Blog

La mayoría de las pymes argentinas no tienen un problema de presupuesto en seguridad: tienen un problema de orden. Nadie sabe qué está protegido, qué quedó a medias y qué se configuró mal hace tres años y nunca se volvió a mirar. Y una mala configuración se paga durante años en cortes, brechas de seguridad y plata. Este checklist es para que te sientes diez minutos, lo recorras punto por punto y sepas, sin vueltas, cuántos ítems estás cumpliendo de verdad y cuántos son puro deseo.

No es una lista teórica sacada de un paper. Es lo que revisamos cuando entramos a una empresa que nos llama porque “algo raro está pasando”. Ransomware que entró por un mail, un empleado que se fue con la contraseña del administrador todavía activa, un backup que nadie probó nunca y el día que hizo falta no restauraba. Todo eso empieza igual: por saltearse lo básico. Agarrá lápiz y anotá cuántos “no” te salen.

Perímetro y red: ¿quién entra y quién sale?

El perímetro es la puerta de tu empresa. Si la puerta está mal puesta, no importa cuántas cerraduras tengas adentro. Acá es donde más configuraciones “heredadas” y peligrosas nos encontramos: routers del proveedor de internet haciendo de firewall, puertos abiertos que nadie recuerda para qué eran, y accesos remotos armados a las apuradas durante la pandemia que siguen vivos.

• Firewall/UTM real, no el router de la operadora — el equipo que te dio el ISP no filtra tráfico ni te protege de nada serio. Necesitás un firewall dedicado que puedas configurar por reglas.
• Reglas de firewall documentadas — cada puerto abierto tiene que tener un motivo escrito. Si no sabés por qué está abierto, ciérralo.
• Segmentación de red — invitados, cámaras, servidores y puestos de trabajo no pueden estar en la misma red plana. Si entran por la wifi de visitas, no tienen que llegar a tu servidor de facturación.
• VPN para el acceso remoto — nada de escritorio remoto expuesto directo a internet. El trabajo remoto entra por túnel cifrado y autenticado, no por un puerto abierto al mundo.
• Wifi corporativa separada de la de invitados — con contraseñas distintas y sin puente entre ambas.

Si en este bloque ya tenés varios “no”, ese es tu agujero más grande. Un buen firewall bien configurado te tapa la mayoría de los ataques automatizados antes de que lleguen a tocar una PC. Tenemos toda una nota sobre seguridad perimetral y firewall si querés entender por qué el equipo del proveedor no alcanza.

Accesos y contraseñas: ¿quién tiene las llaves?

El phishing sigue siendo la forma número uno de entrar a una empresa, y funciona porque roba credenciales. Un mail bien armado, un empleado apurado, un click, y el atacante ya está adentro con un usuario legítimo. Por eso las contraseñas y quién las tiene importan tanto como el firewall. Revisá esto con honestidad.

• Doble factor (2FA) en todo lo crítico — mail, banco, panel de hosting, accesos remotos. Aunque le roben la contraseña, sin el segundo factor no entran. Esto solo te evita la mayoría de los desastres por phishing.
• Cada persona con su propio usuario — el usuario compartido “admin” que usan cinco personas es imposible de auditar y de dar de baja. Cuando pasa algo, no sabés quién fue.
• Gestor de contraseñas — nada de claves en un Excel, en un post-it o repetidas en todos lados. Un gestor genera y guarda contraseñas fuertes y únicas.
• Menor privilegio — cada uno accede solo a lo que necesita para su trabajo. El de ventas no tiene por qué tocar el servidor.
• Baja inmediata de personal que se va — el día que alguien deja la empresa, sus accesos se cierran. No la semana que viene: ese día.

Backups y continuidad: ¿podrías volver mañana?

Hacete una pregunta incómoda: si mañana a la mañana el ransomware te encripta todo, ¿en cuánto tiempo estás operando de nuevo? Si la respuesta es “no sé” o “nunca lo probamos”, tu backup no existe de verdad. Un backup que nunca se restauró es una esperanza, no un respaldo.

• Regla 3-2-1 — tres copias, en dos medios distintos, una fuera de la oficina. Si un incendio o un ransomware te toma todo lo que está en el mismo lugar, el offsite te salva.
• Al menos una copia offline o inmutable — el ransomware moderno busca y encripta los backups conectados. Una copia que no se puede sobrescribir es tu red de seguridad.
• Restauraciones de prueba periódicas — probá restaurar de verdad, no mires que “el backup dice OK”. El único backup que sirve es el que ya viste funcionar.
• Backups automáticos y monitoreados — si depende de que alguien se acuerde de hacerlo, algún día no se hace. Y te enterás cuando falla, no meses después.

Actualizaciones: ¿estás parcheando o rezando?

La mayoría de los ataques exitosos no usan magia: aprovechan agujeros conocidos que ya tenían parche disponible. La empresa simplemente no lo aplicó. Mantener todo actualizado es aburrido y es una de las medidas que mejor rinde. Acá va lo mínimo.

• Sistema operativo y aplicaciones al día — Windows, servidores, navegadores, todo. Los updates de seguridad no son opcionales ni “para después”.
• Firmware de firewall, routers y equipos de red — es lo que más se olvida y lo que más expuesto está. Los equipos de red también tienen vulnerabilidades y también se actualizan.
• Nada de software sin soporte — un sistema operativo o una app que ya no recibe parches es una puerta abierta permanente. Si no se puede actualizar, hay que reemplazarlo o aislarlo.
• Antivirus/EDR actualizado en cada puesto — activo, actualizado y que alguien mire las alertas. Un antivirus que nadie revisa es decorativo.

Personas y capacitación: ¿tu equipo sabe reconocer un ataque?

Podés tener el mejor firewall del país, pero si un empleado abre un adjunto malicioso y pone su contraseña donde no debe, todo lo demás no sirvió. Las personas son la primera línea de defensa, no el eslabón débil que hay que resignarse a perder. Se las puede entrenar, y rinde muchísimo.

• Capacitación en phishing — que sepan reconocer un mail sospechoso, un remitente falso, un pedido urgente raro. La mayoría de los ataques entran por acá.
• Política clara de uso — qué se puede instalar, qué dispositivos personales se conectan, cómo se manejan los datos de clientes. Escrita y conocida por todos.
• Un canal para reportar — que el empleado que hizo click sepa a quién avisar sin miedo a que lo reten. Avisar rápido reduce el daño enormemente.
• Cuidado con el fraude del CEO — el mail que “manda el dueño” pidiendo una transferencia urgente. Verificá siempre por otro canal antes de mover plata.

Plan de respuesta: ¿qué hacés cuando ya pasó?

Ninguna defensa es perfecta. La diferencia entre una empresa que se recupera en horas y una que pierde clientes y facturación durante semanas está en tener un plan pensado antes del incidente, no improvisado en pleno pánico. No hace falta que sea un documento enorme: tiene que ser claro y que todos sepan dónde está.

• Sabés a quién llamar — un contacto técnico responsable definido de antemano. En medio de un ataque no es momento de buscar en Google quién te puede ayudar.
• Pasos de aislamiento — cómo desconectar un equipo infectado de la red rápido para que no se propague al resto.
• Inventario de activos — saber qué equipos, servidores y servicios tenés. No podés proteger ni recuperar lo que no sabés que existe.
• Datos de contacto de emergencia a mano — proveedores, banco, soporte, en papel o en un lugar accesible aunque los sistemas estén caídos.

Armar y sostener todo esto es exactamente lo que hacemos cuando una empresa nos deja la parte de IT: no es solo apagar incendios, es que dejen de prenderse. Si querés ver cómo encaramos la seguridad de la información de punta a punta, o cómo funciona el outsourcing de tecnología, ahí lo contamos en detalle.

¿Cuántos ítems no cumplís?

Contá los “no” que te salieron. Si son uno o dos, vas bien y hay que cerrarlos. Si son cinco o más, no estás en peligro teórico: estás expuesto hoy, y probablemente ni te enteres hasta que sea tarde. La buena noticia es que casi todo esto se resuelve con orden y una configuración hecha por alguien que sabe, no con una inversión imposible.

Si querés que revisemos tu situación real, te ofrecemos un diagnóstico inicial gratuito: miramos tu perímetro, tus accesos y tus backups, y te decimos sin vueltas qué está bien, qué está mal y qué corregir primero. Escribinos y coordinamos. Mejor auto-evaluarte hoy que descubrir los agujeros el día del incidente.