Ciberseguridad para pymes
Cómo hacer un plan de continuidad de negocio en tu pyme en 8 pasos, con un ejemplo en una hoja y la lista del INCIBE. Sin tecnicismos y en una tarde.
Un lunes a las nueve, el servidor de la oficina no arranca. O los ordenadores amanecen con los archivos cifrados. O, sin nada de informática de por medio, una tubería revienta encima del armario de los equipos.
La primera pregunta que te haces no es técnica. Es esta: ¿cuánto tiempo puedo aguantar así?
Un plan de continuidad de negocio sirve para tener esa respuesta preparada antes de que haga falta. Y no tiene que ser un documento de 200 páginas. En una pyme cabe en unas pocas hojas que todo el equipo entiende.
Te explicamos cómo hacerlo en una tarde, con un ejemplo que puedes copiar.
En este artículo
Un plan de continuidad de negocio (PCN) es un documento que dice qué haces para seguir trabajando cuando algo importante falla y cómo vuelves a la normalidad. El INCIBE lo resume así en su política para pymes: diseñar y probar un plan que te permita recuperar «en un plazo razonable» la operativa habitual de tu empresa.
Piensa en el plan de evacuación de un edificio. Nadie espera un incendio. Pero todo el mundo sabe por qué escalera se baja y dónde se queda. Con eso, un susto no se convierte en un caos.
El plan de continuidad es lo mismo, aplicado a tu negocio. Si quieres la definición corta, la tienes en nuestro diccionario: continuidad de negocio.
No hay una ley que obligue a todas las pymes a tener un plan de continuidad. Algunas empresas sí tienen que tenerlo, por su sector o por su tamaño. Por ejemplo, las que entran en la directiva NIS2, que incluye la continuidad entre sus medidas. Si no sabes si es tu caso, te lo contamos en NIS2: qué es y si afecta a tu pyme.
Para el resto, es una cuestión de sentido común. El INCIBE lo explica sin rodeos: es imposible garantizar la seguridad total, así que conviene estar preparado por si algo paraliza tu actividad.
Hay tres señales de que te hace falta ya:
Si te has visto en alguna, sigue leyendo. Lo bueno es que el plan de una pyme se hace con papel, boli y las personas que ya conoces.
¿Sabes cuánto tiempo aguantaría tu empresa sin ordenadores?
En el diagnóstico gratuito revisamos contigo qué es crítico en tu negocio, cómo están tus copias y qué falta para que un susto no te pare la semana.
El INCIBE publica una lista de comprobación para pymes con ocho controles. La puedes descargar gratis: Políticas de seguridad para la pyme: continuidad de negocio. Aquí la tienes traducida a lo práctico, en el orden en que te recomendamos hacerla.
Haz una lista corta de lo que hace funcionar tu negocio. No todo, solo lo que te para si falla. Normalmente son cinco o seis cosas: el correo, el programa de facturación, los archivos de clientes, la web o la tienda online, los teléfonos y el TPV.
Un plan sin responsable no se activa. Decide quién toma las decisiones el día del problema, quién le sustituye si no está y quién llama al proveedor informático. Apunta sus teléfonos en papel, no solo en el móvil.
Este es el corazón del plan. El INCIBE lo llama análisis de impacto en el negocio (en inglés, BIA). Para cada cosa de tu lista, contesta cuatro preguntas:
Es como preguntarte qué pasa si se va la luz en la tienda. Sin caja registradora, aguantas una hora apuntando a mano. Sin nevera, quizá dos.
Con esas respuestas, decides cómo seguir trabajando. Aquí entran las copias de seguridad: qué se copia, dónde, cada cuánto y quién comprueba que se pueden recuperar. También un portátil de repuesto, una impresora de reserva o la posibilidad de facturar desde la web del programa.
Si no sabes dónde guardar las copias, si en la nube o en un disco externo, te lo explicamos en ¿Copia de seguridad en la nube o en disco externo para tu pyme?.
Una lista de pasos para cada escenario importante, en lenguaje llano. Por ejemplo: «Si no arranca el servidor: avisar a la gerente, llamar al proveedor, seguir facturando desde el portátil 2». Si te preocupa sobre todo un ciberataque, apóyate en Me han hackeado: qué hacer en las próximas 72 horas.
Quién avisa a los clientes, qué les dice y por qué canal. Quién habla con el banco, la aseguradora o, si hay datos personales afectados, con la autoridad que corresponda. Prepara dos o tres mensajes modelo. El día del susto nadie escribe bien.
Un plan que nunca se ha ensayado es un plan en el que no sabes si puedes confiar. Siéntate una hora con tu equipo y simulad un problema. El INCIBE ofrece juegos de rol gratuitos para pymes pensados justo para esto.
El INCIBE lo llama caducidad del plan. Decide cada cuánto lo revisas y hazlo también cuando cambies algo importante: un programa nuevo, una mudanza, un proveedor distinto. Una vez al año es un buen punto de partida.
Imagina una gestoría de diez personas. Su plan cabe en una hoja con esta tabla, más la lista de teléfonos y los mensajes modelo.
| Qué protege | Cuánto aguanta sin ello | Plan B | Quién se encarga |
|---|---|---|---|
| Programa de contabilidad y nóminas | 1 día; en fechas de impuestos, ni uno | Versión en la nube del programa y copia diaria fuera de la oficina | La gerente y el proveedor informático |
| Correo electrónico | Medio día | Acceso por web desde otro equipo y doble factor activado | Responsable de administración |
| Archivos de clientes | 1 día | Copia diaria en la nube y copia semanal en un disco que se guarda fuera | La gerente |
| Teléfono de la oficina | 2 horas | Desvío a los móviles de dos personas | Recepción |
| Ordenadores | 1 día | Dos portátiles de repuesto configurados y guardados | Proveedor informático |
Fíjate en la fila de las nóminas. En fechas de impuestos, la gestoría no puede estar ni un día parada. Esa fila le dice dónde gastar primero: en un programa que funcione en la nube y en una copia que alguien prueba cada mes.
Y fíjate en lo que no hay: nada de jerga ni de centros de datos de respaldo. Para la mayoría de pymes, el plan B es más sencillo de lo que parece.
Aquí falla la mayoría de los planes. Se escriben, se guardan en una carpeta y nadie los vuelve a mirar hasta el día que hacen falta.
Una prueba no tiene que ser complicada. Reúne al equipo una hora y plantea un caso: «Son las nueve y el correo no funciona. ¿Qué hacemos?». Que cada persona diga qué haría. Apunta lo que nadie sabía y corrígelo en el plan.
Además del simulacro, hay tres comprobaciones que puedes hacer cada pocos meses:
| Comprobación | Cada cuánto | Quién |
|---|---|---|
| Restaurar un archivo de la copia | Cada mes | Responsable de las copias |
| Simulacro de una hora con el equipo | Cada 6 meses | Gerencia |
| Revisar la lista de teléfonos y proveedores | Cada 6 meses | Administración |
| Revisar el plan entero | Cada año o tras un cambio importante | Gerencia |
Las frecuencias son orientativas. El INCIBE deja que cada empresa fije las suyas. Lo importante es que haya una fecha y que alguien la apunte.
Un plan de continuidad de negocio responde a una pregunta sencilla: qué haces para seguir trabajando cuando algo falla. En una pyme cabe en pocas hojas: qué es crítico, cuánto aguantas sin ello, cuál es el plan B, quién se encarga y cómo avisas.
El INCIBE propone ocho pasos y una lista de comprobación gratuita. Lo que marca la diferencia no es el documento. Es haberlo probado una vez con tu equipo y tener copias que funcionan.
Un susto no se puede evitar siempre. Lo que sí se puede evitar es que te pille sin saber qué hacer.
Si quieres saber por dónde empezar en tu caso, pide el diagnóstico inicial gratuito de CALMA. Son 20 minutos, sin compromiso y sin tecnicismos.
Es un documento que explica qué hace tu empresa para seguir trabajando cuando algo importante falla y cómo vuelve a la normalidad. Recoge qué es crítico, cuánto tiempo puedes estar sin cada cosa, cuál es el plan B, quién se encarga y cómo avisas a clientes y proveedores.
No para todas. Algunas empresas sí deben tenerlo por su sector o tamaño, por ejemplo las que entran en la directiva NIS2, que incluye la continuidad entre sus medidas. Para el resto es una recomendación del INCIBE y, cada vez más, algo que piden clientes grandes y aseguradoras.
Se usan casi como sinónimos. El plan de continuidad es el conjunto: qué es crítico y cómo sigues trabajando. La respuesta a la contingencia son los pasos concretos que sigues el día del problema. El INCIBE la trata como una parte del plan de continuidad, no como un documento aparte.
Es el paso en el que decides cuánto daño te hace perder cada cosa. Para cada actividad importante te preguntas de qué depende, cuánto tiempo puedes estar sin ella y cuánto tarda en volver. Con esas respuestas sabes qué proteger primero y dónde gastar el presupuesto.
En una pyme pequeña, una primera versión se hace en una tarde con la gerencia y la persona que lleva la informática. Lo que lleva más tiempo es preparar el plan B de lo crítico, como las copias fuera de la oficina o un equipo de repuesto, y hacer el primer simulacro.
El INCIBE deja que cada empresa fije la frecuencia, pero pide revisarlo también tras cambios importantes. Una buena referencia es revisarlo entero una vez al año, hacer un simulacro cada seis meses y comprobar cada mes que se puede recuperar un archivo de la copia de seguridad.
Sí. Un ransomware o un correo hackeado son de los motivos más habituales para activarlo. El plan te dice cómo seguir trabajando mientras se resuelve. Para los primeros pasos técnicos, como aislar equipos o avisar a quien corresponda, conviene tener además una guía de respuesta a incidentes.
La primera versión puedes hacerla tú con la lista gratuita del INCIBE y esta guía. Donde suele hacer falta ayuda es en el plan B técnico: comprobar que las copias funcionan, que están fuera de la red y que los equipos de repuesto están listos. Ahí un diagnóstico externo ahorra sustos.
¿Quieres saber cómo está tu empresa?
Empieza con un diagnóstico inicial gratuito. Te lo presentamos en 20 minutos, con un plan claro. Sin compromiso y sin tecnicismos.
