Ciberseguridad sin departamento de TI: qué sí puede hacer un dueño

“Yo no tengo área de sistemas, Gabo. Tengo a Luis, que sabe de computadoras.” Me lo dijo el dueño de una ferretería de 11 personas en Tultitlán. Luis es el encargado de mostrador. Sabe formatear una laptop y conectar la impresora. También es quien tiene la contraseña del banco porque “él sabe de eso”.

No es un caso raro. Es el caso normal. De los negocios de 5 a 30 personas que reviso, casi ninguno tiene a alguien de tecnología. Y el dueño concluye: “entonces la seguridad no es para mí, eso es de empresas grandes”.

Mi opinión es la contraria. La mayor parte de lo que protege a un negocio chico no lo hace un técnico. Lo hace el dueño, con decisiones. Te paso la lista que uso en campo.

Primero lo que no necesitas

No necesitas un firewall de marca, un antivirus corporativo ni un consultor de planta para cubrir lo básico. Lo digo yo, que vendo seguridad. La guía de CISA (la agencia de ciberseguridad de Estados Unidos) para pequeñas empresas lo plantea igual: las primeras acciones son del director, no del técnico. Crear cultura de seguridad, nombrar a un responsable y empujar personalmente la verificación en dos pasos en lugar de delegarla.

Lo que sí necesitas es un responsable con nombre. No “Luis porque sabe de computadoras”. Una persona a la que le pides cuentas cada mes de una lista corta. Puede ser el administrador, la gerente o tú mismo. El criterio no es que sepa de tecnología. Es que sea ordenada.

El checklist del dueño sin TI

Esto es lo que reviso en un negocio de 10 personas y lo que un dueño puede hacer solo. Nada cuesta dinero.

1. MFA en los cuatro accesos que te pueden quebrar. Correo del negocio, WhatsApp Business, banca en línea y redes sociales. MFA es el segundo candado: contraseña más código en el teléfono. CISA lo dice con una frase que uso en cada taller: se asegura con controles, no con fe. Es decir, lo activas y lo verificas, no lo pides y confías.

2. Una contraseña distinta por sistema, guardada en un gestor. El gestor de contraseñas es una bóveda cifrada que las recuerda por ti. Lo instalas en una tarde. Así muere “la contraseña del negocio” que saben seis personas.

3. Un acceso por persona, con su nombre. Nada de cuentas compartidas. Cuando alguien se va, se le quita todo el mismo día. Son cinco minutos si lo tienes ordenado, y una pesadilla si no.

4. Nadie opera la computadora como administrador. El usuario del día a día no debe poder instalar programas. Así, si alguien da clic donde no debía, el programa malicioso no se instala. Es configuración, no compra.

5. Actualizaciones automáticas encendidas. Windows, Mac, el navegador y el teléfono. La mayoría de los ataques entran por fallas que ya tenían parche. La guía de CISA lo pone como tarea fija: parchar y activar actualizaciones automáticas donde se pueda.

6. Respaldo que ya restauraste una vez. Un respaldo que no has probado es una suposición. Restaura un archivo en otra máquina y mide cuánto tardas.

7. Cifrado del disco en las laptops. Si se pierde o la roban, los datos no se leen. Windows y Mac lo traen; solo hay que activarlo.

8. Regla de pagos por llamada. Ningún cambio de cuenta bancaria de un proveedor ni ninguna transferencia urgente se ejecuta por correo o WhatsApp sin una llamada al número de siempre. Esta regla ha detenido más fraudes en mis clientes que cualquier software.

9. Una plática de 20 minutos con el equipo cada trimestre. Qué es phishing (el mensaje que se disfraza de tu banco o del SAT para que des clic), cómo se ve, a quién le avisan. CISA pide entrenar a todo el personal y dejar claro cómo reportar algo sospechoso. No hace falta un curso: hace falta que el tema exista.

10. Una hoja con “qué hacemos si pasa”. A quién se llama, qué se apaga, cómo se cobra a mano. CISA lo llama plan de respuesta a incidentes y pide que el director lo revise. En un negocio chico, cabe en una página pegada en la oficina.

Lo que veo cuando el dueño sí lo hace

En mi experiencia, cuando un dueño sin TI aplica esta lista pasan dos cosas. La primera es que descubre accesos que no sabía que existían: el diseñador que sigue siendo administrador de la página, el exempleado que todavía entra al correo. La segunda es que la lista se vuelve rutina de 30 minutos al mes para el responsable. Eso es todo lo que cuesta mantenerla.

Lo que no veo es que el ataque deje de intentarse. Los intentos siguen. Lo que cambia es que ya no entran por la puerta fácil.

Lo que sí requiere ayuda externa

Hay tres cosas donde yo sí recomiendo que alguien de fuera te acompañe.

La primera es revisar lo que no se ve: si tu correo ya está en una filtración, si tu sitio tiene una falla conocida, si hay algo instalado en una computadora que no debería. Eso requiere herramientas y ojo entrenado.

La segunda es cuando tus clientes o socios te piden demostrarlo. Un corporativo que te contrata como proveedor te va a pedir evidencia de controles, no tu palabra. Ahí necesitas que alguien lo documente y lo valide.

La tercera es cuando ya pasó algo. Si te secuestraron la información o te vaciaron una cuenta, el momento de buscar ayuda es ese mismo día, no la semana siguiente.

Fuera de eso, la lista de arriba es tuya. No esperes a tener departamento de TI para hacerla.

Qué puedes hacer esta semana

1. Nombra al responsable de seguridad del negocio por escrito. Una persona, un nombre, una lista.
2. Activa MFA en correo, WhatsApp Business, banco y redes. Verifica tú que quedó activo.
3. Quita el permiso de administrador a las computadoras que usa el equipo todos los días.
4. Restaura un archivo del respaldo en otra computadora y anota cuánto tardaste.
5. Pega en la oficina la regla de pagos: todo cambio de cuenta o transferencia urgente se confirma por llamada.

Cómo ayuda AgileNext

Blindaje Empresarial toma esta lista y la convierte en protección que puedes demostrar a clientes y socios, en un sprint de 45 días: MFA, contraseñas y accesos controlados; respaldos probados de verdad; revisión de lo que no se ve; y validación independiente con aliados especializados. Alineado a ISO 27001 sin obligarte a certificarte, incluye seguridad de la información, gestión de riesgos y continuidad del negocio. No necesitas área de TI para empezar; necesitas saber dónde estás parado.

Haz el autodiagnóstico de seguridad sin costo y en minutos ves cuántos de los diez puntos ya cumples.

Te puede interesar: Deepfakes de voz: cuando “tu jefe” llama a pedir una transferencia · LFPDPPP 2025: lo que cambió y lo que te pueden multar