El panorama, sin alarmismo
Los ataques que afectan a empresas medianas mexicanas se concentran en tres categorías: fraude por suplantación de correo corporativo, ransomware que entra por credenciales robadas o accesos remotos expuestos, y filtración de datos por configuraciones incorrectas en servicios en la nube.
Ninguna de las tres requiere un atacante avanzado. Todas se previenen en su mayor parte con controles conocidos y de costo moderado.
El orden correcto de prioridades
Con presupuesto limitado y sin equipo dedicado, este es el orden que más riesgo elimina por peso invertido:
- Autenticación multifactor en todo. Correo, VPN, acceso a nube y sistemas administrativos. Es la medida individual que corta más ataques reales, y suele estar incluida en licencias que la empresa ya paga.
- Respaldos probados y aislados. Un respaldo que nunca se restauró no es un respaldo. Debe estar fuera del alcance de las mismas credenciales que administran los sistemas.
- Gestión de accesos. Revisar quién tiene acceso a qué, remover cuentas de personas que salieron y eliminar permisos de administrador que nadie usa. Es gratis y casi nunca se hace.
- Actualizaciones al día. Sistemas operativos, servidores y aplicaciones expuestas a internet.
- Capacitación contra phishing. Breve, periódica y con simulaciones. El correo sigue siendo la puerta de entrada dominante.
Antes de comprar herramientasLa mayoría de las empresas medianas que sufren un incidente tenían presupuesto de seguridad; lo tenían invertido en productos sin nadie que los operara. Una herramienta sin dueño es un gasto, no un control.
El fraude que más dinero cuesta
El compromiso de correo corporativo —un atacante que se hace pasar por un directivo o un proveedor para desviar una transferencia— genera pérdidas mayores que el ransomware en muchas empresas, y no requiere malware.
La defensa es tan procedimental como técnica: verificación por un segundo canal para cualquier cambio de datos bancarios de un proveedor, doble autorización para transferencias por encima de un monto, y configuración correcta de los registros de autenticación de correo (SPF, DKIM y DMARC) para que nadie pueda enviar mensajes suplantando tu dominio.
Lo que ya te van a exigir tus clientes
Si vendes a corporativos, bancos o empresas de salud, la seguridad dejó de ser un tema interno y se volvió parte del proceso de compra. Espera cuestionarios sobre manejo de datos, políticas de acceso, plan de respuesta a incidentes y, cada vez más, certificaciones formales.
Tener esas respuestas documentadas antes de la primera junta acorta el ciclo de venta de forma tangible. Improvisarlas lo alarga semanas.
Cumplimiento y datos personales
La normativa mexicana de protección de datos exige medidas de seguridad razonables y notificación de vulneraciones que afecten significativamente los derechos de los titulares. Más allá de la multa, el costo real de un incidente mal manejado es reputacional y contractual: los clientes corporativos suelen tener cláusulas que se activan con una filtración.
Un plan de 90 días razonable
- Días 1–30: inventario de sistemas y accesos, activación de MFA, revisión de cuentas con privilegios.
- Días 31–60: respaldos aislados y prueba de restauración; configuración de SPF, DKIM y DMARC; parcheo de lo expuesto a internet.
- Días 61–90: plan escrito de respuesta a incidentes, capacitación contra phishing y definición de quién es responsable de seguridad, aunque sea a tiempo parcial.
No es una estrategia completa de seguridad. Es lo que evita la mayoría de los incidentes que efectivamente ocurren.