Guía de buenas prácticas de ciberseguridad

Guía de buenas prácticas de ciberseguridad

para pymes y autónomos

Introducción

Esta guía recoge las medidas básicas de ciberseguridad que toda pyme o autónomo debería tener implantadas para proteger la información que maneja, incluidos los datos personales de clientes, empleados y proveedores.

El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo. Las que aquí se proponen son asumibles por cualquier negocio, sin necesidad de un departamento informático propio, y complementan la documentación de protección de datos de la empresa.

Cómo usar esta guía: cada apartado distingue entre las medidas que deben aplicar todas las empresas y autónomos y las que se añaden si hay personal (empleados, colaboradores o becarios con acceso a la información).

Se trata de recomendaciones generales. Si la empresa cuenta con un proveedor informático, conviene compartir este documento con él para que valide su aplicación a los sistemas concretos.

1. Equipos y sistemas actualizados

No debe utilizarse ningún equipo con un sistema operativo o programa que haya dejado de recibir actualizaciones de seguridad del fabricante.

Todas las empresas y autónomos

• Mantener activadas las actualizaciones automáticas del sistema operativo, el navegador y los programas habituales, y reiniciar el equipo cuando lo pidan.
• Windows 10 dejó de tener soporte general en octubre de 2025. Los equipos que aún lo usen deben migrarse a Windows 11 (previa comprobación de compatibilidad y copia de seguridad) o sustituirse; el programa de actualizaciones extendidas (ESU) solo es una solución transitoria.
• Aplicar el mismo criterio a móviles, tabletas, routers e impresoras: si el fabricante ya no publica actualizaciones, planificar su sustitución.
• Si la empresa tiene página web, mantener actualizados el gestor de contenidos (WordPress u otro), sus plugins y el certificado HTTPS.

Además, si hay personal

• Impedir que los usuarios pospongan indefinidamente las actualizaciones.
• Llevar un inventario sencillo de equipos (quién lo usa, sistema operativo y versión) para detectar los que quedan fuera de soporte.

2. Antivirus y cortafuegos

Todos los equipos deben contar con protección antimalware activa y actualizada, y con el cortafuegos activado.

Todas las empresas y autónomos

• Mantener activo un antivirus con protección en tiempo real. En Windows 11, Microsoft Defender es suficiente para un uso básico si está activado y actualizado; no instalar dos antivirus a la vez.
• Mantener activado el cortafuegos del sistema operativo y el del router.
• No desactivar la protección para instalar un programa, aunque el instalador lo pida.
• Instalar programas solo desde la web oficial del fabricante o la tienda oficial del sistema.

Además, si hay personal

• Valorar una solución de protección con consola centralizada (gestionada por el proveedor informático) que permita comprobar que todos los equipos están protegidos.
• Los usuarios no deben poder desactivar el antivirus ni instalar programas sin autorización.

3. Programas y servicios de uso profesional

La información de la empresa debe tratarse solo con programas y servicios contratados para uso profesional, nunca con versiones gratuitas o cuentas personales.

Las versiones gratuitas o de consumo suelen no ofrecer contrato de encargado del tratamiento (art. 28 RGPD), pueden alojar los datos fuera del Espacio Económico Europeo sin garantías y, en algunos casos, reutilizan la información para sus propios fines.

Todas las empresas y autónomos

• Usar correo electrónico con dominio propio y licencia profesional (por ejemplo, Microsoft 365 o Google Workspace en sus planes de empresa), no cuentas gratuitas de Gmail, Outlook.com o similares.
• Guardar y compartir archivos en almacenamiento en la nube profesional, no en cuentas personales de Dropbox, Google Drive o iCloud ni en servicios gratuitos de envío de archivos.
• Para comunicarse con clientes, usar herramientas de empresa (por ejemplo, WhatsApp Business o la mensajería corporativa), no la cuenta personal de mensajería.
• Usar programas con licencia válida; nunca programas pirateados o descargados de webs no oficiales.
• Comprobar que cada proveedor que trate datos de la empresa (nube, gestoría, programa de facturación, CRM, etc.) firma o ofrece en sus condiciones un contrato de encargado del tratamiento.
• Inteligencia artificial: no introducir datos personales ni información confidencial en herramientas de IA generativa gratuitas o de uso personal. Si se utilizan, deben ser versiones empresariales que garanticen que los datos no se emplean para entrenar sus modelos.

Además, si hay personal

• Definir qué programas y servicios están autorizados y prohibir el uso de cualquier otro para información de la empresa.
• Prohibir el reenvío de información de la empresa a cuentas personales del empleado.
• Comunicar por escrito a la plantilla las normas de uso de la IA generativa.

4. Contraseñas y verificación en dos pasos

Cada servicio debe tener una contraseña larga y distinta, guardada en un gestor de contraseñas, y el acceso al correo y a los servicios en la nube debe protegerse con verificación en dos pasos.

Todas las empresas y autónomos

• Usar contraseñas de al menos 12 caracteres; una frase de varias palabras es más fácil de recordar e igual de segura.
• No reutilizar la misma contraseña en varios servicios ni usar la del correo personal para el profesional.
• Usar un gestor de contraseñas de confianza en lugar de libretas, notas adhesivas o archivos sin proteger.
• Cambiar la contraseña de inmediato si hay sospecha de que se ha filtrado o tras un incidente. No es necesario cambiarla periódicamente si es robusta y única: los cambios forzados frecuentes llevan a contraseñas más débiles.
• Activar la verificación en dos pasos en el correo, la nube, la banca, el gestor de contraseñas, las redes sociales de la empresa y cualquier acceso de administración, preferiblemente con una aplicación de autenticación en lugar de SMS.
• Cambiar las contraseñas que traen de fábrica el router, las cámaras, las impresoras y otros dispositivos.

Además, si hay personal

• Cada persona debe tener su propio usuario y contraseña; no compartir credenciales entre empleados.
• Usar el gestor de contraseñas de empresa para compartir los accesos comunes sin revelar la contraseña.

5. Cifrado de equipos y soportes externos

Todo equipo portátil, móvil o soporte externo que contenga información de la empresa debe estar cifrado, para que su pérdida o robo no exponga los datos.

Todas las empresas y autónomos

• Activar el cifrado del disco en los portátiles: BitLocker o Cifrado de dispositivo en Windows, FileVault en Mac. Guardar la clave de recuperación en un lugar seguro y distinto del propio equipo.
• Usar memorias USB y discos externos cifrados (por hardware o con la herramienta de cifrado del sistema). Evitar llevar datos personales en soportes sin cifrar.
• Proteger con contraseña los archivos con datos sensibles que se envíen por correo, y comunicar la contraseña por un canal distinto.
• Mantener el bloqueo con PIN o biometría en móviles y tabletas, que en los dispositivos actuales activa también el cifrado.

Además, si hay personal

• Restringir el uso de memorias USB a las proporcionadas por la empresa.
• Comprobar periódicamente que el cifrado está activo en todos los portátiles.

6. Copias de seguridad

La información imprescindible para la actividad debe copiarse de forma automática y al menos una copia debe quedar desconectada o protegida frente a borrado, para poder recuperarse de un ataque de ransomware.

Todas las empresas y autónomos

• Seguir la regla 3-2-1: tres copias de los datos, en dos soportes distintos y una fuera de la oficina (por ejemplo, en una nube profesional).
• Mantener una copia que no esté permanentemente conectada al equipo o a la red, o que no pueda borrarse ni modificarse durante un periodo (copia inmutable). Un disco externo siempre enchufado se cifra junto con el resto en un ataque.
• Hacer las copias de forma automática, con una frecuencia acorde a cuánta información se puede permitir perder (normalmente diaria).
• Cifrar las copias que se guarden en discos externos.
• Comprobar al menos una vez al trimestre que una copia se puede restaurar. Una copia que no se ha probado no garantiza nada.
• Recordar que tener los archivos sincronizados en la nube no es una copia de seguridad: si se borran o cifran en el equipo, el cambio se replica.

Además, si hay personal

• Designar a una persona (o al proveedor informático) como responsable de revisar que las copias se realizan y se prueban.
• Indicar a la plantilla dónde guardar los archivos para que queden incluidos en la copia, evitando el escritorio o carpetas locales.

7. Correo electrónico, phishing y fraudes

El correo es la vía de entrada de la mayoría de ataques y el origen de muchas brechas de datos por error humano, por lo que conviene aplicar unas normas mínimas en cada envío y recepción.

Todas las empresas y autónomos

• Desconfiar de mensajes urgentes, inesperados o que pidan contraseñas, pagos o datos bancarios, aunque parezcan venir de un banco, Hacienda, la Seguridad Social, un proveedor o un compañero.
• No abrir adjuntos ni enlaces sospechosos. Ante la duda, acceder al servicio escribiendo la dirección en el navegador, no desde el enlace.
• Cambios de cuenta bancaria y pagos urgentes: verificar siempre por teléfono, con un número ya conocido y no el que figure en el correo, cualquier petición de cambiar el IBAN de un proveedor o de hacer una transferencia urgente (el llamado fraude del CEO).
• Usar copia oculta (CCO) en los envíos a varios destinatarios que no se conocen entre sí.
• Revisar el destinatario antes de enviar; el autocompletado es una causa frecuente de envíos erróneos.
• No enviar datos sensibles (salud, datos bancarios, DNI, etc.) en el cuerpo del correo sin proteger; usar archivos cifrados o un enlace de descarga con acceso restringido.

Además, si hay personal

• Indicar a quién y cómo comunicar un correo sospechoso o un envío erróneo, y hacerlo sin demora y sin temor a represalias.
• Pedir al proveedor de correo o informático que configure los registros de autenticación del dominio (SPF, DKIM y DMARC) para dificultar la suplantación.

8. Red, Wi-Fi y trabajo fuera de la oficina

La red de la empresa debe estar cifrada, separada de la de los visitantes, y el trabajo desde fuera debe hacerse por conexiones de confianza.

Todas las empresas y autónomos

• Configurar la Wi-Fi con cifrado WPA3 o, si el router no lo admite, WPA2, y una contraseña robusta distinta de la de fábrica.
• Ofrecer a clientes y visitantes una red de invitados separada de la que usan los equipos de trabajo.
• Cambiar la contraseña de administración del router y desactivar el acceso remoto a su configuración y la función WPS si no se necesitan.
• Evitar las redes Wi-Fi públicas (hoteles, cafeterías, aeropuertos) para trabajar; usar los datos del móvil o una VPN.
• Cambiar la contraseña de la Wi-Fi si la ha conocido alguien que ya no debe tener acceso.

Además, si hay personal

• Si se teletrabaja o se accede a los sistemas desde fuera, hacerlo mediante VPN o servicios en la nube con verificación en dos pasos, nunca abriendo puertos del router o escritorios remotos expuestos a internet.
• Incluir estas normas en la política de teletrabajo o de uso de medios tecnológicos.

9. Móviles y dispositivos personales

Los móviles y tabletas con acceso al correo o a datos de la empresa deben protegerse igual que un ordenador, y su pérdida debe poder gestionarse a distancia.

Todas las empresas y autónomos

• Bloquear el dispositivo con PIN, patrón robusto o biometría, y bloqueo automático tras un tiempo corto de inactividad.
• Instalar aplicaciones solo desde las tiendas oficiales y revisar los permisos que solicitan.
• Activar la localización y el borrado remoto (Buscar mi iPhone, Encontrar mi dispositivo de Google).
• Si se usa el mismo móvil para la vida personal y profesional, separar las cuentas y aplicaciones de trabajo (perfil de trabajo en Android, cuentas gestionadas en iPhone) y no guardar datos de clientes en la galería o en aplicaciones personales.
• Ante la pérdida o robo: bloquear o borrar el dispositivo a distancia, cambiar las contraseñas de las cuentas que tenía abiertas y valorar si se trata de una brecha de datos (apartado 13).

Además, si hay personal

• Decidir si se permite usar dispositivos personales para trabajar. Si se permite, fijar por escrito las condiciones mínimas (bloqueo, actualizaciones, cifrado, no compartir el dispositivo) y que el acceso sea solo a través de las aplicaciones corporativas.
• Cuando sea posible, gestionar los móviles de empresa con una herramienta de gestión de dispositivos (MDM) que permita aplicar estas medidas y borrar los datos corporativos.
• Recuperar los dispositivos de empresa y eliminar los accesos corporativos de los personales cuando el empleado deje la empresa.

10. Usuarios, permisos y altas y bajas

Cada persona debe acceder solo a la información que necesita para su trabajo, y los accesos deben retirarse el mismo día en que deja de necesitarlos.

Todas las empresas y autónomos

• Usar en el día a día una cuenta de usuario sin privilegios de administrador; reservar la de administrador para instalar programas o cambiar la configuración.
• Retirar los accesos de proveedores, colaboradores externos o antiguos asesores cuando termine el servicio.
• Revisar de vez en cuando qué aplicaciones y servicios externos tienen acceso a la cuenta de correo o a la nube y eliminar los que no se usen.

Además, si hay personal

• Asignar permisos según el puesto (principio de mínimo privilegio): no todo el mundo necesita acceso a nóminas, contabilidad o datos de clientes.
• Altas: crear usuario individual, entregar las normas de uso de medios tecnológicos y el compromiso de confidencialidad.
• Bajas: el último día de trabajo, desactivar sus cuentas, cambiar las contraseñas compartidas que conocía, recuperar equipos y soportes, y redirigir o conservar su correo según la política de la empresa.
• Revisar al menos una vez al año la lista de usuarios y permisos para detectar cuentas que ya no corresponden.

11. Puesto de trabajo, papel y eliminación de equipos

La información debe protegerse también cuando no se está delante del equipo y cuando un soporte llega al final de su vida útil.

Todas las empresas y autónomos

• Bloquear la sesión del ordenador al levantarse (Windows + L en Windows; Control + Comando + Q en Mac) y configurar el bloqueo automático tras pocos minutos de inactividad.
• Colocar las pantallas de modo que no puedan leerlas clientes o visitantes.
• No dejar documentos con datos personales a la vista; guardarlos en armarios o cajones con llave al terminar la jornada.
• Destruir el papel con datos personales con destructora o mediante empresa de destrucción certificada; nunca tirarlo a la papelera ni reutilizarlo como borrador.
• Antes de vender, donar, devolver (renting) o desechar un ordenador, móvil, disco o impresora con memoria, borrar la información de forma segura o destruir el soporte, y conservar el certificado si lo hace un tercero.

Además, si hay personal

• Incluir la política de mesa limpia y de bloqueo de sesión en las normas internas.
• Controlar el acceso de visitantes a las zonas donde se trata información.

12. Formación y concienciación

La mayoría de incidentes empiezan con un error humano, por lo que quien maneja la información debe conocer estas normas y saber reconocer un engaño.

Todas las empresas y autónomos

• Mantenerse informado sobre los fraudes más habituales. INCIBE publica avisos de seguridad y materiales gratuitos para empresas y autónomos en su web (incibe.es).

Además, si hay personal

• Entregar esta guía y las normas internas a cada empleado en su incorporación y dejar constancia de la entrega.
• Hacer una formación breve en ciberseguridad y protección de datos al menos una vez al año, y cuando se produzca un incidente o un cambio relevante.
• Compartir con la plantilla ejemplos reales de correos fraudulentos recibidos en la empresa.
• Las simulaciones de phishing son útiles pero opcionales; se recomiendan en empresas con un número significativo de empleados o que ya hayan sufrido ataques.

13. Qué hacer ante un incidente

Ante cualquier incidente que afecte a datos personales (equipo robado, correo enviado a quien no debía, cuenta hackeada, ransomware) hay que actuar de inmediato: si supone un riesgo para las personas, debe notificarse a la AEPD en un plazo máximo de 72 horas desde que se tiene conocimiento (art. 33 RGPD).

1. Contener: desconectar el equipo afectado de la red (cable y Wi-Fi), sin apagarlo ni borrar nada; bloquear a distancia el dispositivo perdido; cambiar las contraseñas comprometidas.
2. Comunicar internamente: avisar sin demora al responsable designado en la empresa y, si se dispone de él, al proveedor informático.
3. Avisar a la consultora o al delegado de protección de datos (Grupo Ático34 – lopd-gdd@atico34.com), para valorar si es una brecha de datos personales y si procede notificarla a la AEPD y, en su caso, a los afectados.
4. Pedir ayuda técnica si hace falta: INCIBE ofrece asistencia gratuita y confidencial en su línea de ayuda en ciberseguridad, teléfono 017.
5. Denunciar ante la Policía o la Guardia Civil si ha habido robo, estafa o acceso ilícito.
6. Registrar el incidente con su fecha, qué ocurrió, qué datos se vieron afectados y qué medidas se tomaron, aunque finalmente no se notifique (art. 33.5 RGPD).

Si hay personal, todos los empleados deben saber a quién comunicar un incidente y que deben hacerlo de inmediato, incluso si se debe a un error propio.