Zero Trust para pymes: 4 pasos y 90 días con IT gestionado

El Data Breach Investigations Report 2026 de Verizon es claro sobre las pymes. En el 55% de las brechas estudiadas había un tercero implicado: proveedor, socio o prestador de servicios. En el 45% hubo un factor humano, como un clic equivocado o una contraseña repetida en otro servicio.

Ninguna de estas puertas se cierra con un firewall perimetral. El atacante no fuerza la entrada; usa credenciales válidas. A partir de ahí, en un modelo tradicional, tiene toda la empresa por delante.

Con Zero Trust, el daño de una cuenta comprometida queda confinado a esa persona y a una fracción de los sistemas. Para la dirección, esto significa menos parada, menos datos expuestos y una conversación muy distinta con clientes y aseguradora.

El modelo antiguo era una fortaleza. Un firewall sólido alrededor y libertad total dentro. Funcionaba cuando todos trabajaban en la oficina y los datos vivían en un servidor local.

Hoy hay teletrabajo, Microsoft 365 en la nube, smartphones y proveedores conectados a distancia. La muralla está llena de agujeros.

Zero Trust funciona como un aeropuerto. Cruzar la puerta de la terminal no sube a nadie a un avión. La tarjeta de embarque se valida en el control de seguridad, otra vez en la puerta, y solo sirve para un vuelo y un asiento. Sus sistemas pasan a seguir la misma disciplina.

Paso 1. Identidad: que la contraseña no baste

• MFA obligatorio Primero en los administradores y en Microsoft 365, después en todos los servicios.
• Bajas cerradas el mismo día Quien sale de la empresa pierde el acceso ese día, no semanas después.
• Administradores contados Dos o tres personas designadas, con una cuenta aparte solo para administrar.
• Fin de las cuentas genéricas «general@» o «tienda1» dejan de servir para entrar en sistemas.

Ningún otro paso da tanto por tan poco. Con MFA, la contraseña capturada por phishing deja de ser suficiente. En la mayoría de las licencias de Microsoft 365 no hay coste adicional: el trabajo es de organización. Profundice en MFA en la empresa y en gestores de contraseñas para equipos.

Paso 2. Equipos: solo entra lo que cumple

• Inventario completo Cada portátil, sobremesa y móvil que toca datos de la empresa.
• Protección y parches Activados y verificados en todo el parque.
• Acceso condicional Microsoft 365 solo abre los datos a dispositivos que cumplen las reglas.

La primera corrección son los sistemas sin soporte. Windows 10 está en esa lista desde el 14 de octubre de 2025. Descubra cómo afrontar el fin del soporte de Windows 10.

Paso 3. Red: un puesto infectado no llega a los servidores

Se acabó la red plana. Puestos de trabajo, servidores, visitantes, impresoras y cámaras pasan a segmentos propios. Entre ellos, quien decide el tráfico es el firewall gestionado.

Resultado: un portátil con malware queda atrapado en su segmento y no puede cifrar servidores ni copias. Si ya tiene switches gestionables y firewall gestionado, esto es trabajo de configuración, no de compra.

Paso 4. Acceso mínimo: cada persona ve solo su trabajo

• Permisos auditados Carpetas compartidas, SharePoint y Teams revisados.
• Usuarios sin derechos de administrador También en su propio ordenador.
• Acceso remoto a la aplicación, no a la red Explicamos por qué en la VPN ya no basta.

Este paso cambia hábitos, por eso va el último. Pero se ha vuelto urgente: Copilot y otras herramientas de IA muestran a cada usuario todo aquello a lo que tiene permiso. Defina primero las reglas para ChatGPT y Copilot en la empresa.

Calendario típico para 10 a 200 puestos, con un socio de IT dedicado y la dirección implicada:

El análisis de comportamiento, la microsegmentación por aplicación y la evaluación continua del estado de cada dispositivo existen y tienen valor. Para la mayoría de las pymes, sin embargo, salen caros y rinden poco mientras los cuatro pasos no estén cerrados.

El orden importa. Solo MFA protege las cuentas y deja la red expuesta. Solo segmentación protege la red y deja las cuentas expuestas. Necesita las dos.

Reltio by SAP, tecnológica estadounidense de software de datos, tiene oficina en Lisboa con mantenimiento permanente y red gestionados por DataRoad. Son 125 puntos de red estructurada, firewall, tres switches y puntos de acceso Cisco Meraki, más soporte especializado a 35 equipos Dell y 40 MacBook Pro.

Es el paso 2 en la práctica: un parque mixto, con la misma política para todos los sistemas operativos. Cuando el inventario existe y la red se gestiona desde un único punto, Zero Trust deja de ser teoría y pasa a ser rutina.

Analizamos identidades, equipos, red y permisos, le decimos su nivel actual y le entregamos el plan para los 90 días siguientes. Firewalls, protección de endpoints, MFA y alertas forman parte de la ciberseguridad gestionada incluida en el plan IT Unlimited Premium. Solicite una propuesta sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. +351 211 459 950 * · sales@dataroad.pt

*Llamada a la red fija portuguesa.

• Verizon: 2026 DBIR, resumen ejecutivo con datos de pymes
• EUR-Lex: Directiva (UE) 2022/2555, NIS2, art. 21
• Microsoft Learn: ciclo de vida de Windows 10