Guía de ciberseguridad para pymes

¿Por qué una pyme debería ocuparse de la ciberseguridad?

Porque el riesgo ya no es solo de las empresas grandes, y las pymes enfrentan muchas de las mismas amenazas que las demás, con menos recursos.

En Colombia, el fraude es el incidente más común. Según el Grupo de Respuesta a Emergencias Cibernéticas de Colombia (ColCERT), del Ministerio de Tecnologías de la Información y las Comunicaciones (Ministerio TIC), en 2024 y 2025 fue sobre todo phishing (835 casos) y uso no autorizado de cuentas de correo electrónico (784 casos).

Su informe de 2025 advierte, además, un aumento de las amenazas persistentes avanzadas: ataques sostenidos y organizados que ya no afectan solo a la infraestructura crítica, sino también a entidades territoriales, pymes y servicios digitales.

El ransomware golpea más a las empresas pequeñas. El ransomware es un programa que cifra los archivos de la empresa para pedir un rescate. Según el Data Breach Investigations Report de Verizon, 2026, las organizaciones pequeñas se ven afectadas por él de forma desproporcionada, y suelen tener menos recursos para responder.

En las brechas de pymes que analizó ese informe, las vías de entrada más frecuentes fueron:

• aprovechar vulnerabilidades (26% de las brechas);
• usar credenciales robadas o adivinadas (13%);
• el phishing (9%).

Las prioridades 1, 3 y 4 de esta guía apuntan a esas tres vías.

¿Por dónde empezar? Seis prioridades, en orden

El orden importa. Primero va lo que cierra las vías de entrada más comunes y lo que le permite volver a operar si algo pasa. Las seis prioridades recogen recomendaciones de la guía #StopRansomware de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA).

1. Active la verificación en dos pasos en las cuentas que importan

La verificación en dos pasos, o autenticación multifactor (MFA), pide algo más que la contraseña para entrar: un código, una aplicación en el celular o una llave de seguridad. Si alguien roba la contraseña, con ella sola ya no le alcanza para entrar.

• Empiece por el correo, el acceso remoto (una red privada virtual o VPN, o el escritorio remoto), la banca en línea, los servicios en la nube y las cuentas de administrador. La CISA recomienda MFA resistente al phishing en todos los servicios, en especial el correo, las VPN y las cuentas que entran a sistemas críticos.
• Prefiera las llaves de seguridad (físicas o integradas en el computador o el celular) y, si no se puede, una aplicación de autenticación. Según la CISA, los códigos por mensaje de texto o por llamada son la forma más débil de MFA y deben ser el último recurso.
• Use contraseñas largas y distintas para cada servicio, guardadas en un gestor de contraseñas de la empresa, no en una hoja de cálculo ni en el navegador de cada persona.

Según un estudio de Microsoft Research de 2023, sobre cuentas empresariales de su servicio de identidad en la nube que mostraban actividad sospechosa, la MFA redujo en 99,22% el riesgo de que una cuenta fuera comprometida.

2. Tenga copias de respaldo que funcionen, y una fuera de la red

Una copia que nunca se ha restaurado es una suposición. La CISA recomienda mantener copias cifradas y fuera de línea de los datos críticos, y probar con regularidad que están disponibles e íntegras. La razón: muchos ransomware buscan las copias que tienen a su alcance para borrarlas o cifrarlas.

• Defina qué es crítico: contabilidad, facturación, datos de clientes, correo y los archivos sin los que la empresa no puede operar.
• Guarde al menos una copia desconectada de la red, o que no se pueda modificar desde ella.
• Haga una restauración de prueba con regularidad y anote cuánto tardó. Ese tiempo le da una idea de cuánto estaría parada su empresa.
• Revise qué guarda su servicio en la nube y por cuánto tiempo. Tener los archivos en la nube no siempre significa tenerlos respaldados.

3. Mantenga al día los equipos y todo lo que da a internet

Las actualizaciones corrigen las vulnerabilidades que los atacantes aprovechan. Según Verizon, 2026, aprovechar vulnerabilidades fue la vía de entrada más común en las brechas de pymes que analizó.

• Active las actualizaciones automáticas en computadores, servidores y celulares de la empresa.
• Priorice lo que da a internet: el firewall o el router, la VPN, el sitio web y sus complementos, y los servidores. La CISA pide actualizar a tiempo, primero, los servidores expuestos a internet.
• Reemplace lo que ya no recibe actualizaciones. Por ejemplo, Microsoft terminó el soporte de Windows 10 el 14 de octubre de 2025. Para que los computadores de una empresa sigan recibiendo actualizaciones de seguridad, ofrece un programa pago de actualizaciones extendidas (ESU, por su sigla en inglés) que dura como máximo tres años.
• Proteja los equipos con un antivirus que además detecte y responda a comportamientos sospechosos (EDR, por su sigla en inglés). Vea cómo gestionamos la protección de equipos.

4. Proteja el correo y confirme los pagos por otro canal

Según el ColCERT, el fraude llega sobre todo por phishing y por uso no autorizado de cuentas de correo.

• Confirme por teléfono, a un número que ya tenga, cualquier cambio de cuenta bancaria, pago urgente o solicitud rara que llegue por correo. No use el número que viene en el mismo mensaje.
• Desconfíe también de llamadas y mensajes de texto. Según Verizon, 2026, en las simulaciones de phishing la tasa de clics por voz y mensajes de texto fue 40% más alta que por correo (mediana).
• Configure SPF, DKIM y DMARC en su dominio, para que sea mucho más difícil suplantarlo. Son registros técnicos que le permiten a quien recibe un correo comprobar si de verdad salió de su empresa.
• Filtre el correo que entra, para detener enlaces y adjuntos maliciosos antes de que lleguen a la bandeja.
• Enseñe a reportar. Que su gente sepa a quién avisar y cómo reenviar un correo sospechoso como archivo adjunto.

Vea cómo protegemos el correo en Microsoft 365 y Google Workspace.

5. Haga un inventario de equipos, cuentas, datos y proveedores

No se puede proteger lo que no se sabe que existe. Una hoja de cálculo sirve para empezar. La CISA recomienda inventariar los activos físicos (equipos) y lógicos (datos y software), y saber cuáles son los más críticos para la operación.

• Equipos: computadores, servidores, celulares que leen el correo de la empresa, router y firewall. Para cada uno: quién lo usa, qué sistema tiene y si está protegido.
• Cuentas: quién tiene acceso a qué. Dé a cada persona solo los permisos que necesita y retire los accesos el mismo día en que alguien sale de la empresa.
• Datos personales: dónde están los datos de clientes, empleados y proveedores. La Ley 1581 de 2012 obliga a quien los trata como responsable a conservarlos con las condiciones de seguridad necesarias para impedir su pérdida o un acceso no autorizado.
• Proveedores con acceso: su proveedor de tecnología, el software contable, la nube. Pregúnteles cómo protegen ese acceso. Según Verizon, 2026, un tercero estuvo involucrado en el 55% de las brechas de pymes que analizó.

6. Prepare un plan para cuando algo pase

Un plan corto, de una o dos páginas, evita improvisar el peor día. La CISA recomienda tener un plan básico de respuesta a incidentes, practicarlo con regularidad y guardar una copia impresa y otra fuera de línea.

• A quién llamar: su equipo o proveedor de tecnología, apoyo externo de respuesta a incidentes, su aseguradora si tiene póliza, y su abogado.
• Quién decide si se desconectan sistemas, si se avisa a clientes o si se contrata ayuda.
• Cómo comunicarse si el correo no funciona o está comprometido: teléfonos anotados en papel.
• Dónde están las copias de respaldo y en qué orden se restauran los sistemas.
• Qué reportar y en qué plazo. Si el incidente afecta datos personales, el reporte a la Superintendencia de Industria y Comercio (SIC) va dentro de los 15 días hábiles siguientes a que se detecta y lo conoce el área encargada de atenderlo. Aplica aunque su empresa no esté obligada a inscribir sus bases en el Registro Nacional de Bases de Datos. La parte legal la lleva su abogado.

Si hoy le pasara un ransomware, esta guía le dice qué hacer en las primeras horas.

¿Qué hacer si nadie en su empresa tiene tiempo para llevar esta lista?

No es un caso raro. Según la Encuesta de ciberseguridad en América Latina de RSM, 2026, la mitad de las organizaciones encuestadas tiene dos personas o menos dedicadas a la seguridad y la privacidad de los datos, y muchas recurren a especialistas externos.

Si en su empresa la misma persona atiende los equipos, los usuarios, los proveedores y las urgencias del día, es fácil que la seguridad quede para después. Hay dos caminos:

• Asignar la lista a alguien de su equipo, con tiempo reservado cada mes, una fecha para cada prioridad y una revisión del avance con la gerencia.
• Apoyarse en un equipo externo. Si su ingeniero atiende todo y estos temas se van aplazando, para eso existe el acompañamiento continuo. Trabajamos con su equipo de tecnología, acordamos con usted qué atender primero y qué asumimos nosotros, y cada mes le mostramos qué se hizo, qué falta y qué necesita una decisión suya.

Pralogy es una empresa colombiana de ciberseguridad que atiende a empresas y organizaciones. Pralogy existe desde 2019. Lo atiende nuestro equipo de ingeniería.