Un lunes a las ocho, la recepcionista de una distribuidora en Cuenca abre un correo titulado "factura vencida" con el logotipo de un proveedor real. El adjunto no muestra nada. A las once, nadie encuentra los archivos compartidos. Así empiezan muchos incidentes, y casi todos se habrían frenado con nociones básicas de seguridad informática.
Las nociones básicas de seguridad informática no exigen un ingeniero en plantilla ni un presupuesto de banco. Exigen entender un puñado de conceptos y convertirlos en hábitos: quién tiene acceso a qué, qué se actualiza y cuándo, dónde están las copias y qué se hace cuando algo falla. Aquí van en el orden en que una empresa pequeña los necesita.
Nociones básicas de seguridad informática: cuatro conceptos que ordenan todo
El primer concepto es el activo: todo lo que tiene valor para la empresa y puede sufrir daño. Activos son el servidor de facturación, pero también la base de clientes, la cuenta de correo del gerente, el portátil del vendedor y la reputación ante un banco. Sin una lista de activos, cualquier decisión de seguridad es una apuesta a ciegas.
La amenaza es lo que puede causar el daño: un grupo de delincuentes, un empleado que se equivoca, un corte eléctrico o un proveedor descuidado. La vulnerabilidad es la debilidad concreta que la amenaza aprovecha, como un programa sin actualizar o un enrutador con la clave de fábrica. Las amenazas casi no se controlan; las vulnerabilidades sí.
El riesgo junta todo lo anterior: la probabilidad de que una amenaza explote una vulnerabilidad multiplicada por el impacto que tendría sobre un activo. No todos los riesgos merecen el mismo esfuerzo. Perder la base de clientes es grave; que se caiga la impresora del pasillo, no tanto. Priorizar es precisamente para lo que sirven estos conceptos.
La ley ecuatoriana usa el mismo lenguaje. El artículo 40 de la Ley Orgánica de Protección de Datos Personales exige una metodología de análisis de riesgos, amenazas y vulnerabilidades que considere las particularidades del tratamiento, las partes involucradas y el volumen de datos. Un inventario simple de activos ya es el primer paso.
Un apunte que pocos manuales dicen en voz alta: la seguridad total no existe y perseguirla es una forma elegante de no hacer nada. Algunas empresas aceptan conscientemente ciertos riesgos porque protegerse cuesta más que el daño posible. Eso es gestión, no descuido, siempre que la decisión quede escrita y la tome quien responde por el negocio.
Confidencialidad, integridad y disponibilidad: los conceptos de base
Las tres propiedades clásicas de la información segura se conocen por sus iniciales en inglés, CIA. El Esquema Nacional de Seguridad de España las define así: confidencialidad es que la información no se revele a quien no está autorizado; integridad, que no haya sido alterada sin autorización; disponibilidad, que quien está autorizado acceda cuando lo requiere.
Cada incidente golpea a una o varias de esas propiedades. Una filtración de datos rompe la confidencialidad. Un cambio de número de cuenta en una factura, el clásico fraude al pagador, rompe la integridad. Un ransomware rompe la disponibilidad y, si antes robó los archivos, también la confidencialidad. Pensar así ayuda a elegir medidas: cifrado, firmas, redundancia.
El mismo esquema español añade dos dimensiones que conviene conocer. La autenticidad garantiza que una entidad es quien dice ser, y la trazabilidad permite atribuir cada acción a la persona o proceso que la hizo. En la práctica se traducen en cuentas individuales, nunca compartidas, y en registros que se conservan el tiempo suficiente para investigar.
Privilegio mínimo y gestión de cuentas en empresas
El principio de privilegio mínimo es fácil de enunciar y difícil de mantener: cada cuenta tiene solo los permisos que necesita, y solo mientras los necesita. En una empresa de quince personas suele ocurrir lo contrario, porque dar acceso a todo es más rápido. El problema aparece cuando una sola cuenta cae en manos equivocadas.
La regla más rentable es que nadie trabaje a diario con una cuenta de administrador. Si un adjunto malicioso se ejecuta en una sesión normal, el daño queda limitado; como administrador, puede instalar lo que quiera. La segunda regla es dar de baja las cuentas el día en que alguien deja la empresa, también en la nube.
Las contraseñas merecen una corrección de hábitos antiguos. La versión 4 de la guía NIST SP 800-63B establece que no se debe obligar a cambiarlas periódicamente. Lo útil es exigir claves largas, bloquear las que ya aparecen en filtraciones y añadir autenticación multifactor. Un gestor de contraseñas resuelve casi todo lo demás.
Parches y actualizaciones: la vulnerabilidad más barata de cerrar
La mayoría de los ataques no usa técnicas sofisticadas, sino fallos ya corregidos que nadie instaló. Según Verizon, en su informe de 2026 la explotación de vulnerabilidades pasó a ser el primer vector inicial, con el 31 % de las brechas, y solo el 26 % de las vulnerabilidades críticas se corrigió por completo.
El caso ecuatoriano más elocuente lo dio Kaspersky: de los 212.000 intentos de ransomware que bloqueó en el país entre enero y agosto de 2023, unos 139.000 correspondieron a WannaCry, un programa de 2017 que solo funciona contra equipos Windows sin un parche publicado ese mismo año. Seis años sin actualizar es una invitación abierta.
La práctica recomendable es activar las actualizaciones automáticas en computadoras, celulares y navegadores, y tratar aparte los equipos expuestos a internet, como cortafuegos, VPN y servidores publicados, cuyos parches críticos deben aplicarse en días. Para eso hace falta saber qué equipos existen, lo que devuelve la conversación al inventario de activos.
Copias de seguridad que realmente sirven
Una copia de seguridad que nunca se ha restaurado es una esperanza, no un control. La guía de CISA contra el ransomware insiste en mantener copias cifradas y desconectadas de los datos críticos, y en probar con regularidad que se pueden recuperar. Los atacantes buscan y borran las copias que encuentran conectadas a la red antes de cifrar.
Para una empresa pequeña, un esquema razonable combina una copia automática diaria en la nube, con versiones, y una copia semanal en un disco que se desconecta y se guarda fuera de la oficina. La guía de copias de seguridad para empresas explica la regla 3-2-1 y su variante con copia inmutable.
Las copias no sirven solo contra el ransomware. También rescatan a la empresa de un disco que muere o de una carpeta borrada por error. Por eso conviene decidir qué se copia según el inventario de activos: la contabilidad y la base de clientes primero, las fotos de la fiesta de fin de año al final.
Concienciación del personal: formar sin aburrir
El informe de Verizon de 2026 recuerda que la participación de terceros en las brechas subió hasta el 48 %, y muchas de esas entradas empiezan con un correo o una llamada convincente. La formación del personal no busca convertir a nadie en experto, sino que reconozca señales concretas: urgencia artificial, remitentes parecidos, cambios de cuenta bancaria por correo.
Funciona mejor una sesión de diez minutos al mes con ejemplos reales que un curso anual de dos horas. Y funciona mejor premiar a quien reporta un correo sospechoso que castigar a quien hizo clic, porque el miedo produce silencio. La guía sobre cómo reconocer un correo de phishing sirve como material de base para esas sesiones.
Los ejemplos locales sirven más que los extranjeros. El SRI advirtió en noviembre de 2025 sobre correos falsos con su logotipo, mensajes de texto con enlaces a páginas fraudulentas y llamadas para registrar cuentas bancarias con la excusa de una supuesta devolución de impuestos. Enseñar esos casos concretos, con capturas reales, prepara mejor que cualquier explicación abstracta.
Respuesta a incidentes: qué hacer cuando algo pasa
Todo empleado debe saber a quién avisar y qué no hacer. La regla mínima: ante algo raro, avisar enseguida, no apagar el equipo ni borrar nada, y desconectarlo de la red si así lo indica el procedimiento. Ese procedimiento debe estar impreso, con nombres y teléfonos, porque durante un ataque la red y el correo pueden no funcionar.
Fuera de la empresa también hay a quién acudir. En Ecuador, EcuCERT publica alertas sobre amenazas activas y coordina la respuesta a incidentes, y los delitos se denuncian ante la Fiscalía General del Estado. En España, la línea 017 de INCIBE atiende gratis y de forma confidencial de ocho de la mañana a once de la noche.
Si el incidente afectó datos personales, el reloj legal empieza a correr. La ley ecuatoriana de protección de datos da al responsable un término de cinco días para notificar a la autoridad desde que tiene constancia de la vulneración. Los detalles están en la guía de la Ley de Protección de Datos Personales de Ecuador.
Nociones básicas de seguridad informática en una política de diez puntos
Los conceptos anteriores caben en una política inicial de dos páginas, aprobada por la gerencia y revisada una vez al año. La lista siguiente está pensada para una empresa de cinco a cincuenta personas y se basa en el grupo de salvaguardas IG1 de CIS Controls v8.1, que reúne 56 medidas de higiene básica.
- Existe un inventario actualizado de equipos, cuentas, servicios en la nube y datos personales.
- Cada persona usa una cuenta individual; no hay cuentas compartidas.
- Nadie trabaja a diario con privilegios de administrador.
- Correo, VPN y servicios en la nube exigen autenticación multifactor.
- Las actualizaciones automáticas están activadas; los equipos expuestos a internet se parchean en días.
- Hay copias diarias, una de ellas desconectada o inmutable, y se prueba una restauración cada trimestre.
- Las cuentas de quien deja la empresa se desactivan el mismo día.
- Los cambios de datos bancarios de proveedores se confirman por teléfono a un número ya conocido.
- El personal recibe formación breve cada mes y sabe a quién reportar.
- Existe un procedimiento impreso de respuesta a incidentes con responsables y teléfonos.
El punto ocho parece fuera de lugar en una lista técnica, pero es el que más dinero ahorra en empresas pequeñas. El fraude del cambio de cuenta no necesita ningún programa malicioso: basta un correo bien redactado desde un buzón comprometido del proveedor. Una llamada de dos minutos al número de siempre lo desactiva por completo.
Cuando esta política lleve unos meses funcionando, toca contrastarla con una revisión externa que confirme si las reglas se cumplen en la práctica. La guía de auditoría de seguridad informática explica qué tipos existen y cómo preparar la empresa, y la página de seguridad informática amplía los conceptos para quien quiera profundizar.