Al entrar: escribir qué se le abre
La misma lista de la pregunta 3, pero por persona. Toma dos minutos en el momento en que se hace, y es imposible de reconstruir después.
Una hoja, no un manual
Llevas siete lecciones de conceptos. Esta es la que los convierte en algo tuyo, y el formato importa: una hoja. Las políticas de seguridad de veinte páginas se descargan, se guardan y no se leen nunca; media hoja completada de verdad protege más que veinte en blanco.
Ábrelo donde escribas y ve respondiendo. Al final tendrás el documento que se entrega a quien entra a trabajar y se revisa una vez al año.
Las seis preguntas del plan mínimo
1. ¿Qué es lo que no podemos perder?
Nómbralo concreto: la base de facturación, la carpeta de contratos, el inventario, las fotos de los productos. Tres o cuatro cosas, no veinte.
Todo lo demás del plan se ordena por esta lista. Si no está aquí, no es prioridad.
2. ¿Dónde está la copia, y cuándo se restauró por última vez?
Escribe las dos cosas: dónde, y la fecha en que alguien restauró algo y comprobó que abría.
Si esa fecha no existe, esa es la primera tarea de la semana. Sin ella, tienes una suposición.
3. ¿Quién tiene acceso a qué?
Una tabla corta: persona, a qué sistemas entra, con qué nivel. Casi siempre aparece que hay gente con acceso a cosas que no necesita, y algún acceso a nombre de alguien que ya no trabaja aquí.
4. ¿Qué cuentas llevan segundo factor?
Empieza por el correo. Anota cuáles ya lo tienen y cuáles faltan, y dónde están guardados los códigos de recuperación.
5. ¿Quién actualiza qué, y cuándo?
Con nombre y día. Equipos, la página web y sus complementos, el router. «Todos, cuando puedan» significa nadie.
6. ¿A quién llamamos si pasa algo?
Teléfono de quien lleva los sistemas, del banco, del proveedor de internet. Impreso: el día del ransomware puede que no tengas acceso al computador donde guardaste la lista.
Las dos respuestas que más suelen doler son la 2 y la 3: casi nadie sabe cuándo se restauró por última vez, y casi todo el mundo descubre un acceso vivo de alguien que se fue. Si solo arreglas esas dos, la tarde valió la pena.
Las cuentas que se van con la persona
Este punto merece su propia atención porque en una empresa pequeña no lo lleva nadie. Cuando alguien entra se le abren accesos, con toda naturalidad. Cuando se va, se le pide el computador... y las cuentas quedan.
El correo, el sistema de facturación, las redes sociales del negocio, el acceso al servidor, el grupo de WhatsApp con clientes. Meses después nadie recuerda que existían, y siguen abiertos.
Al salir: cerrar en el mismo día
Recorrer esa lista y cerrar todo. No solo el correo: también los accesos compartidos y las claves que esa persona conocía.
Lo que nadie cambia: las claves compartidas
La del wifi, la del router, la de la cuenta que usan todos. Si se fue alguien que las sabía, se cambian.
Es también la razón para reducir cuántas cuentas son «de todos».
El repaso completo, en una pantalla
Todo lo que vimos, en el orden en que conviene atacarlo.
Empareja cada medida con el problema que resuelve
Arrastra cada medida a su casilla, o toca una y luego su espacio.
- Cierra la primera vía de entrada: el 31% de los casos empieza por una falla ya corregida que nadie instaló.
- Evita que la fuga de un sitio cualquiera abra el correo del trabajo.
- Impide entrar aunque la contraseña se haya filtrado, y protege la cuenta que recupera todas las demás.
- Desmonta el fraude del proveedor que anuncia por correo un cambio de cuenta bancaria.
- Sobrevive al ransomware, que cifra todo lo que alcanza desde el equipo infectado.
- Cumple el deber legal de informar cuando el incidente afecta datos personales.
Si de todo el curso solo pudieras hacer tres cosas: activa el segundo factor en el correo, comprueba que una copia restaura de verdad, y escribe la norma de llamar antes de pagar un cambio de cuenta bancaria. Cubren la mayor parte de lo que le pasa a una empresa pequeña.
Compruébalo tú mismo
De estas cuatro tareas, ¿cuál conviene hacer primero?
Son las dos que cambian el desenlace real y caben en una tarde. La política larga puede venir después; lo habitual es que se empiece por ahí y no se termine nunca.
¿Por qué la lista de teléfonos de emergencia debe estar impresa?
Es justo el escenario del ransomware: los archivos cifrados incluyen el documento donde estaban los contactos. Un plan que solo existe dentro del sistema afectado no sirve.
Un empleado deja la empresa. Además de recuperar el equipo, ¿qué es lo que más se olvida?
Las cuentas sobreviven a la persona porque nadie llevaba la lista de lo que se le abrió al entrar. Por eso esa lista se escribe en el momento de crearlas, no después.
Hasta aquí el curso
Empezamos desmontando la imagen del ataque como hazaña técnica y terminamos con una hoja escrita. Entre medias no hubo nada que exigiera saber de sistemas: contraseñas largas y distintas, un segundo factor, la costumbre de verificar por otro canal, actualizar sin aplazar, una copia que se probó y saber a quién avisar.
Eso es lo que saca a un negocio de la lista fácil, que es de lo que se trataba.
Si quieres el certificado, la evaluación está en el aula virtual: son preguntas sobre estas ocho lecciones y se aprueba con 70. Ahí sí hace falta registrarse, porque el certificado va a tu nombre.
Terminaste Seguridad digital. Presenta la evaluación y reclama tu certificado.
Quiero mi certificado ← La ley en Colombia