Ciberseguridad básica para una oficina pequeña: lo mínimo que hay que tener

Doble factor en el correo y un gestor de contraseñas

En una gestoría, una clínica, una inmobiliaria o un despacho de entre cinco y cuarenta personas, casi todos los incidentes serios empiezan en el mismo sitio: alguien introduce la contraseña de su correo en una página que imita el inicio de sesión de Microsoft 365 o Google Workspace. Quien entra en ese buzón no busca hacer ruido el primer día. Primero lee hilos antiguos, configura una regla oculta en Outlook para desviar a la papelera los avisos de un proveedor y espera a que llegue el momento de pagar una factura.

La medida que corta de raíz la mayoría de estos accesos es activar el doble factor de autenticación (MFA) en todas las cuentas de correo de la empresa, sin dejar fuera los buzones compartidos como administracion@, recepcion@ o facturacion@ si tienen inicio de sesión directo:

• Usa aplicación en el móvil en lugar de SMS siempre que puedas. En el Centro de administración de Microsoft 365 (menú Usuarios → Usuarios activos → Autenticación multifactor, o mediante los valores predeterminados de seguridad de Microsoft Entra), pide que cada empleado apruebe el acceso con Microsoft Authenticator mostrando el número de dos cifras en pantalla. Así nadie puede aprobar por reflejo un aviso que no ha solicitado desde su propio ordenador.
• Jubila el archivo Contrasenas_Oficina.xlsx y los post-its bajo el teclado. En muchas oficinas pequeñas hay una hoja de cálculo en la carpeta compartida con los accesos a portales de suministros, colegios profesionales, mutuas, bancos y sedes electrónicas. Si entra un intruso en un solo puesto, se lleva el llavero entero. Sustitúyelo por un gestor de contraseñas para equipos (Bitwarden, 1Password o Proton Pass), donde puedes crear colecciones por departamento, compartir un acceso con un empleado sin que llegue a ver los caracteres de la contraseña y revocar su entrada el mismo día que causa baja.
• Desactiva el guardado automático de contraseñas en el navegador si el puesto es compartido. En mostradores como PC-RECEP-02 o en el ordenador de la sala de reuniones, dejar las sesiones abiertas en Chrome o Edge permite que cualquiera con cinco minutos delante de la pantalla exporte la lista completa en texto plano desde la configuración del navegador. Entra en chrome://password-manager/settings o en edge://wallet/settings y apaga la opción «Ofrecer guardar contraseñas» en esos equipos de paso.
• Pon un bloqueo automático de pantalla de cinco minutos. Cuando alguien se levanta del mostrador para acompañar a un cliente a la sala de juntas o baja a tomar café, basta con pulsar Windows + L (o Control + Comando + Q en Mac) para dejar la sesión bloqueada sin cerrar los programas abiertos.

Cómo detectar el phishing que sí engaña en una oficina

El correo fraudulento que entra hoy en una pyme ya no habla de herencias millonarias ni viene lleno de faltas de ortografía. Suele llegar un martes a media mañana al buzón de quien lleva los pagos, escrito en un español neutro y citando el nombre real de un proveedor habitual, de la asesoría o del arrendador del local.

Los dos engaños que más dinero cuestan en oficinas pequeñas son la factura falsa con un enlace a una supuesta carpeta compartida (para robar el usuario y la contraseña de Microsoft 365) y el cambio de cuenta bancaria del proveedor, donde alguien suplanta al distribuidor habitual y pide que la transferencia de este mes se ingrese en un nuevo IBAN porque están auditando o cancelando la cuenta anterior.

Para que nadie caiga en el fraude del cambio de cuenta, no hace falta que la persona de administración memorice cabeceras técnicas de correo; basta con fijar una norma interna por escrito en la oficina: ningún número de cuenta de un proveedor ni de una nómina se modifica por correo electrónico. Si entra un aviso de cambio de IBAN, se llama por teléfono al contacto habitual usando el número que ya teníais guardado en la ficha de clientes o proveedores del año anterior (nunca el teléfono que venga escrito en la firma del correo sospechoso).

En el correo de empresa conviene activar también la etiqueta de remitente externo en Microsoft 365 o Google Workspace. De ese modo, si alguien crea una cuenta externa con el nombre y apellidos del socio o del gerente para pedir por correo una transferencia urgente o la compra de tarjetas regalo a recepción, Outlook mostrará un aviso visible indicando que el mensaje viene de fuera de la organización.

Actualizaciones y antivirus: Windows Defender bien configurado basta

Un ordenador con Windows 11 o macOS que lleva ocho meses posponiendo el reinicio y tiene un navegador sin actualizar es una puerta abierta aunque el empleado no pulse donde no debe. Los navegadores (Chrome, Edge, Firefox, Safari) corrigen fallos de seguridad casi todas las semanas, y las actualizaciones mensuales de Windows (el segundo martes de cada mes) cierran vulnerabilidades que los programas maliciosos intentan explotar en cuanto se hacen públicas.

En Windows 11, entra en Configuración → Windows Update → Opciones avanzadas y activa «Recibir actualizaciones de otros productos de Microsoft» para que Word, Excel y Outlook se parchen a la vez que el sistema. Configura las Horas activas (por ejemplo, de 8:00 a 20:00) para que ningún ordenador se reinicie en mitad de una declaración trimestral o con un paciente en el mostrador. En macOS, ve a Ajustes del Sistema → General → Actualización de software → Actualizaciones automáticas y deja marcadas las respuestas rápidas de seguridad.

Respecto al antivirus, en una oficina pequeña con equipos en Windows 10 o Windows 11 Pro no necesitas comprar licencias domésticas de antivirus que llenan la pantalla de avisos publicitarios y ralentizan el arranque. Seguridad de Windows (Microsoft Defender) ofrece una protección excelente si compruebas que nadie ha desactivado sus interruptores tras instalar algún programa antiguo o un lector de certificados:

• Abre Seguridad de Windows → Protección contra virus y amenazas → Administrar la configuración y verifica que estén encendidos la Protección en tiempo real, la Protección basada en la nube y la Protección contra alteraciones (que impide que un programa malicioso apague el antivirus por su cuenta).
• Activa en Control de aplicaciones y navegador → Protección basada en reputación el bloqueo de aplicaciones potencialmente no deseadas y el filtro SmartScreen para Microsoft Edge, que frena la descarga de instaladores falsos cuando alguien busca en internet un visor de PDF o un compresor de archivos.
• Revisa que no haya carpetas enteras como C:\Usuarios o C:\Descargas metidas en la lista de Exclusiones. A veces un informático anterior o el soporte de un programa fiscal añade una exclusión temporal para que un instalador no dé problemas y se queda abierta durante años.
• Mantén un registro claro de qué versión de sistema operativo lleva cada máquina en tu inventario de equipos informáticos para detectar enseguida si queda algún portátil con un sistema fuera de soporte que ya no recibe parches.

Trabajar a diario sin permisos de administrador

Cuando sacas un ordenador nuevo de la caja y creas el primer usuario en Windows o en Mac, ese usuario tiene permisos de Administrador de forma predeterminada. Si el empleado trabaja todos los días con esa misma cuenta, cualquier archivo trampa que descargue por error tendrá los mismos permisos que él: podrá instalar programas en silencio, apagar copias de seguridad, leer contraseñas guardadas de otros perfiles o cifrar los discos conectados en red.

La práctica más limpia para una oficina es separar dos cuentas en cada ordenador (como PC-FISCAL-01 o PORT-COMERCIAL-03):

1. Una cuenta Administrador local (por ejemplo, admin-soporte) con una contraseña larga guardada en el gestor de contraseñas de gerencia o del servicio técnico.
2. La cuenta de trabajo diario del empleado configurada como Usuario estándar. Con un usuario estándar se puede usar el correo, el navegador, el programa contable, firmar con certificado digital e imprimir con total normalidad, pero si algo intenta tocar el sistema operativo, Windows pedirá la contraseña de administrador antes de continuar.

Si quieres comprobar en diez segundos qué usuarios tienen hoy permisos de administrador en un equipo con Windows 10 o Windows 11, abre PowerShell y ejecuta este comando:

Get-LocalGroupMember -Group 'Administradores' | Select-Object Name, PrincipalSource

Si en la lista aparece el usuario con el que se lee el correo todos los días, primero crea o verifica la cuenta de administrador de reserva desde Configuración → Cuentas → Otros usuarios y, una vez comprobado que puedes entrar con ella, cambia la cuenta habitual a Usuario estándar. Hacer el mismo repaso cuando alguien entra o deja la empresa forma parte de un buen protocolo de alta y baja de empleados y equipos.

Copias de seguridad desconectadas y discos cifrados

Tener los documentos en OneDrive, SharePoint, Google Drive o en un servidor NAS de la oficina es muy cómodo para trabajar en equipo, pero la sincronización automática no sustituye a una copia de seguridad aislada. Si entra un ransomware en el ordenador PC-LABORAL-02 y ese puesto tiene montada como unidad de red Z:\ la carpeta general del servidor o sincronizado todo el SharePoint en el Explorador de archivos, los documentos cifrados en el ordenador se sincronizarán cifrados con la nube en cuestión de minutos.

Para que una copia te salve el día que hay un ataque o un borrado masivo, tiene que cumplir tres condiciones sencillas (que detallamos paso a paso en la guía sobre copias de seguridad en una pyme):

• Al menos una copia fuera de la oficina y sin acceso de escritura desde los puestos. El programa de copias debe ejecutarse con sus propias credenciales, no con una carpeta compartida abierta a todos los usuarios de la red local. Si usáis un disco duro USB externo, no debe quedarse enchufado las veinticuatro horas al servidor.
• Histórico de versiones de varios días o semanas. No sirve una copia que machaca cada noche la del día anterior sin guardar versiones previas: si un viernes a última hora entra un problema y nadie lo nota hasta el lunes por la mañana, la copia del sábado y del domingo habrían sobrescrito los archivos sanos. Haz una prueba de restauración cada trimestre abriendo un expediente o una base de datos contable desde la copia para confirmar que el respaldo funciona de verdad.
• Cifrado de disco en todos los portátiles y sobremesas con datos sensibles. En una gestoría, asesoría o clínica donde tratáis nóminas, escrituras o historias clínicas sujetas al RGPD, un portátil robado en el maletero del coche o en un tren es una brecha de datos notificable si el disco va sin cifrar. Con BitLocker activado en Windows 11 Pro o FileVault en macOS (y el código de recuperación de 48 dígitos guardado a buen recaudo en tu inventario o en la cuenta de Microsoft Entra), quien se lleve el equipo solo verá un disco ilegible.

Qué hacer en la primera media hora el día que pasa algo

Cuando un empleado avisa de que ha introducido su contraseña en un enlace extraño o de que los iconos del escritorio han cambiado de extensión y piden un rescate, lo que hagas en los primeros treinta minutos marca la diferencia entre un susto en un solo puesto y tres días con la oficina parada.

1. Si un ordenador muestra avisos raros o empieza a renombrar archivos, desconéctalo de la red al instante. Quita el cable de red Ethernet de la parte trasera y apaga la wifi del equipo (o ponlo en modo avión). Así cortas la comunicación con el resto de ordenadores, con el servidor local y con la nube. No lo reinicies ni pases limpiadores por tu cuenta antes de que lo revise soporte técnico, porque a veces el reinicio completa el bloqueo del sistema.
2. Si alguien ha puesto su contraseña de correo en un enlace falso, cambia la contraseña y cierra todas sus sesiones activas. En el panel de administración de Microsoft 365, entra en la ficha del usuario, pulsa Restablecer contraseña y, justo debajo, haz clic en Cerrar sesión en todas las sesiones. En un minuto invalidas los tokens de acceso en cualquier navegador o teléfono donde el atacante hubiera entrado. Acto seguido, revisa en Outlook Web (Configuración → Correo → Reglas y Reenvío) que no hayan dejado creada una regla para reenviar o esconder mensajes.
3. Si se ha ordenado una transferencia a un IBAN fraudulento, llama inmediatamente a tu oficina bancaria. Solicita la retrocesión urgente de la operación por fraude, guarda el correo original completo (como archivo .eml con todas sus cabeceras, sin limitarte a reenviarlo) y presenta denuncia policial con el justificante bancario y el registro de mensajes.
4. Valora si hay obligación de notificar y apóyate en recursos oficiales. Si tenéis contratada una póliza de ciberriesgo, llama a su teléfono de asistencia 24 horas antes de formatear ningún equipo. Para dudas urgentes en empresas españolas, el teléfono gratuito 017 de INCIBE ofrece orientación inmediata; y si se confirma que han salido o quedado comprometidos datos personales de clientes, empleados o pacientes, recuerda que el RGPD establece un plazo máximo de 72 horas para evaluar y notificar la brecha a la Agencia Española de Protección de Datos (AEPD).

Qué piden la ISO 27001, el ENS y el RGPD en el puesto de trabajo

Las medidas prácticas de esta guía coinciden punto por punto con lo que revisan las auditorías de seguridad y los cuestionarios de clientes grandes. En la norma ISO/IEC 27001:2022 (y su guía de controles ISO/IEC 27002:2022), el Anexo A exige proteger los dispositivos finales de usuario (8.1), aplicar mecanismos de autenticación segura como el doble factor (8.5), limitar privilegios mediante el control de acceso y la gestión de derechos de acceso (5.15 y 5.18), mantener al día la protección contra malware y la gestión de vulnerabilidades técnicas (8.7 y 8.8), impartir concienciación y formación frente a engaños (6.3), conservar copias de seguridad de la información (8.13) y contar con un procedimiento de gestión de incidentes (5.24 a 5.28).

Si tu oficina licita con administraciones públicas o presta servicios a organismos sujetos al Esquema Nacional de Seguridad (ENS, Real Decreto 311/2022, BOE-A-2022-7191, con autoevaluación posible en categoría BÁSICA y certificación de conformidad en MEDIA y ALTA), estas mismas defensas corresponden a las medidas de mecanismo de autenticación para usuarios de la organización (op.acc.6), proceso de gestión de derechos de acceso (op.acc.4), mantenimiento y actualizaciones de seguridad (op.exp.4), protección frente a código dañino (op.exp.6), protección de dispositivos portátiles (mp.eq.3), concienciación (mp.per.3), copias de seguridad (mp.info.6) y gestión de incidentes (op.exp.7). A ello se unen el RGPD y la LOPDGDD (Ley Orgánica 3/2018), que exigen medidas técnicas apropiadas como el cifrado y el control de acceso (art. 32) y la notificación de brechas de datos personales en un máximo de 72 horas a la AEPD (art. 33), así como la Directiva NIS2 (UE) 2022/2555 cuando trabajas en la cadena de suministro de sectores regulados.

Ante una auditoría (cuya certificación emite siempre una entidad acreditada por ENAC en España) o una revisión de seguridad, declarar de palabra que tenéis antivirus y doble factor no sirve: el auditor pide evidencias fechadas. Necesitarás mostrar el informe de usuarios con MFA activo, la lista de cuentas sin privilegios de administrador en el uso diario, el inventario con el estado de parches y cifrado de cada portátil, las actas de prueba de restauración de copias y el registro de incidencias.

Fuentes oficiales

• INCIBE, ciberseguridad para empresas
• CCN-CERT
• Reglamento General de Protección de Datos (RGPD)

Cómo lo hacemos en Inventariamos

En Inventariamos nos ocupamos de dejar estas medidas funcionando sin que gerencia ni administración tengan que pelearse con paneles técnicos: activamos el doble factor y las reglas antiphishing en Microsoft 365, separamos las cuentas de administrador de las de trabajo diario, ciframos los discos de los portátiles y vigilamos desde el panel de Inventariamos qué ordenadores tienen actualizaciones pendientes, el antivirus desactivado o copias con avisos de error. No somos entidad certificadora ni realizamos auditorías oficiales, pero ayudamos a preparar y mantener al día las evidencias técnicas de inventario, copias, accesos e incidencias según el alcance acordado. Puedes ver qué incluye nuestro servicio de ciberseguridad para oficinas o escribirnos en Contacto para que revisemos cómo tenéis protegidos hoy vuestros puestos.