Ciberseguridad para pymes sin equipo propio
Una pyme puede estar razonablemente protegida sin tener un equipo de seguridad propio. Lo que no puede delegar es qué proteger primero. Nos consultaron sobre esto para un especial de Innovación Digital 360.
La pregunta que quedó abierta
En la entrada anterior cerramos con los números del último informe de ESET: casi la mitad de las pymes tuvo un incidente el año pasado, y los equipos internos no dan abasto para investigar cada alerta. La pregunta que queda es qué hace, entonces, una empresa que no tiene ni va a tener un área de seguridad.
La respuesta corta es que sí se puede, y que el camino no pasa por comprar más.
Empezar por lo que funde, no por lo que hay
El primer trabajo no es técnico. Es sentarse con la dirección y definir qué tiene que seguir funcionando para que la empresa no pare. En una distribuidora puede ser el sistema de facturación y la lista de precios. En un estudio, los expedientes. En una fábrica, la línea.
Ese ejercicio ordena todo lo que viene después, porque convierte una lista de equipos en una lista de prioridades. Sin eso, cualquier inversión se reparte de forma pareja entre cosas que no valen lo mismo.
Lo que se terceriza y lo que no
La operación se puede tercerizar, y en la mayoría de los casos es lo único viable. Monitorear, responder a un incidente, sostener la infraestructura, hacer la auditoría: todo eso se contrata, y se contrata bien.
Lo que no se terceriza es la responsabilidad. Cuando algo se rompe, el que responde ante los clientes, ante el organismo de control y ante la propia gente es el dueño, no el proveedor. Esa asimetría no cambia por contrato.
De ahí salen tres decisiones que quedan adentro aunque la ejecución salga afuera. Qué activos son críticos. Qué riesgo se acepta. Y qué se hace el día que hay que decidir si se paga un rescate. Un proveedor puede aconsejar sobre las tres, y no puede tomar ninguna.
Tres controles que rinden antes que cualquier compra
| Control | Por qué primero | Qué cuesta |
|---|---|---|
| Doble factor en todo lo que da a internet | Es el que más riesgo saca por peso | Sin licencias |
| Un respaldo probado, no solo configurado | Convierte una suposición en un hecho | Una tarde por trimestre |
| Alguien que mire lo que el sistema informa | Sin esto, las alertas se acumulan y se normaliza ignorarlas | Agenda, no dinero |
Ninguno de los tres exige un área propia. Los tres exigen una decisión de la dirección, que es de lo que se trata el especial.
Lo que más cuesta explicar
En la mayoría de las conversaciones con una pyme, el punto difícil no es técnico ni económico. Es que tercerizar se confunde con delegar, y no son lo mismo.
Un proveedor que monitorea, responde y audita saca de encima el trabajo. No saca de encima la decisión de qué hay que proteger primero ni la responsabilidad de lo que pase. Cuando esa distinción no se hace explícita al principio, aparece sola en el peor momento, que es durante un incidente.
La operación se terceriza, la responsabilidad no. Es la frase con la que cerramos casi todas esas reuniones, y es la que conviene dejar escrita en el contrato antes de necesitarla.
Participamos de este especial junto a colegas de Madrygal Ciberseguridad y Valkyros. La nota se titula Ciberseguridad para pymes: cómo proteger una empresa sin tener un equipo propio, la firma Ignacio Alegre y se publicó el 22 de septiembre de 2026.
