Ciberseguridad para pymes: lista de verificación práctica

La ciberseguridad para pymes empieza con pocos controles bien hechos: cuentas protegidas con verificación en dos pasos, respaldos que sí se pueden restaurar, equipos y sistemas actualizados, un equipo que reconoce el phishing y un plan claro para cuando algo falle. En esta guía tienes una lista de verificación por área para revisar tu empresa en una tarde y decidir qué atender primero.

Por qué la ciberseguridad para pymes es un tema de dirección#

Un incidente informático detiene la operación: no se puede facturar, no se puede vender y no se puede atender al cliente.

Una pyme maneja lo mismo que una empresa grande (datos de clientes, cuentas bancarias, facturas) con menos personas dedicadas a protegerlo. Por eso conviene tratar la seguridad como cualquier riesgo del negocio: con responsables, prioridades y revisiones periódicas.

Dos datos del Data Breach Investigations Report 2026 de Verizon ayudan a dimensionarlo: el ransomware aparece en el 48 % de las brechas analizadas, y el 31 % de las brechas ya empieza por una vulnerabilidad de software, por encima de las contraseñas robadas como la vía de entrada más común. Traducido a una pyme: actualizar sistemas y proteger accesos son las dos tareas con más impacto.

Como marco de referencia, el NIST publicó una guía de inicio rápido del Cybersecurity Framework 2.0 para pequeñas empresas con seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. Esta lista sigue esa lógica en lenguaje de operación.

Antes de empezar: haz tu inventario#

Lo que no sabes que tienes, no lo puedes proteger.

Dedica una hora a anotar en una hoja:

• Equipos: computadoras, laptops, celulares de la empresa, servidores, impresoras y el módem o router.
• Cuentas y sistemas: correo, banca en línea, ERP o sistema administrativo, facturación, CRM, tienda en línea, redes sociales, almacenamiento en la nube.
• Datos importantes: dónde viven los datos de clientes, empleados, proveedores, contabilidad y contratos.
• Responsable de cada cosa: quién administra cada cuenta y quién puede dar altas y bajas.

Con ese inventario sabes qué revisar y a quién preguntarle.

Lista de verificación de ciberseguridad para pymes#

Revisa cada bloque con quien administra tus sistemas. Marca lo que ya cumples y anota lo pendiente con un responsable y una fecha.

1. Accesos, contraseñas y verificación en dos pasos (MFA)#

Las cuentas son la puerta principal.

• Cada persona tiene su propio usuario; ninguna cuenta se comparte.
• El correo, la banca en línea, el sistema administrativo y la nube tienen verificación en dos pasos activada (aplicación de autenticación o llave física, de preferencia sobre SMS).
• Usamos un gestor de contraseñas para generar y guardar claves largas y únicas.
• Las cuentas de administrador se usan solo para tareas de administración, no para el trabajo diario.
• Cada persona tiene acceso solo a lo que necesita para su puesto.
• Damos de baja los accesos el mismo día que alguien deja la empresa o cambia de área.

2. Respaldos#

Un buen respaldo convierte un desastre en una mala tarde.

• Respaldamos de forma automática la información crítica: contabilidad, facturas, base de clientes, documentos y bases de datos de nuestros sistemas.
• Al menos una copia está fuera de la red de la oficina y separada de las cuentas de uso diario, para que un ransomware no la alcance.
• Probamos restaurar un respaldo al menos cada tres meses y medimos cuánto tarda.
• Sabemos cuánta información podemos perder como máximo (un día, una hora) y la frecuencia del respaldo está ajustada a eso.

3. Actualizaciones y equipos sin soporte#

Cada actualización pendiente es una puerta conocida por los atacantes.

• Las actualizaciones automáticas están activadas en sistemas operativos, navegadores y aplicaciones.
• Actualizamos el firmware del router, el firewall y los equipos de red.
• Identificamos equipos o programas que ya no reciben actualizaciones del fabricante y tenemos un plan para reemplazarlos.
• Los sistemas propios (sitio web, tienda en línea, aplicaciones) actualizan sus librerías y dependencias de forma periódica.

4. Correo electrónico y phishing#

El correo sigue siendo el canal favorito para engañar a las personas.

• Nuestro dominio tiene configurados SPF, DKIM y DMARC para que nadie envíe correos haciéndose pasar por nosotros.
• El filtro de correo bloquea adjuntos peligrosos y enlaces maliciosos conocidos.
• El equipo sabe reconocer las señales de un phishing: urgencia, remitente parecido pero distinto, enlaces que piden contraseñas, adjuntos inesperados.
• Existe un canal sencillo para reportar un correo sospechoso, y reportarlo se agradece.
• Hacemos una capacitación breve o un phishing simulado al menos dos veces al año.

Cuando el engaño busca que alguien haga una transferencia o cambie la cuenta de un proveedor, el riesgo ya es de fraude. Los controles para pagos y proveedores los explicamos en la guía de cómo evitar el fraude en tu empresa.

5. Dispositivos: computadoras, laptops y celulares#

Cada equipo es una puerta de entrada y también una fuente de información.

• Todas las computadoras tienen antivirus o protección de endpoint activa y actualizada.
• Los discos de las laptops están cifrados (BitLocker en Windows, FileVault en Mac).
• Los equipos se bloquean solos después de unos minutos sin uso y piden contraseña o huella.
• Los celulares con correo o datos de la empresa tienen bloqueo de pantalla y se pueden borrar a distancia si se pierden.
• La red Wi-Fi de visitas está separada de la red de trabajo.

6. Proveedores y servicios de terceros#

Tu seguridad también depende de quién tiene acceso a tus sistemas.

• Tenemos la lista de proveedores con acceso a nuestros sistemas o datos (contador, soporte técnico, desarrolladores, plataformas en la nube).
• Cada proveedor entra con su propia cuenta, con permisos limitados, y lo damos de baja al terminar el servicio.
• Los contratos incluyen cláusulas de confidencialidad y de manejo de datos personales.
• Sabemos dónde están alojados nuestros datos y quién tiene las contraseñas maestras de dominio, hosting y nube.
• Las cuentas críticas (dominio, hosting, nube) están a nombre de la empresa y no de una persona o un proveedor.

7. Sitio web, tienda en línea y sistemas propios#

Lo que publicas en internet está expuesto todo el tiempo.

• El sitio y los sistemas funcionan con HTTPS y certificados vigentes.
• El panel de administración del sitio tiene verificación en dos pasos y no usa usuarios genéricos como "admin".
• Los plugins, temas y librerías están actualizados, y quitamos los que ya no usamos.
• Revisamos la seguridad de nuestras aplicaciones y APIs antes de lanzar cambios importantes y al menos una vez al año, con revisión de código o pruebas de penetración.
• La configuración de la nube sigue buenas prácticas: sin almacenamiento público por error, accesos restringidos y alertas activadas.

8. Datos personales#

Proteger los datos de tus clientes es también una obligación legal.

• Sabemos qué datos personales recabamos, para qué los usamos y dónde se guardan.
• Tenemos un aviso de privacidad vigente y accesible.
• Los datos sensibles (salud, finanzas, identificaciones) tienen acceso restringido y cifrado.
• El personal que maneja datos personales firmó compromisos de confidencialidad.

En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, establece en su artículo 18 que todo responsable debe mantener medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales. El artículo 19 indica que las vulneraciones de seguridad que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares deben informárseles de forma inmediata. La autoridad en la materia es ahora la Secretaría Anticorrupción y Buen Gobierno. Para casos concretos, consulta con tu asesor legal.

9. Plan de respuesta a incidentes#

Saber qué hacer en la primera hora reduce el daño.

• Tenemos por escrito quién decide y a quién se llama si hay un incidente (sistemas, dirección, legal, proveedor de tecnología).
• La lista de contactos de emergencia está impresa o guardada fuera de los sistemas que podrían caer.
• Sabemos cómo aislar un equipo infectado y cómo cambiar contraseñas de forma masiva.
• Sabemos cómo restaurar desde respaldos y en qué orden levantar los sistemas.
• Hacemos un simulacro al menos una vez al año.

Qué hacer primero si tienes poco tiempo y presupuesto#

No hace falta resolver todo a la vez. Este orden da la mayor protección por cada hora invertida:

Después sigue con proveedores, sistemas propios y datos personales.

Señales de que tu empresa necesita una revisión de seguridad#

Pide una revisión externa si reconoces alguna de estas situaciones:

• Las contraseñas de dominio, hosting o nube las tiene un exempleado o un proveedor anterior.
• Nunca has probado restaurar un respaldo.
• Tu sitio, tienda o aplicación lleva meses sin actualizaciones.
• Manejas datos de clientes, pagos o identificaciones en sistemas propios.
• Ya tuviste un incidente, aunque haya sido menor.

Preguntas para hacerle a tu proveedor de tecnología#

Si alguien más administra tus sistemas, estas preguntas te dicen mucho:

1. ¿Qué cuentas tienen verificación en dos pasos y cuáles no?
2. ¿Dónde están los respaldos, cada cuánto se hacen y cuándo fue la última prueba de restauración?
3. ¿Quién tiene acceso de administrador y cómo se registra lo que hace?
4. ¿Cómo nos avisarían de un incidente y en cuánto tiempo?
5. ¿Las cuentas de dominio, hosting y nube están a nombre de nuestra empresa?

Si alguna respuesta es vaga, ese es tu siguiente pendiente.

Cómo te ayudamos en DEXMA#

En DEXMA revisamos y reforzamos la seguridad de los sistemas que tu empresa usa todos los días.

• Ciberseguridad: revisión de código y dependencias, pruebas de penetración a aplicaciones y APIs, configuración de la nube, control de accesos y protección de datos, con la corrección de los hallazgos.
• Infraestructura en la nube: servidores y ambientes con monitoreo y alertas, y respaldos con pruebas de restauración.

¿Quieres saber cómo está tu empresa frente a esta lista? Solicita una revisión de seguridad con nuestro equipo y te ayudamos a priorizar los pendientes.

Preguntas frecuentes#

¿Qué es la ciberseguridad para pymes?#

Es el conjunto de prácticas y controles que protegen la información, los equipos y los sistemas de una empresa pequeña o mediana contra accesos no autorizados, pérdida de datos, ransomware y phishing.

¿Cuáles son las medidas básicas de ciberseguridad para una pequeña empresa?#

Activar la verificación en dos pasos en correo, banca y nube; usar contraseñas únicas con un gestor; respaldar la información de forma automática con una copia separada y probada; activar las actualizaciones automáticas; capacitar al equipo contra el phishing y dar de baja los accesos de quien deja la empresa.

¿Cada cuánto debe revisar su seguridad una pyme?#

Una buena práctica es revisar esta lista completa una vez al año; usuarios, permisos y pruebas de restauración, cada trimestre, y actualizaciones, de forma continua. También conviene revisar después de un cambio importante, como lanzar un sistema nuevo o cambiar de proveedor.

¿Qué hacer si mi empresa sufre un ciberataque?#

Aísla los equipos afectados de la red, cambia las contraseñas de las cuentas comprometidas, conserva la evidencia sin modificarla y avisa a tu proveedor de tecnología y a tu banco si hay cuentas financieras involucradas. Después, restaura desde respaldos limpios, evalúa si hubo datos personales afectados para informar a los titulares y corrige la causa para que no se repita.

¿La ley mexicana obliga a las pymes a proteger los datos personales?#

Sí. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025, aplica a los particulares que tratan datos personales sin importar su tamaño, y les pide mantener medidas de seguridad administrativas, técnicas y físicas e informar de inmediato a las personas titulares sobre vulneraciones que afecten significativamente sus derechos.