Ciberseguridad básica: ocho medidas por orden de impacto, y quién las mantiene
Ocho medidas que cierran las vías de entrada más usadas, ordenadas por impacto, con un reparto claro de quién mantiene cada una.
En este tema: Tecnología y datos 18
La ciberseguridad básica no tiene nada de espectacular, y precisamente por eso se aplaza. En España, solo el 30,65% de las empresas de 10 o más empleados usaba en 2024 una autenticación con dos o más mecanismos, frente al 39,84% en el conjunto de la UE (fuente: Eurostat, junio de 2026). Ese mismo año, el balance de INCIBE, el Instituto Nacional de Ciberseguridad de España, recogió 97.348 incidentes de ciberseguridad, que afectaron a 65.808 ciudadanos y a 31.540 empresas españolas (fuente: INCIBE, marzo de 2025). Las vías de entrada que más usan los atacantes son conocidas, y también las medidas que las cierran.
Los marcos oficiales coinciden en lo esencial, del NIST estadounidense a INCIBE y el Esquema Nacional de Seguridad. Esta guía ordena ocho medidas por impacto y explica cuándo está hecha cada una y quién la mantiene.
Empiece por la autenticación multifactor, las actualizaciones a tiempo y una copia de seguridad fuera del alcance del atacante. Después limite los derechos de administrador, configure los equipos con un inventario, proteja contra el malware, facilite avisar del phishing y prepare un plan de incidentes con registros. La dirección es dueña de la base, el personal la aplica y el proveedor de TI la opera y lo demuestra.
- Cuentas
- Actualizaciones
- Copias
- Responsables
Cómo entran los ataques y en qué coinciden los marcos oficiales
Los atacantes buscan la entrada más barata: una contraseña que todavía funciona, un fallo que nadie corrigió, una persona que hace clic o que paga.
Una vez dentro, buscan derechos de administrador, que permiten desactivar la protección y llegar a todos los archivos. Ninguna medida aislada lo frena todo: el NCSC, la agencia de ciberseguridad del Reino Unido, advierte que parte del phishing siempre pasa (fuente: NCSC del Reino Unido, febrero de 2024). Por eso la defensa se organiza en capas.
Cada capa detiene una parte de los intentos. La última es la recuperación: una copia que el atacante no pudo tocar y un plan para las primeras horas.
| Marco | Origen | Qué cubre |
|---|---|---|
| Marco de Seguridad Cibernética (CSF) del NIST | Estados Unidos, con traducción oficial al español | Seis funciones (Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar) para organizaciones de todos los tamaños y sectores; describe resultados, no cómo lograrlos (fuente: NIST, febrero de 2024). |
| Políticas de seguridad para la pyme | INCIBE, España | Políticas por temas, como las copias de seguridad, con controles básicos y avanzados sobre procesos, tecnología y personas (fuente: INCIBE, noviembre de 2026). |
| Esquema Nacional de Seguridad (ENS) | España, sector público y sus proveedores | Obligatorio también para las empresas privadas que prestan servicios o proveen soluciones al sector público; categoría media o alta, auditoría de certificación; básica, autoevaluación (fuente: BOE, mayo de 2022). |
Las ocho medidas básicas por orden de impacto: de la uno a la cuatro
El orden es nuestro criterio: primero, lo que cierra las vías más usadas con menos esfuerzo.
La MFA y la limitación de los derechos de administrador están arriba a la izquierda: mucho impacto, poco esfuerzo. Las actualizaciones y las copias importan lo mismo, pero exigen más organización.
Las cuatro de abajo limitan el daño cuando algo se cuela.
- 1Autenticación multifactor en todo acceso desde internetCon la autenticación multifactorAutenticación multifactor (MFA)Iniciar sesión con una segunda prueba aparte de la contraseña: un aviso en una aplicación, un código o una llave de seguridad., una contraseña robada ya no abre la cuenta. Empiece por el correo, la nube, el acceso remoto y los portales de administración. La CISA, la agencia de ciberseguridad de Estados Unidos, recuerda que cualquier MFA es mejor que ninguna y que, entre los métodos ampliamente disponibles, solo la autenticación FIDO, como las llaves de accesoLlave de acceso (passkey)Sustituye la contraseña por una credencial criptográfica guardada en el teléfono o la computadora, que se libera con la huella, la cara o un PIN. Solo funciona en el sitio auténtico, así que una página falsa no obtiene nada. y las llaves de seguridad físicas, resiste el phishing (fuente: CISA, noviembre de 2026).
- 2Actualizaciones críticas en días, no en meses, y nada de software sin soporteUna actualización, o parche, cierra un fallo conocido. Active las actualizaciones automáticas y dé una rutina propia a los cortafuegos (firewalls), routers y pasarelas VPN, expuestos directamente a internet. Fije un plazo para las críticas; proponemos un máximo de dos semanas. El software sin soporte se sustituye o se aísla de internet. INCIBE incluye tener todo el software actualizado entre sus recomendaciones contra el ransomware (fuente: INCIBE, noviembre de 2026).
- 3Una copia de seguridad que el atacante no alcance, y una restauración probadaEl ransomwareRansomwareSoftware malicioso que cifra archivos o sistemas y exige un pago, el rescate, para devolver el acceso. inutiliza las copias que alcanza. El NCSC del Reino Unido aconseja copias desconectadas y separadas, a ser posible fuera de la oficina (fuente: NCSC del Reino Unido, septiembre de 2021), y tras un ataque, suponer que también pueden estar comprometidas (fuente: NCSC del Reino Unido, octubre de 2026). INCIBE pide al menos una copia completa fuera de la organización, pruebas de restauración periódicas y responsables con nombre (fuente: INCIBE, noviembre de 2026). Copiar ya es habitual: en 2024 lo hacía en una ubicación separada el 80,10% de las empresas españolas de 10 o más empleados (fuente: Eurostat, junio de 2026). La cuestión es si el atacante alcanza esa copia y si alguien ha probado a restaurarla.
- 4Derechos de administrador solo para tareas de administraciónCon derechos de administrador se instala software y se desactiva la protección; por eso los atacantes los buscan. El personal trabaja sin ellos, los administradores usan una cuenta aparte solo para administrar, nunca para el correo o la navegación, y las cuentas de quien se va se desactivan su último día. La agencia australiana ASD incluye restringir los privilegios de administración entre sus Essential Eight, ocho estrategias de mitigación (fuente: ASD, noviembre de 2026).
Medidas cinco a ocho: configuración, protección contra malware, phishing y plan de incidentes
Estas cuatro limitan lo que un atacante puede hacer una vez dentro, y hacen que usted lo detecte y reaccione.
- 5Configuración segura, a partir de un inventario completoElimine el software y las cuentas que no se usan, cambie las contraseñas de fábrica y desactive la ejecución automática de archivos. Eso solo funciona en los equipos que usted conoce: mantenga una lista de equipos, dispositivos de red y servicios en la nube, cada uno con un responsable, y revísela cada mes.
- 6Protección contra malware, idealmente con detección y respuestaCada equipo necesita un antimalware cuyas alertas lleguen a alguien que actúe; el EDREDRDetección y respuesta en los equipos: software que vigila equipos portátiles y servidores, señala lo sospechoso y permite aislar un equipo a distancia. Alguien tiene que atender sus alertas. va más allá. INCIBE contabilizó 42.136 incidentes relacionados con malware en 2024 (fuente: INCIBE, marzo de 2025), y ese año solo el 34,23% de las empresas españolas de 10 o más empleados vigilaba la actividad sospechosa con algo más que el antivirus y el cortafuegos de serie, frente al 45,08% en la UE (fuente: Eurostat, junio de 2026).
- 7Concienciación sobre phishing, con una forma fácil de avisarEl phishing es un mensaje falso que busca que alguien haga clic, inicie sesión o pague; INCIBE registró 21.571 casos en 2024 (fuente: INCIBE, marzo de 2025). Según el NCSC del Reino Unido, ninguna formación enseña a detectar todos los intentos y culpar a quien hace clic no funciona; hace falta una forma eficaz de avisar (fuente: NCSC del Reino Unido, febrero de 2024). Añada un botón de aviso, agradezca cada aviso, también tras un clic, y confirme por teléfono, a un número conocido, cualquier cambio de datos bancarios.
- 8Un plan de incidentes, respaldado por registrosAnote quién decide, a quién se llama y qué sistemas vuelven primero; imprímalo y ensáyelo al menos una vez al año. En 2024 solo el 30,72% de las empresas españolas de 10 o más empleados tenía documentadas sus medidas de seguridad TIC (fuente: Eurostat, junio de 2026). Los registrosRegistros (logs)Anotaciones automáticas de lo que pasa en un sistema, como los inicios de sesión y los cambios de configuración. Permiten reconstruir un incidente. muestran quién inició sesión y qué cambió; el NCSC del Reino Unido aconseja guardar los importantes al menos seis meses, protegidos contra manipulaciones, porque un incidente puede tardar meses en detectarse (fuente: NCSC del Reino Unido, mayo de 2021).
Las primeras horas de un ataque se explican en qué hacer ante un ataque de ransomware.
Cuándo está hecha cada medida
Una medida está hecha cuando cubre todas las cuentas y equipos y alguien puede demostrarlo. Pida a su proveedor de TI evidencias, no tranquilidad.
| Medida | Hecha cuando | Evidencia |
|---|---|---|
| Autenticación multifactor | Activa en toda cuenta accesible desde internet; los administradores usan llaves de acceso o de seguridad | Una lista vacía de cuentas sin MFA |
| Actualizaciones | Críticas dentro del plazo acordado; nada sin soporte | Informe mensual, con fecha de fin para cada excepción |
| Copias de seguridad | Una copia desconectada o inmutable; restauración probada | Fecha y resultado de la última prueba |
| Derechos de administrador | Nadie los usa a diario; bajas desactivadas a tiempo | Lista de cuentas de administrador, cada una con su titular |
| Configuración e inventario | Sin contraseñas por defecto ni cuentas sin uso; todo inventariado | El inventario, con responsables y fecha de revisión |
| Protección contra malware | En todos los equipos, alertas atendidas | Informe de cobertura y nombre de quien atiende las alertas |
| Avisos de phishing | Botón de aviso y confirmación telefónica de datos bancarios | Avisos por mes; la regla en el procedimiento de pagos |
| Plan de incidentes y registros | Ensayado en el último año; registros guardados durante meses | Fecha del último ejercicio y periodo de conservación |
Quién mantiene la base: dirección, personal y proveedor de TI
Sin dueño, las medidas se deterioran. Al cabo de un año, la MFA está desactivada "temporalmente" en dos cuentas y nadie ha probado una restauración.
El Marco del NIST empieza por Gobernar: el liderazgo de la organización es responsable de los riesgos de ciberseguridad (fuente: NIST, febrero de 2024). En la UE, NIS2 añade la responsabilidad de quienes ocupan puestos de alta dirección (fuente: Comisión Europea, junio de 2023), y el ENS exige que el responsable de la seguridad sea distinto del responsable del sistema, sin dependencia jerárquica (fuente: BOE, mayo de 2022): quien opera no se revisa a sí mismo. Aun así, solo el 25,66% de las empresas españolas de 10 o más empleados evaluó sus riesgos TIC en 2024 (fuente: Eurostat, junio de 2026).
Dirección
Nombra a un responsable con presupuesto y autoridad, decide qué riesgos acepta, aprueba una política breve y revisa las evidencias cada año. En un grupo puede ser el director de seguridad de la información; en una empresa de treinta personas, el director general o gerente.
Personal
Usa la MFA y un gestor de contraseñas, avisa pronto de los mensajes sospechosos, también después de un clic equivocado, y confirma por teléfono los cambios de pago. La dirección da ejemplo.
Proveedor de TI
Opera actualizaciones, configuración, antimalware, copias y registros según lo acordado, y entrega evidencias cada mes. Sus cuentas de administración son personales, con MFA y visibles para usted.
En América Latina y el Caribe, el informe de ciberseguridad 2025 del BID y la OEA, que evalúa 30 países, observa más madurez que en 2020, pero brechas persistentes en recursos, formación de profesionales y coordinación entre sectores (fuente: BID, diciembre de 2025). Razón de más para fijar por escrito qué opera el proveedor.
El proveedor de TI opera las medidas; la dirección es dueña del riesgo.
Un proveedor con acceso de administrador a todos sus sistemas es un objetivo atractivo. Acuerde en el contrato cómo protege sus cuentas, que le avise de inmediato de cualquier incidente y que usted pueda retirarle el acceso; más en elegir proveedor de TI.
Cuando clientes, aseguradoras o reguladores piden más
La base es el suelo, no el techo.
Un cliente puede enviarle un cuestionario de seguridad o pedirle una certificación; si presta servicios al sector público español, el ENS le exigirá una autoevaluación o una auditoría, según la categoría del sistema (fuente: BOE, mayo de 2022). Responda con exactitud a su aseguradora: lo que declare sobre MFA, copias y actualizaciones debe existir.
En la UE, la Directiva NIS2 obliga, por regla general, a las entidades medianas y grandes de dieciocho sectores críticos a gestionar el riesgo y a notificar los incidentes significativos (fuente: Comisión Europea, julio de 2026). A noviembre de 2026, España no había completado su transposición, e INCIBE indica que las autoridades competentes de cada sector se conocerán con la ley española (fuente: INCIBE, noviembre de 2026). En Chile, la Ley Marco de Ciberseguridad obliga a los prestadores de servicios esenciales y a los operadores de importancia vital a reportar al equipo nacional de respuesta (CSIRT Nacional) los incidentes con efectos significativos (fuente: Diario Oficial de Chile, abril de 2024). Compruebe las reglas del país donde opera.
Para gestionar la seguridad como un programa, use el Marco del NIST empezando por Gobernar. Para las preguntas de clientes, vea cuestionarios de seguridad; todas las guías están en Tecnología y datos.
¿Hasta qué punto es sólida su ciberseguridad básica?
Ocho afirmaciones de esta guía. Respóndalas para su organización y vea por dónde empezar.
- 1Todas las cuentas accesibles desde internet entran con MFA, incluidos el correo, el acceso remoto y los portales de administración.
- 2Las actualizaciones críticas se instalan en un máximo de dos semanas y no se usa software sin soporte.
- 3Al menos una copia de seguridad no se puede modificar desde la red, y este año se ha probado una restauración.
- 4Nadie usa una cuenta con derechos de administrador para el correo o el trabajo diario.
- 5El personal puede avisar de un correo sospechoso con un clic, y los cambios de datos bancarios se confirman siempre por teléfono.
- 6Hay un plan de incidentes impreso y ensayado en el último año, y los registros importantes se guardan al menos seis meses.
- 7El proveedor de TI entrega evidencias de cada medida, en lugar de asegurar que todo va bien.
- 8Una persona concreta de la dirección es responsable de la ciberseguridad y la revisa al menos una vez al año.
Guías relacionadas
Diagnóstico de las ocho medidas, regla de puntuación y plan de noventa días
A continuación encontrará un diagnóstico con tres preguntas por medida, una regla de puntuación que da prioridad a las cuatro primeras y un plan de noventa días con responsable y evidencia para cada paso.
Preguntas frecuentes
¿Qué diferencia hay entre la verificación en dos pasos y la autenticación multifactor?
¿Los datos en la nube están protegidos por defecto?
¿Un ciberseguro sustituye estas medidas?
¿Necesitamos un responsable de seguridad dedicado?
- Eurostat: ICT security in enterprises (diciembre de 2024)
- INCIBE: Balance de ciberseguridad 2024, infografía (marzo de 2025)
- INCIBE: Políticas de seguridad para la pyme, copias de seguridad (noviembre de 2026)
- NIST: El Marco de Seguridad Cibernética (CSF) 2.0 del NIST, traducción oficial (febrero de 2024)
- BOE: Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad (mayo de 2022)
- BID: 2025 Cybersecurity Report, Latin America and the Caribbean (diciembre de 2025)