Las pymes no son demasiado pequeñas para sufrir un ciberataque. Según el DBIR 2026 de Verizon, las organizaciones pequeñas se ven afectadas de forma desproporcionada por el ransomware y enfrentan las mismas amenazas que las grandes, pero con menos recursos. En Chile, un estudio de Mastercard citado por Chócale indica que el 46% de las pymes aún no tiene un plan de ciberseguridad. La buena noticia es que con pocas medidas bien elegidas el riesgo baja mucho. Estos 10 consejos se basan en la guía de inicio rápido del NIST para pequeñas empresas, disponible en español, y en recomendaciones de la CISA de Estados Unidos y de INCIBE de España.
¿Por qué las pymes son un blanco atractivo?
Porque suelen tener menos controles y dependen más de sus proveedores. En los incidentes de pymes del DBIR 2026, la explotación de vulnerabilidades fue la principal vía de entrada y hubo terceros involucrados en el 55% de las brechas. El impacto tampoco es menor: el Breach Impact Study 2026 de Verizon, basado en siniestros de ciberseguros en Estados Unidos, estima un costo mediano de unos US$38.000 por incidente en pymes.
Los 10 consejos
1. Activa la autenticación multifactor (MFA)
Empieza por el correo, las cuentas de administrador y el acceso remoto. La guía del NIST lo resume así: habilitar MFA «es una de las formas más rápidas y económicas de proteger sus datos». La CISA recomienda avanzar hacia una MFA resistente al phishing.
2. Usa un gestor de contraseñas
Una contraseña larga y distinta para cada servicio solo es viable con un gestor. Cambia también las contraseñas que traen de fábrica routers, cámaras e impresoras, como pide la guía del NIST. Es uno de los cuatro pasos de la campaña Secure Our World de la CISA.
3. Mantén todo actualizado
Activa las actualizaciones automáticas y prioriza los equipos expuestos a internet, como el firewall, la VPN y el correo. La explotación de vulnerabilidades ya es la vía de entrada más común en las brechas analizadas por Verizon (31%), y solo el 26% de las vulnerabilidades críticas del catálogo de vulnerabilidades explotadas de la CISA se había corregido por completo en 2025.
4. Respalda con la regla 3-2-1 y prueba la restauración
Tres copias de los datos, en dos medios distintos y con una fuera de la oficina, como explica la guía de copias de seguridad de INCIBE. Al menos una copia debe estar desconectada o ser inmutable, y hay que comprobar que se puede restaurar. Más detalle en nuestra guía de backup empresarial.
5. Capacita a tu equipo contra el phishing y el fraude
No solo por correo: en las simulaciones analizadas por Verizon, la tasa de clics en ataques por llamadas y mensajes de texto fue 40% más alta que por correo. Enseña a reconocer y reportar los intentos de fraude. Profundiza en nuestro artículo sobre el factor humano en ciberseguridad.
6. Da solo los accesos necesarios
Aplica el principio de mínimo privilegio: cada persona accede solo a lo que necesita para su trabajo, como indica la guía del NIST, y las cuentas de administrador se usan solo para administrar.
7. Haz un inventario de equipos, software y datos
No puedes proteger lo que no conoces. Haz una lista de equipos, software, servicios en la nube y dónde están los datos importantes. Los CIS Controls v8 parten justamente por el inventario en su grupo IG1, pensado para empresas pequeñas y medianas.
8. Cifra los notebooks y tablets
Activa el cifrado de disco completo (BitLocker en Windows, FileVault en macOS), como recomienda el NIST. Si se pierde o te roban un equipo, los datos siguen protegidos.
9. Exige seguridad a tus proveedores
En las pymes, el 55% de las brechas del DBIR 2026 involucró a terceros. Pide a tus proveedores MFA, respaldos y aviso oportuno de incidentes, y déjalo por escrito en el contrato.
10. Ten un plan de respuesta y ensáyalo
Define quién decide, a quién llamar y qué hacer en las primeras horas. El NIST recomienda que todos conozcan el plan y sepan quién tiene autoridad para activarlo. Si sufres un ataque, sigue nuestra guía ante ransomware, y para preparar la recuperación revisa cómo armar un plan de continuidad TI.
¿Qué recomienda la ANCI?
La Agencia Nacional de Ciberseguridad recomienda «Los 9 básicos de la ciberseguridad», un conjunto de medidas muy parecido a esta lista. En junio de 2026 sometió a consulta pública volver obligatorias seis de ellas para las instituciones sujetas a la Ley 21.663: actualizar, capacitar, respaldar, asegurar los equipos, usar MFA y usar un gestor de contraseñas, según el resumen oficial de la consulta y una alerta legal de Cariola. Aunque tu pyme no esté obligada, son una buena hoja de ruta.
¿Por dónde empiezo esta semana?
Si tuvieras que elegir tres: activa MFA en el correo y en las cuentas de administrador, confirma que tienes un respaldo desconectado que puedes restaurar y activa las actualizaciones automáticas. Con eso cierras las puertas que más usan los atacantes. Si quieres el contexto completo, lee nuestro artículo sobre ciberseguridad para pymes en Chile.
¿Quieres saber qué tan protegida está tu pyme?
→ Ver Ciberseguridad para Empresas