Una pyme no tiene un equipo de seguridad dedicado, y aun así recibe los mismos escaneos automatizados que una gran empresa. La buena noticia es que la mayoría de incidentes que vemos no requieren defensas sofisticadas: entran por cosas que se pueden cerrar en semanas.

1. Reducir la exposición en Internet

Es lo primero y lo más rentable. Haced una lista de todo lo que responde desde vuestra IP pública: escritorio remoto, portal VPN, NAS, cámaras, paneles de administración, servidores de prueba olvidados.

Para cada elemento, una pregunta: ¿tiene que estar accesible desde cualquier punto de Internet? Casi siempre la respuesta es no. Lo que necesita acceso remoto puede publicarse por recurso, sin abrir puertos.

Si queréis una foto rápida, la calculadora de riesgo ayuda a ordenar la lista.

2. Controlar quién accede a qué

El segundo foco es el acceso. Los puntos habituales:

Cuentas de personas que ya no están en la empresa.
Proveedores externos con acceso permanente sin fecha de fin.
Usuarios con acceso a toda la red porque "es más fácil".
Contraseñas compartidas para servicios internos.

Un modelo de acceso por recurso, con segundo factor y con caducidad para los externos, resuelve la mayor parte. Lo desarrollamos en segmentación Zero Trust.

3. Saber en qué estado están los dispositivos

Da igual lo buena que sea la política de acceso si el portátil que se conecta está sin cifrar, sin antivirus o con el sistema sin actualizar desde hace un año.

Necesitáis, como mínimo, saber de cada equipo que se conecta: sistema y versión, cifrado de disco, protección antimalware activa y última actualización. Y poder bloquear el acceso cuando no cumple.

4. Copias de seguridad que se prueban

Las copias solo valen si se restauran. Tres reglas prácticas:

Una copia fuera del alcance de la red de producción.
Restauración probada al menos dos veces al año, con el tiempo cronometrado.
Verificación de que las copias siguen ejecutándose (los fallos silenciosos son lo normal).

5. Formación mínima y realista

No hace falta un plan anual. Sirve más un recordatorio corto cada trimestre sobre lo que realmente pasa: facturas falsas, cambios de número de cuenta, mensajes de "soporte informático" y enlaces de inicio de sesión falsos.

6. Evidencia: poder demostrar lo que pasó

Cuando llega una auditoría, un cliente grande o un incidente, la pregunta es siempre la misma: ¿quién accedió a qué y cuándo? Sin registros, no hay respuesta.

Guardad registros de acceso por usuario y recurso, con el estado del dispositivo, y revisadlos periódicamente. Es también lo que piden marcos como el Esquema Nacional de Seguridad y la directiva NIS2 cuando os aplican.

Un orden de trabajo por fases

Fase	Duración típica	Objetivo
1	1-2 semanas	Inventario de exposición y cierre de lo innecesario
2	2-4 semanas	Acceso por recurso para remotos y externos
3	1 mes	Estado de dispositivos y segundo factor
4	Continuo	Copias probadas, registros y revisión trimestral

Dónde encaja ConnectaSec

ConnectaSec cubre las fases 2 y 3: acceso Zero Trust por recurso, sin abrir puertos, con gateway dedicado obligatorio (IP propia, aislamiento por cliente y varios gateways geográficos si hacen falta) y registros de seguridad avanzados con estado del dispositivo y alertas.

Desde 5 €/usuario al mes con cinco dispositivos incluidos por usuario, más gateway dedicado desde 40 €/mes.

Siguiente paso

Para el contexto general de pyme, ciberseguridad para pymes. Para el modelo de acceso, qué es ZTNA.