Su objetivo no es reunir políticas en un archivo que nadie consulta. Debe funcionar como un manual operativo para prevenir ataques, detectar anomalías, limitar daños y recuperar la actividad.
Toda empresa puede empezar con una versión sencilla y ampliarla según crezcan sus usuarios, sedes, proveedores y obligaciones. El primer paso es conocer las amenazas de ciberseguridad en las empresas que podrían afectar los ingresos, los datos o la continuidad.
Tantius te resume…
- Identifica activos críticos, riesgos, responsables y controles.
- Define cómo prevenir, detectar, contener y recuperar la operación.
- Incluye capacitación, respaldos probados y reglas de acceso.
- Usa métricas para comprobar avances y priorizar inversiones.
- Se revisa cada año y después de cambios o incidentes relevantes.
Qué debe incluir un plan de seguridad informática
Una estrategia completa conecta el riesgo tecnológico con las necesidades del negocio. Instalar antivirus no basta si no existen responsables, procesos y pruebas.
Debe incluir:
- Alcance y objetivos: áreas, sistemas, datos, sedes y proveedores cubiertos.
- Inventario de activos: equipos, aplicaciones, cuentas, servicios en la nube y bases de datos.
- Evaluación de riesgos: amenazas, vulnerabilidades, probabilidad, impacto y prioridad.
- Roles: responsables técnicos, dirección, legal, comunicación y continuidad.
- Políticas internas: contraseñas, dispositivos, correo, trabajo remoto y gestión de usuarios.
- Controles técnicos: MFA, parches, filtrado de correo, protección de equipos y registros.
- Respaldos: frecuencia, ubicación, responsables y pruebas de restauración.
- Respuesta a incidentes: activación, contención, comunicación y recuperación.
- Capacitación: contenidos, frecuencia, simulaciones y seguimiento.
- Métricas y revisión: indicadores, auditorías, presupuesto y calendario de mejora.
Las políticas de ciberseguridad convierten estas decisiones en reglas que el equipo puede aplicar todos los días.
Fundamentos para organizar la protección
La confidencialidad evita consultas no autorizadas. La integridad protege los datos contra cambios indebidos y la disponibilidad procura que los sistemas funcionen cuando el negocio los necesita.
También deben considerarse la autenticación, la trazabilidad y el menor privilegio. Cada persona debe acceder solo a los recursos necesarios para cumplir su función.
NIST CSF 2.0 organiza la gestión del riesgo en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. La función de gobierno conecta las decisiones técnicas con objetivos, responsabilidades y obligaciones. Consulta el Cybersecurity Framework de NIST para conocer sus recursos y perfiles.
ISO/IEC 27001 ofrece otra referencia para crear un sistema de gestión basado en riesgos y adaptado al tamaño de cada organización. Puedes revisar la información oficial sobre ISO/IEC 27001.
Cómo crear la estrategia paso a paso
1. Define el alcance y los objetivos
Decide qué parte del negocio cubrirás primero. Puedes comenzar con correo, archivos de clientes, facturación, equipos y servicios en la nube.
Relaciona cada objetivo con un resultado. Por ejemplo, reducir accesos indebidos, restaurar archivos críticos dentro del plazo acordado o aplicar MFA en todas las cuentas sensibles.
2. Haz un inventario y evalúa los riesgos
Registra equipos, aplicaciones, cuentas, datos, proveedores y responsables. Si un activo no aparece en el inventario, será difícil protegerlo, actualizarlo o recuperarlo.
Después realiza un análisis de riesgos en ciberseguridad. Para cada activo, identifica la amenaza, vulnerabilidad, probabilidad e impacto sobre ingresos, clientes y operación.
Prioriza los riesgos con mayor impacto y controles más débiles. Esta planificación de la seguridad informática en la empresa evita repartir recursos entre acciones que no reducen las exposiciones principales.
3. Asigna responsables y autoridad
La dirección debe aprobar prioridades, recursos y nivel de riesgo aceptable. TI administra controles, registros, actualizaciones y respaldos.
Recursos Humanos coordina altas, cambios y bajas. Legal y comunicación participan cuando un evento puede afectar contratos, datos personales, clientes o autoridades.
Indica quién puede aislar un equipo, bloquear una cuenta, suspender un servicio o activar al proveedor externo. Cada función debe tener un responsable principal y un sustituto.
4. Aplica controles preventivos
Empieza con medidas de cobertura amplia:
- MFA en correo, administración y aplicaciones críticas.
- Accesos por funciones y revisión periódica de permisos.
- Parches y actualización de sistemas.
- Protección de equipos y filtrado de correo.
- Cifrado de información sensible.
- Configuración segura de servicios en la nube.
- Registros en sistemas importantes.
- Evaluación de proveedores con acceso a datos.
Una cuenta administrativa requiere más protección que una cuenta de consulta. Un sistema de facturación necesita mayor disponibilidad que una aplicación secundaria.
5. Crea un plan de formación
La capacitación debe enseñar a reconocer correos falsos, proteger credenciales, manejar archivos sensibles y reportar eventos. La formación debe repetirse durante el año para reforzar hábitos y responder a nuevas amenazas.
Un plan de formación en ciberseguridad puede incluir inducción, recordatorios trimestrales, simulaciones de phishing y ejercicios por área. Registra asistencia, resultados y acciones de refuerzo.
6. Establece respaldos y continuidad
Define qué datos deben copiarse, con qué frecuencia y durante cuánto tiempo. Mantén una copia separada del entorno principal para reducir el riesgo de que un ataque afecte los archivos y sus respaldos.
Realiza pruebas de restauración. Registra cuánto tarda la recuperación, qué información falta y qué dependencias impiden regresar a la operación.
Establece un tiempo objetivo de recuperación y el máximo de datos que la empresa puede perder para cada servicio crítico.
7. Prueba, revisa y mejora
Realiza ejercicios de escritorio ante phishing, ransomware, pérdida de un dispositivo o caída de un proveedor.
Revisa la estrategia una vez al año. Actualízala también después de un incidente, una adquisición, un cambio de plataforma, una nueva sede o una variación relevante del riesgo.
Procedimiento de respuesta a incidentes
Un procedimiento claro reduce decisiones improvisadas. CISA recomienda crear, mantener y probar un plan de respuesta, incluso cuando una empresa comienza con una versión sencilla.
- Detectar y verificar: registra quién reportó el evento, qué sistema está afectado, cuándo comenzó y qué señales se observaron.
- Clasificar: asigna una severidad según el impacto sobre datos, usuarios, ingresos y servicios.
- Contener: aísla equipos, bloquea cuentas o limita conexiones sin destruir evidencia.
- Preservar evidencia: conserva registros, mensajes, archivos y una línea de tiempo de decisiones.
- Evaluar notificaciones: involucra a legal, seguros y comunicación cuando existan posibles obligaciones.
- Eliminar la causa: retira malware, corrige vulnerabilidades y cambia credenciales comprometidas.
- Recuperar: restaura desde copias verificadas y valida los sistemas antes de volver a operar.
- Aprender: documenta la causa, el impacto y los cambios necesarios.
Responsables durante un incidente
| Rol | Responsabilidad principal |
|---|---|
| Dirección | Autorizar decisiones críticas, recursos y comunicación ejecutiva. |
| TI o proveedor | Analizar, contener, corregir y restaurar sistemas. |
| Legal y privacidad | Evaluar contratos, evidencia y notificaciones. |
| Comunicación | Preparar mensajes para empleados, clientes y terceros. |
| Recursos Humanos | Coordinar eventos relacionados con personal o accesos. |
| Dueño del proceso | Confirmar prioridades y recuperación operativa. |
El equipo de respuesta no debe limitarse al departamento de TI. CISA recomienda involucrar a la dirección, responsables técnicos y líderes de las áreas críticas.
Ejemplo de plan de seguridad informática
El siguiente ejemplo convierte riesgos generales en tareas que pueden asignarse y medirse.
| Activo o proceso | Riesgo | Prioridad | Acción | Responsable | Plazo | Indicador |
|---|---|---|---|---|---|---|
| Correo corporativo | Robo de credenciales | Alta | MFA, filtros y capacitación | TI | 30 días | Cuentas críticas con MFA |
| Archivos de clientes | Acceso excesivo | Alta | Menor privilegio y revisión de permisos | TI y áreas | 45 días | Accesos revisados |
| Facturación | Ransomware o falla | Crítica | Copias aisladas y prueba de restauración | TI y Finanzas | 30 días | Recuperación dentro del objetivo |
| Equipos | Software sin parches | Alta | Inventario y actualización automática | TI | 30 días; revisión mensual | Equipos actualizados |
| Proveedores | Acceso externo comprometido | Media | Revisión contractual y técnica | Compras y TI | 60 días | Proveedores evaluados |
| Personal | Cuentas activas sin necesidad | Alta | Flujo formal de altas y bajas | RR. HH. y TI | Inmediato | Cuentas cerradas a tiempo |
Cada fila debe tener evidencia, como un reporte, una prueba o un registro firmado. Las tareas vencidas y los riesgos sin responsable deben escalarse a dirección.
Diferencia entre plan, plan director y programa
| Documento | Propósito | Horizonte | Contenido |
|---|---|---|---|
| Plan de seguridad | Definir acciones y protocolos actuales | Operativo y anual | Riesgos, controles, incidentes y métricas |
| Plan director de ciberseguridad | Ordenar proyectos y capacidades futuras | Mediano plazo | Diagnóstico, estado objetivo, inversión y calendario |
| Programa de ciberseguridad | Mantener actividades continuas | Permanente | Monitoreo, capacitación, pruebas y mejora |
El plan director ayuda a pasar del estado actual al deseado. Puede ordenar proyectos como MFA, renovación de equipos, segmentación, monitoreo o auditorías.
El programa mantiene los controles funcionando. Incluye administración de ciberseguridad, seguimiento de indicadores, revisión de proveedores y actualización de procesos.
Cómo evaluar el nivel de madurez
Nivel básico
La empresa tiene antivirus y contraseñas, pero no inventario completo, responsables formales o pruebas de restauración.
Debe empezar por identificar activos, activar MFA, ordenar respaldos y documentar altas y bajas.
Nivel intermedio
Existen políticas, capacitación, monitoreo básico y controles de acceso. Algunas revisiones dependen de tareas manuales o carecen de evidencia consistente.
El siguiente paso es centralizar registros, probar la respuesta, medir la recuperación y evaluar proveedores críticos.
Nivel avanzado
La empresa gestiona riesgos de forma continua, realiza ejercicios, revisa controles y conecta la seguridad con decisiones de negocio.
Puede alinear su sistema con ISO/IEC 27001 y NIST CSF 2.0, según sus necesidades.
La madurez depende de controles adecuados, responsables claros, evidencia y mejora continua, no de la cantidad de herramientas.
Métricas para controlar resultados
Usa pocos indicadores y relaciónalos con decisiones:
- Activos incluidos en el inventario.
- Cuentas críticas con MFA.
- Equipos actualizados dentro del plazo.
- Proveedores críticos evaluados.
- Tiempo para detectar y contener eventos.
- Pruebas de restauración exitosas.
- Tiempo real de recuperación frente al objetivo.
- Empleados capacitados y tasa de reporte.
- Acciones vencidas del registro de riesgos.
- Incidentes repetidos por la misma causa.
Si el tiempo de contención aumenta o una prueba de restauración falla, debe asignarse una acción correctiva con responsable y fecha.
Cómo definir el presupuesto
No existe una cifra única. El presupuesto depende de usuarios, dispositivos, sedes, servicios en la nube, datos sensibles, cobertura y tiempo máximo tolerable de interrupción.
| Alcance | Adecuado para | Componentes principales |
|---|---|---|
| Base | Pocos sistemas críticos | MFA, respaldos, parches, protección de equipos, correo y capacitación. |
| Gestionado | Trabajo remoto, varias áreas o alta dependencia tecnológica | Monitoreo, gestión de dispositivos, revisión de vulnerabilidades y ejercicios. |
| Alto Riesgo | Datos sensibles, operación continua o requisitos sectoriales | Cobertura 24/7, segmentación, registros centralizados, pruebas y auditorías. |
Separa gastos iniciales y recurrentes. Los iniciales pueden incluir diagnóstico, configuración y limpieza de accesos. Los recurrentes cubren licencias, monitoreo, soporte, pruebas y formación.
Compara la inversión con ventas detenidas, horas del personal, recuperación, asesoría legal, comunicación, penalizaciones contractuales y pérdida de clientes.
Para ampliar el cálculo, revisa los costos de ciberseguridad y compáralos con el riesgo operativo que buscas reducir.
Escenarios ilustrativos y lecciones
Los siguientes casos son ejemplos compuestos, no testimonios verificables de empresas específicas.
Phishing en finanzas
Un empleado entrega sus credenciales en una página falsa. El atacante entra al correo e intenta cambiar los datos de pago de una factura.
La lección es aplicar MFA, filtros, verificación por otro canal y capacitación para quienes autorizan pagos.
Acceso de un excolaborador
Una empresa conserva activa la cuenta remota de una persona que salió del equipo. Semanas después detecta eliminación de archivos.
La respuesta requiere coordinación entre Recursos Humanos y TI, revisión de permisos, registros y respaldos. Este riesgo es relevante para una PyME de logística con varios usuarios, ubicaciones y dispositivos.
Ransomware y respaldo inservible
Una organización sufre cifrado de archivos y descubre que las copias estaban conectadas al mismo entorno. El ataque afecta los datos y el respaldo.
La lección es separar copias, limitar accesos y probar restauraciones. Revisa otros problemas de ciberseguridad en empresas para reconocer señales antes de que detengan la operación.
Cómo Tantius puede fortalecer la seguridad de tu empresa
Tantius ayuda a convertir el documento en un programa de servicios de ciberseguridad que permanezca activo. El objetivo es proteger la operación sin depender de tareas manuales que nadie revisa.
Servicios que apoyan la operación
- Respaldo automático de información.
- Monitoreo y bloqueo de accesos no autorizados.
- Gestión de dispositivos personales y corporativos.
- Control de software, actualizaciones, antivirus y parches.
- Protección del correo contra phishing, malware y archivos sospechosos.
- Control de permisos para consultar, editar o compartir información.
- Soporte técnico y capacitación continua.
- Reportes sobre cobertura, incidentes y acciones pendientes.
Cada servicio debe relacionarse con un riesgo, un responsable y un indicador. Así puedes saber qué está protegido, qué falta y dónde invertir primero.
Preguntas frecuentes
¿Qué debe incluir un plan de ciberseguridad para una empresa?
Debe identificar qué se protegerá, cuáles son los riesgos prioritarios, quién será responsable y cómo se actuará antes, durante y después de un incidente. Las acciones deben incluir fechas, indicadores y evidencia de cumplimiento.
¿Quién debe ser responsable?
La dirección conserva la responsabilidad sobre prioridades y recursos. TI o el proveedor administra controles, pero Recursos Humanos, legal, comunicación y cada dueño de proceso también deben cumplir tareas.
¿Cada cuánto debe revisarse?
Al menos una vez al año. También después de incidentes, cambios tecnológicos, nuevas sedes, adquisiciones, cambios de proveedores o variaciones relevantes del riesgo.
¿Cuánto cuesta para una empresa?
Depende del alcance, usuarios, dispositivos, sedes, datos y cobertura. La cotización debe partir de un diagnóstico, los controles existentes y los objetivos de recuperación.
¿Un plan y un programa son lo mismo?
No, el plan establece lo que debe hacerse y quién debe hacerlo. El programa asegura que esas medidas continúen funcionando, se revisen y mejoren con el tiempo.
Contacta a Tantius para evaluar el estado actual de tu empresa y crear un documento operativo con riesgos, responsables, controles, métricas y una ruta de mejora.
