Plan de seguridad de la información: guía realista para pymes

En muchas pymes la seguridad de la información funciona por costumbre: las contraseñas las conoce quien lleva más años, las copias las hace un programa que nadie revisa y los permisos se dieron un día y ahí siguen. Todo va bien hasta que deja de ir: un correo con malware, un portátil que desaparece, un exempleado con el acceso todavía vivo. Un plan de seguridad de la información es, en esencia, pasar de la costumbre a la decisión escrita.

La buena noticia: no hace falta montar un sistema de gestión certificable el primer día. Hace falta algo más modesto y más urgente: saber qué proteges, quién accede a qué y qué haréis cuando algo falle. Vamos a eso.

Como siempre en estos temas: esto es orientación general para ordenarte, no asesoramiento legal ni una auditoría de seguridad. Las obligaciones concretas (protección de datos, requisitos sectoriales, certificaciones) se validan con profesionales.

Resumen

Un plan de seguridad de la información realista para una pyme cabe en pocas páginas y se apoya en seis piezas: inventario de activos y datos, control de accesos, copias de seguridad probadas, actualizaciones al día, una respuesta a incidentes básica y formación del equipo. Un SGSI formal con certificación ISO 27001 es el paso siguiente, no el primero, y solo compensa cuando clientes, licitaciones o el propio riesgo del negocio lo justifican. El error habitual no es no tener plan: es tener uno en PDF que no se parece a lo que el equipo hace cada día.

Qué es un plan de seguridad (y qué no hace falta que sea)

Un plan de seguridad de la información responde por escrito a cuatro preguntas: qué información sostiene el negocio, qué le puede pasar, qué medidas la protegen y quién hace qué cuando algo sale mal. Eso es todo. No necesita jerga, ni un consultor viviendo seis meses en tu oficina, ni cincuenta procedimientos.

Lo que sí necesita es ser verdad. Un documento que dice “las copias se verifican mensualmente” cuando nadie las ha restaurado jamás no es un plan: es un riesgo con portada. Si quieres una estructura de referencia con método, INCIBE publica una guía de Plan Director de Seguridad pensada para empresas que quieren hacerlo de forma ordenada.

Las seis piezas de un plan realista

Pieza	Pregunta que responde	Primer paso
Inventario de activos y datos	¿qué tenemos y dónde está?	listar equipos, aplicaciones y dónde viven los datos importantes
Accesos y permisos	¿quién puede ver o tocar qué?	revisar cuentas, quitar accesos sobrantes, activar doble factor
Copias de seguridad	¿podemos recuperarnos?	copia separada del sistema y una restauración de prueba real
Actualizaciones	¿cerramos las puertas conocidas?	activar actualizaciones y retirar software sin soporte
Respuesta a incidentes	¿qué hacemos si pasa algo?	una hoja: a quién avisar, qué aislar, a quién llamar
Formación del equipo	¿la gente reconoce el peligro?	sesión corta sobre phishing y contraseñas, repetida en el tiempo

Tres matices que marcan la diferencia:

Las copias se prueban, no se suponen. Una copia que nunca se ha restaurado es una esperanza, no una copia. Programa una restauración de prueba y apunta cuánto tardasteis: ese número es tu tiempo real de recuperación.

Los accesos caducan. Cada alta, baja o cambio de puesto debería tocar la lista de permisos. La revisión trimestral de cuentas (incluidas las de herramientas en la nube y las de IA que el equipo haya ido adoptando) encuentra siempre alguna sorpresa.

El incidente se ensaya en frío. Cuando algo pasa, no es momento de improvisar. La hoja de respuesta debe decir quién decide, qué se desconecta y a quién se avisa. Si hay datos personales afectados, recuerda que el RGPD obliga a valorar la notificación a la AEPD en un plazo de 72 horas; la guía de brechas de seguridad de la AEPD explica el proceso.

Si al leer esta lista no sabes en qué punto está tu empresa, esa es exactamente la señal: podemos ayudarte a levantar el mapa de sistemas, datos y accesos para que el plan se escriba sobre la realidad y no sobre suposiciones.

Ejemplo: una gestoría de nueve personas

Una gestoría de nueve personas en Sevilla maneja nóminas, contabilidad y datos fiscales de doscientos clientes. Su “plan” era el de tantas: antivirus, una copia automática que nadie miraba y la confianza en que nunca había pasado nada.

Su primer plan real ocupó cuatro páginas: inventario (tres aplicaciones críticas, un servidor, doce equipos), accesos revisados (aparecieron dos cuentas de antiguos empleados activas), doble factor en el correo y en el programa de gestión, copia externa con restauración probada un viernes al mes, hoja de incidentes pegada en la pared y una sesión de veinte minutos por trimestre sobre correos trampa. Coste principal: tiempo y criterio. La diferencia frente a un incidente: enorme. Y como los deberes ya estaban hechos, cuando después valoraron un seguro de ciberriesgo el cuestionario de la aseguradora dejó de dar miedo: el seguro va después de los deberes, no en su lugar.

Para el detalle técnico de las medidas (contraseñas, wifi, dispositivos, correo), el decálogo de ciberseguridad de INCIBE es la checklist de referencia, y en este blog tienes una guía de seguridad informática para pymes que baja a ese nivel.

Cuándo dar el salto a un SGSI formal (ISO 27001)

Un SGSI (sistema de gestión de seguridad de la información) es la versión formal y auditable de todo lo anterior: alcance definido, análisis de riesgos documentado, controles justificados, auditorías internas y revisión periódica por dirección. La norma de referencia es la ISO/IEC 27001, certificable a través de entidades acreditadas.

Señales de que el salto empieza a compensar:

• Clientes grandes o licitaciones lo piden. En algunos sectores el certificado ya funciona como requisito de entrada para proveedores.
• Manejas datos ajenos en volumen. Gestorías grandes, software como servicio, sanidad, servicios que custodian información sensible de terceros.
• El negocio no sobrevive a una parada larga. Cuando el coste de un incidente supera con mucho el coste del sistema, la formalidad se paga sola.

Y lo que implica, dicho sin adornos: meses de trabajo, un responsable interno con horas reales dedicadas, documentación viva y auditorías periódicas que hay que pasar y pagar. Por eso el orden importa: quien llega a la ISO 27001 con las seis piezas anteriores funcionando hace un trámite exigente; quien llega sin ellas hace una obra completa. Para plazos y costes concretos, pide propuesta a entidades acreditadas y valida el enfoque con profesionales de seguridad: ahí termina la orientación general y empieza el traje a medida.

Errores frecuentes

• El plan PDF. Documento impecable que nadie ha leído y que no describe cómo se trabaja de verdad. Protege lo mismo que un póster.
• Confiar la seguridad a una sola persona sin relevo. Si todo el conocimiento vive en una cabeza, esa cabeza es tu punto único de fallo.
• Copias en el mismo sitio que el original. Un ransomware que cifra el servidor cifra también la copia que cuelga de él.
• Ignorar las herramientas que el equipo adopta solo. Cuentas gratuitas, aplicaciones de IA, almacenamiento personal: si no están en el inventario, no están en el plan.
• Formar una vez y dar por formado. El phishing evoluciona; la sesión única de hace dos años ya no cubre lo que llega hoy al correo.

Preguntas frecuentes

¿Necesito la ISO 27001 para tener un plan de seguridad?

No. La certificación es un paso posterior y voluntario. El plan básico (inventario, accesos, copias, actualizaciones, incidentes, formación) se puede tener funcionando en semanas y ya reduce la mayor parte del riesgo cotidiano. La norma llega cuando el mercado o el riesgo del negocio piden esa formalidad.

¿Cada cuánto hay que revisar el plan?

Como mínimo una vez al año, y siempre que cambie algo relevante: herramienta nueva, persona que entra o sale, servicio que se contrata. La revisión no es reescribirlo: es comprobar que sigue siendo verdad, restaurar una copia y repasar la lista de accesos.

¿Quién se encarga si no tenemos informático?

Alguien de dentro asume la responsabilidad (decidir, revisar, exigir) aunque la ejecución técnica esté externalizada en tu proveedor informático. Lo que no funciona es delegarlo todo sin supervisión: el proveedor gestiona sistemas, pero las decisiones sobre qué proteger y qué riesgo aceptar son del negocio.

Siguiente paso

Un plan que vive en un cajón no protege nada: protege la rutina de revisarlo. Si quieres empezar por la foto real de tu empresa (qué sistemas, qué datos, quién accede y qué pasaría si fallan), cuéntanos tu caso: te damos una primera lectura honesta de por dónde empezar, sin compromiso, y la validación técnica o legal que necesites la dejamos en manos de quien la firma.