La ciberseguridad ya no es una cuestión técnica delegable sin más. Para la dirección y la gerencia, es un asunto de continuidad del negocio, responsabilidad organizativa y, en determinados casos, cumplimiento normativo. Los incidentes más dañinos (ransomware, fraude por suplantación, robo de credenciales o filtraciones de datos) rara vez empiezan con un “hackeo sofisticado”; con frecuencia comienzan con algo tan cotidiano como un correo convincente, una contraseña reutilizada o una copia de seguridad que, cuando se necesita, no restaura.
Desde una perspectiva de gestión, el enfoque correcto no es perseguir una seguridad perfecta (inexistente), sino implantar un mínimo viable de políticas y controles que reduzcan drásticamente el riesgo real. La propia NIS2 y las guías técnicas europeas insisten en el enfoque de gestión del riesgo y en medidas prácticas (por ejemplo, asegurar integridad de backups frente a ransomware y contemplar la regla 3-2-1).
Qué significa “políticas mínimas” cuando se dirige una empresa
Una política mínima no es un documento para cubrir expediente. Es una decisión gerencial expresada en reglas simples y aplicables: qué está permitido, qué no, quién autoriza, cómo se reporta un incidente y qué se hace cuando algo falla. En la práctica, la gerencia necesita políticas que cumplan tres condiciones:
- Sean ejecutables (no aspiracionales).
- Se puedan verificar (¿se cumple o no?).
- Produzcan evidencias (útiles ante auditorías, proveedores, clientes o autoridades, si llega el caso).
Además, cualquier política tecnológica toca tarde o temprano el tratamiento de información y, en muchas organizaciones, también datos personales. Cuando hay brecha, no basta con resolver; hay obligaciones de valoración y, si procede, notificación a la autoridad y/o comunicación a afectados.
El núcleo del mínimo viable: 8 políticas que un gerente debería exigir
Sin convertir esto en una checklist infinita, hay un conjunto de políticas base que, bien implementadas, suelen aportar la mayor reducción de riesgo con el menor coste organizativo:
1) Identidad y accesos: “MFA por defecto” y privilegios mínimos
El 80% de los problemas graves se agravan porque el atacante logra entrar como un usuario legítimo. La política mínima aquí es clara:
- Autenticación multifactor (MFA) obligatoria en correo, CRM/ERP, nube y accesos remotos.
- Principio de mínimo privilegio: cada persona accede solo a lo necesario.
- Cuentas separadas para administración (admin) y uso diario.
- Prohibir compartir credenciales y fomentar gestores de contraseñas.
INCIBE recomienda de forma explícita activar la autenticación en dos factores siempre que sea posible como medida antifraude y antiphishing.
2) Dispositivos y actualizaciones: parches, cifrado y control básico
La gerencia no necesita debatir marcas, pero sí exigir resultados:
- Un responsable (interno o proveedor) de parcheo con plazos definidos.
- Cifrado de portátiles y móviles corporativos.
- Protección básica en endpoints (antimalware/EDR según tamaño) y bloqueo automático de pantalla.
- Inventario mínimo de activos: qué equipos existen y quién los usa.
3) Correo y suplantación: el principal vector de entrada
El correo sigue siendo el canal preferido para iniciar intrusiones y fraudes. En gerencia, el objetivo es doble: disminuir la probabilidad de clic y, sobre todo, impedir que un clic se convierta en un incidente mayor.
Medidas organizativas mínimas:
- Botón o canal único de “reportar correo sospechoso” (y que alguien lo atienda).
- Procedimiento para cambio de cuenta bancaria: nunca por email; siempre verificación por segunda vía (llamada a número previamente validado).
- Reglas de “doble aprobación” para pagos fuera de patrón.
En paralelo, medidas técnicas habituales (según entorno): MFA, filtros antiphishing, configuración de dominios (SPF/DKIM/DMARC), restricción de reenvíos automáticos, etc.
4) Copias de seguridad: no es “hacer copia”, es “poder restaurar”
La copia de seguridad no es un archivo guardado en la nube; es la capacidad de volver a operar con un punto de recuperación confiable. Aquí la gerencia debe pedir una estrategia, no una promesa.
La guía técnica de ENISA (2025) recomienda explícitamente considerar la regla 3-2-1 (tres copias, dos soportes distintos, una fuera) y, además, asegurar la integridad de los backups evitando modificación o borrado (p. ej., frente a ransomware).
Eso se traduce en decisiones concretas:
- Al menos una copia offline o inmutable (que no se pueda borrar con las credenciales habituales).
- Separación de credenciales: quien administra el correo no debería poder borrar backups.
- Copias de SaaS: si trabajas con suites en la nube, revisa qué cubre realmente el proveedor y qué debes respaldar tú (versionado, retención, restauración granular).
INCIBE también insiste en buenas prácticas como cifrar la información antes de subir copias a la nube y diseñar una estrategia que no dependa de un único soporte o ubicación.
Regla gerencial de oro: una copia existe cuando se ha hecho un simulacro de restauración y se ha medido el tiempo de recuperación.
5) Respuesta a incidentes: qué hacer el primer día decide el coste final
La organización debe saber qué hacer cuando ocurra lo inevitable: un equipo cifrado, una cuenta comprometida o una filtración. INCIBE, en su guía sobre ransomware, resume medidas iniciales de contención (por ejemplo, aislar el equipo afectado, no pagar rescate y aplicar el plan de respuesta apoyándose en backups).
La política mínima debe definir:
- Quién coordina (interno/proveedor) y quién decide (gerencia).
- Qué sistemas se aíslan primero.
- Qué evidencias se preservan (logs, correos, capturas) para análisis y, si procede, denuncia.
- Cómo se comunica internamente (para evitar pánico y rumores).
6) Brechas de datos y cumplimiento
Si el incidente afecta a datos personales, el RGPD exige evaluación del riesgo y, cuando proceda, notificación a la autoridad. La AEPD recuerda que el plazo para notificar a la autoridad de control es de 72 horas desde que la organización tiene constancia de la brecha, y que si el riesgo es alto también debe comunicarse a las personas afectadas conforme al artículo 34 RGPD.
Además, aunque notificar no implica automáticamente sanción, la AEPD ha señalado que una mala gestión de la brecha y un bajo nivel de diligencia en medidas de seguridad sí puede tener consecuencias.
Para gerencia, el mensaje es claro: sin un proceso de respuesta y registro, el riesgo legal se suma al operativo.
7) Proveedores y terceros: el eslabón más olvidado
CRMs, gestorías, mantenimiento IT, marketing, alojamiento web… La política mínima debe exigir:
- Contratos con cláusulas de seguridad razonables.
- Control de accesos de terceros (cuentas nominativas, MFA, caducidad).
- Procedimiento de baja inmediata cuando termina la relación.
8) Formación antifraude: entrenamiento de la parte humana
La formación útil no es una charla anual. Es una práctica continua, breve y contextual: ejemplos reales del sector, simulaciones y recordatorios. INCIBE recomienda medidas básicas frente al phishing como verificar enlaces antes de pulsar, no descargar adjuntos sospechosos, mantener software actualizado y activar 2FA.
Phishing para gerencia: por qué es tan rentable para el atacante
El phishing ya no es solo “correo mal escrito”. Hoy se combina con:
- Suplantación de proveedores (“te cambio el IBAN”).
- Suplantación de directivos (fraude del CEO).
- QRishing (códigos QR) y mensajes por mensajería.
- Reenvíos desde cuentas reales comprometidas.
El objetivo no siempre es infectar: muchas veces es mover dinero o capturar credenciales para entrar sin ruido.
La defensa eficaz suele ser una mezcla de tecnología, hábitos y procedimiento.
Backups: del “tenemos copias” al “podemos recuperar operación”
Para convertir backups en resiliencia real, conviene que gerencia exija tres métricas simples:
- RPO (Recovery Point Objective): cuánto dato estás dispuesto a perder (p. ej., 4 horas).
- RTO (Recovery Time Objective): cuánto tiempo puedes estar parado (p. ej., 8 horas).
- Tasa de restauración probada: cuándo fue la última prueba y cuánto tardó.
ENISA subraya no solo la regla 3-2-1 sino la necesidad de impedir modificación o borrado de copias (clave ante ransomware).
Si tu proveedor te dice “hay backups”, la pregunta directiva es: “¿cuánto tardamos en volver a facturar y atender clientes si mañana cifran el servidor?”
NIS2 y reporting de incidentes: una tendencia que baja a la pyme
Aunque no todas las empresas estén dentro del perímetro directo de NIS2, su filosofía está influyendo en clientes, aseguradoras y cadenas de suministro: exigir medidas mínimas y capacidad de respuesta. La Directiva (UE) 2022/2555 establece obligaciones de notificación escalonada para incidentes significativos (incluyendo aviso temprano en 24 horas, notificación en 72 horas y un informe final en un mes, entre otros hitos).
Esto, para gerencia, se traduce en una realidad: cada vez más contratos pedirán evidencias de que sabes detectar, contener y reportar.
Conclusión
La ciberseguridad para gerencia no consiste en comprar herramientas, sino en dirigir un sistema: políticas mínimas, evidencia de cumplimiento, copias de seguridad restaurables y una disciplina antifraude centrada en el phishing. A partir de ahí, se mejora por madurez. Pero el salto de “no tenemos nada” a “tenemos lo mínimo bien hecho” suele ser el que más reduce incidente y el que más tranquilidad aporta a dirección.
Si quieres formarte en el ámbito de ciberseguridad contacta con nosotros en el 932.995.011, en info(arroba)eane.es o a través del formulario del curso https://www.eane.es/curso-303-curso-de-ciberseguridad-para-usuarios.html