién llama a quién, y en qué orden.
2. Aislamiento: se saca de la red el puesto afectado, no el servidor entero.
3. Portavoz: una persona habla con clientes y proveedores; las demás no.
4. Plazos legales: notificación a la autoridad de protección de datos en 72 horas si hay datos personales; al Centro Nacional de Cibersegurança si la empresa está sujeta a la NIS2.
5. Contactos impresos: socio de IT y aseguradora, porque el correo puede estar caído.

Sitúe cada paso en las cuatro fases de un ciberataque.

El primer día: cuenta con los permisos de la función, MFA activo, equipo entregado con registro y media hora sobre estas reglas. El último día: cuenta desactivada ese mismo día, no una semana después; correo redirigido; equipo devuelto y revisado; credenciales compartidas cambiadas; accesos de terceros asociados a esa persona cortados. Las cuentas de antiguos empleados aún activas son uno de los fallos más frecuentes en nuestras auditorías.

Media página por política. Empiece por lo que ya hace bien, añada lo que falta y elimine prohibiciones poco realistas: una regla que nadie cumple desacredita a las demás. Aprobación de la gerencia, sesión breve con el equipo, firma de todos y revisión anual.

En los contratos de ciberseguridad gestionada entregamos estas siete plantillas adaptadas a cada cliente y confirmamos en el informe mensual el cumplimiento técnico: MFA activado, cuentas desactivadas, backups probados. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad.

Le damos las plantillas, las adaptamos a su empresa y configuramos la parte técnica (MFA, permisos, backups) para que lo que está escrito sea lo que ocurre. Vea la ciberseguridad gestionada de DataRoad y pida una propuesta sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.

Llame al +351 211 459 950 * o escriba a sales@dataroad.pt.

*Llamada a la red fija portuguesa.