Ciberseguridad en la pyme: del cortafuegos al riesgo de negocio

Durante años, en muchas pymes la ciberseguridad se ha vivido como un asunto de mantenimiento: antivirus al día, cortafuegos configurado y poco más. El debate, como recoge Computerworld a partir de la visión de Kyocera Document Solutions, se ha centrado en proteger infraestructuras, dispositivos y aplicaciones frente a amenazas externas. Esa protección sigue siendo imprescindible, pero ya no basta. La superficie de ataque se ha ampliado, las empresas dependen de más tecnologías y proveedores, y la información circula por entornos cada vez más distribuidos. En ForgeNEX lo vemos a diario en las pymes sevillanas: el riesgo tecnológico es, cada vez más, riesgo de negocio.

Qué cambia en la conversación

El artículo original lo plantea con claridad: la pregunta ya no es cuántos incidentes se han producido o cuántas amenazas se han bloqueado, sino qué impacto tendría un riesgo concreto sobre la actividad de la compañía y qué capacidad tenemos para prevenirlo, detectarlo y recuperarnos. Ese cambio de enfoque tiene una consecuencia inmediata: la seguridad entra en las conversaciones de dirección.

Para una pyme, esto significa que el responsable de IT no puede seguir siendo el único que habla de seguridad, ni el proveedor externo el único que la ejecuta. Hace falta que quien decide sobre el negocio entienda qué se está protegiendo y por qué. En organizaciones pequeñas, donde los roles se solapan, esto se traduce en algo muy concreto: reservar un espacio periódico para revisar riesgos tecnológicos con la dirección, no solo para apagar fuegos.

La relación entre CIO y CISO, aplicada a la pyme

El texto plantea que la relación entre CIO y CISO no debería construirse sobre una lógica de auditor y auditado. La seguridad no puede ser una revisión que llega al final de un proyecto, sino una variable que forma parte de la decisión desde el principio. En una pyme no siempre existen ambos roles, pero el principio se mantiene: quien diseña la solución y quien vigila el riesgo deben hablar antes de contratar, no después.

Cuando ambas perspectivas trabajan de forma aislada, aparecen fricciones. Cuando se integran desde el inicio, las decisiones de riesgo son más informadas. En la práctica, esto se traduce en incorporar la seguridad al diseño de cualquier proyecto: identidad, permisos, protección de datos, monitorización, continuidad y recuperación no deberían añadirse cuando la solución ya está desplegada.

Tres ámbitos que aceleran el cambio

El artículo identifica tres frentes que están empujando esta evolución y que afectan de lleno a cualquier equipo de IT:

• Identidad. Se ha convertido en uno de los principales perímetros de seguridad. En entornos donde las personas acceden desde distintas ubicaciones y dispositivos, proteger solo la infraestructura no basta: hay que saber quién accede, a qué información y en qué circunstancias.
• Datos. Su valor crece, pero también la necesidad de controlar dónde están, quién puede usarlos y cómo se protegen.
• Inteligencia artificial. Añade complejidad: datos que usan los modelos, privacidad, accesos, trazabilidad y el uso que hacen los empleados de estas herramientas.

En ForgeNEX ya hemos visto cómo estos frentes se cruzan en el día a día de una pyme. Por ejemplo, al elegir un plan de Microsoft 365 Business, la decisión no va solo de precio o de almacenamiento: va de qué controles de identidad y protección de datos incorpora cada nivel. Y cuando se adopta IA generativa, conviene aplicar las mismas lecciones que ya vimos en el caso de Goldman Sachs y Claude Code: definir qué datos pueden salir, quién puede usarlos y cómo se audita su uso.

De la prevención a la resiliencia

El artículo lo dice sin rodeos: ninguna organización puede asumir que estará completamente libre de incidentes. La pregunta no es solo cómo evitar un ataque, sino qué capacidad tenemos para responder cuando ocurra y cuánto tardaremos en recuperar la actividad. La resiliencia se convierte así en parte esencial de la estrategia.

Eso implica conocer los procesos críticos, identificar dependencias tecnológicas, establecer mecanismos de recuperación y probar periódicamente que funcionan. También tener claro quién decide durante un incidente y cómo se comunica la organización. En una pyme, esto puede empezar por algo tan sencillo como documentar qué sistemas son imprescindibles para facturar, atender clientes o cumplir obligaciones, y comprobar que existe una copia recuperable de esos datos. La resiliencia de datos deja de ser un tema de grandes corporaciones y se convierte en una necesidad operativa.

Qué recomendamos desde ForgeNEX

El gran cambio que describe el artículo consiste en dejar de entender la ciberseguridad como una capa que protege la tecnología y empezar a considerarla una capacidad que protege la continuidad y la evolución del negocio. Para una pyme, eso se traduce en acciones concretas:

1. Incluir la seguridad en la decisión, no después. Antes de contratar una herramienta cloud, un CRM o un sistema de IA, revisar identidad, permisos, datos y recuperación.
2. Hablar de riesgo en dirección. Traducir los incidentes técnicos a impacto sobre la actividad: qué se para, cuánto cuesta, cuánto se tarda en recuperar.
3. Ordenar la identidad. Revisar accesos, altas y bajas, y aplicar el mínimo privilegio posible.
4. Probar la recuperación. No basta con tener copias: hay que comprobar que se restauran y en qué plazo.
5. Definir el uso de IA. Establecer qué datos pueden introducirse en herramientas de IA y cómo se traza su uso.

No se trata de frenar la innovación hasta eliminar cualquier riesgo, algo que el propio artículo descarta por irreal. Se trata de conocer el riesgo, decidir cómo mitigarlo y establecer qué nivel es asumible para el negocio. En una pyme, esa conversación —entre quien entiende la tecnología y quien entiende el negocio— es la que marca la diferencia entre reaccionar a un incidente y gestionar un riesgo.

Fuente: Computerworld. Análisis y adaptación: ForgeNEX.