Checklist de ciberseguridad para PYMES canarias en 2026

Una lista accionable, sin jerga innecesaria, para que una PYME de Tenerife sepa por dónde empezar a protegerse este año. No es un marco ISO ni un audit de consultora. Es un orden de ataque: primero lo que evita que te secuestre el correo el martes, después lo que evita que un ransomware se coma las facturas, y al final lo que deja el WiFi de la sala de espera fuera de tu red de administración.

En 2026 el riesgo de una empresa canaria no es abstracto. Es un buzón de gerencia clonado, una factura falsa de un proveedor “que ha cambiado de cuenta”, un NAS sin contraseña que se indexa en internet o un trabajador que se lleva un Excel de clientes en un USB. La tentación es comprar un antivirus más caro y dar el tema por cerrado. El antivirus ayuda. No sustituye identidades bien hechas, copias que se puedan restaurar ni un WiFi de invitados que no vea la impresora de nóminas.

Esta checklist está partida en 30 días (lo que reduce daño ya) y 90 días (lo que te deja en un suelo decente). Está pensada para PYMES, no para un banco. Si necesitas el servicio gestionado —firewall, ESET, concienciación y respuesta—, está en ciberseguridad para empresas en Tenerife. Aquí vamos a lo que puedes exigir, priorizar y comprobar aunque todavía no tengas un departamento IT.

Cómo usar esta checklist sin marearte

Imprime esta página o pásala a una tabla con tres columnas: hecho, a medias, no empezado. Asigna un responsable con nombre, no “informática”. En una PYME el responsable suele ser gerencia más el partner; si lo dejas en “ya lo mira Juan cuando pueda”, no se hará. Reserva dos huecos en el calendario: un viernes de los próximos 30 días para identidades y copias, y una ventana de 90 días para WiFi, proveedores y un simulacro corto.

No intentes hacerlo todo la misma semana. El error clásico es cambiar el firewall, el antivirus y el WiFi el mismo sábado y no saber qué ha roto el correo. Un cambio por frente, con una prueba de “¿podemos trabajar el lunes?”. Si algo duele, se revierte. La ciberseguridad que tumba el negocio un día no es seguridad: es un proyecto mal acotado.

Tampoco uses esta lista para generar culpa. Casi todas las empresas de 10 a 40 personas tienen agujeros parecidos. El valor está en el orden. Identidades primero porque el atacante ya no “rompe el servidor”: entra con una contraseña válida. Copias después porque el día malo se gana restaurando, no negociando. Perímetro y proveedores al final porque son más lentos y dependen de terceros. Si solo tienes energía para tres cosas este mes, que sean MFA, ESET (o equivalente bien gestionado) y una copia que hayas restaurado tú, no el comercial del NAS.

Si operas en un sector con datos de salud, menores o nóminas de terceros, sube la prioridad de cifrado y de encargados de tratamiento. El resto de la isla puede seguir el calendario estándar. Y si ya sufriste un incidente, no empieces por “mejorar el PowerPoint de concienciación”: empieza por cerrar la vía por la que entraron. El plan de las primeras 24 horas, si el problema ya es un secuestro, está en ransomware en 2026: plan de respuesta para PYMES.

Días 1 a 30: identidades, o cómo dejar de regalar las llaves

Haz un inventario de cuentas, no de ordenadores. Quién tiene buzón, quién es administrador global de Microsoft 365 o Google Workspace, quién entra al NAS, quién tiene la contraseña del router de la operadora y quién sigue usando el Facebook de la empresa desde un móvil personal. Ese listado, en una hoja, ya te va a dar sustos útiles: ex empleados, becarios de 2023, la agencia de marketing con rol de administrador, el contable externo con la misma clave desde 2019.

Activa autenticación multifactor (MFA) en todas las cuentas de correo y de administración. Todas. No “las importantes”. El atacante no pide cita con gerencia: prueba la de administración, la de reservas o la de un comercial con acceso a OneDrive. MFA de aplicación (Authenticator, similar) es mejor que SMS. Si alguien se niega porque “es un lío”, esa persona es exactamente el perfil que más se phishéa. El lío de treinta segundos al día no se compara con el de un viernes reconstruyendo facturas.

Quita administradores de más. En Microsoft 365 basta con dos cuentas rotas de emergencia, guardadas fuera del día a día, y el resto con roles mínimos. El intern no necesita ser administrador global para resetear una contraseña. El dueño no necesita ser administrador del NAS para ver una carpeta. Cada admin extra es una puerta extra. Documenta esas dos cuentas de emergencia en un sitio que no sea el mismo servidor que estás protegiendo. Suena obvio. Se olvida siempre.

Cambia las contraseñas por defecto de todo lo que tenga web: NAS, cámaras, centralita, impresoras, SAI con tarjeta de red, WiFi. Las impresoras son el ejemplo que nadie se cree hasta que un informe de flota enseña un panel abierto a la red de invitados. Si estás mirando costes de tóner y colas, aprovecha para cerrar esos paneles; el artículo de impresoras y flotas habla de dinero, pero el panel de la multifunción es también un problema de seguridad. Una contraseña “admin/admin” en un aparato que escanea a carpeta de dirección es una filtración con ruedas.

Revisa el reenvío automático de correo y las reglas de bandeja. Es una de las formas más silenciosas de robo: alguien entra una vez, crea una regla que copia facturas a un Gmail externo, y se va. Tardas meses en enterarte. En Microsoft 365 se puede auditar. Pide a tu partner ese informe el primer mes. Si no sabéis hacerlo, ese es el primer ticket del mes, no el de “me va lento el Outlook”.

Cierra las cuentas de quien ya no está. No las reutilices (“es la de María, ahora la usa Pedro”). Crea la de Pedro, transfiere lo imprescindible, archiva la de María y quita licencias. Reutilizar cuentas mezcla históricos, permisos y, el día de una inspección, te deja sin rastro de quién hizo qué. En 30 días no hace falta un IAM de libro. Hace falta que el Excel de altas y bajas exista y se use el mismo día de la salida, no “cuando haya tiempo”.

Días 1 a 30: ESET (u otro endpoint) bien puesto, no “instalado y ya”

Un antivirus desactualizado en tres de doce PCs no es una capa: es una ilusión. En las PYMES que vemos, ESET PROTECT (o un equivalente con consola central) funciona cuando hay consola, política única y alguien que mira los equipos que no reportan. El icono verde en la bandeja de un solo usuario no te dice nada del portátil del comercial que no se conecta desde diciembre.

Instala o reordena el endpoint en todos los Windows y, si aplica, en los Mac. Excluye con criterio: no “excluimos la carpeta del ERP porque si no va lento” para siempre, sin anotar por qué. Las exclusiones eternas son el agujero favorito del ransomware. Si el ERP necesita una exclusión, que esté documentada, acotada a rutas concretas y revisada cada trimestre. El resto, política por defecto: detección, cuarentena y alerta.

Activa la consola en la nube o en un servidor que tú controles, y crea dos avisos que sí se lean: equipo sin conexión más de X días, y amenaza no resuelta. Esos dos avisos valen más que un informe PDF de 40 páginas que nadie abre. Asigna quién recibe el correo. Si lo recibe “info@”, no lo recibe nadie.

No conviertas el antivirus en el único gasto del mes y descuides el resto. El endpoint para lo que ya está en el PC. No para el buzón comprometido, ni para el USB del proveedor, ni para el RDP abierto a internet. Si tu partner solo te habla de licencias ESET y no de identidades, te está vendiendo la capa fácil. La capa fácil es necesaria. No es suficiente. El paquete de ciberseguridad de Infofase se plantea por capas precisamente por eso: firewall, endpoint y personas. Aquí, en 30 días, te pedimos solo que el endpoint esté en todos los equipos, gestionado y con dos alertas vivas.

Actualiza Windows y macOS en esos mismos 30 días, al menos los equipos que tocan facturación, banco y datos de clientes. El parcheo “cuando el usuario quiera” deja un Windows 10 sin soporte o un Mac con un agujero de un año. Programa reinicios. Avísales. Un martes a las 18:10 es mejor que un exploit el jueves. Si un equipo no se puede parchear porque “el programa de la gestoría no deja”, anótalo como riesgo y busca fecha de salida de ese programa. Vivir encima de un Windows que ya no recibe parches es una decisión de gerencia, no un capricho del técnico.

Días 1 a 30: backups que se puedan restaurar (si no, no hay backup)

Lista qué no podéis permitiros perder: correo, carpeta de gestión, base del ERP o del programa de clínica, contabilidad, fotos de obra, histórico de clientes. Para cada uno, escribe dónde vive hoy y dónde está la copia. Si la respuesta es “en el mismo NAS” o “en un disco que está encima del servidor”, no tienes copia: tienes un espejo en el mismo incendio, el mismo robo o el mismo cifrado.

Aplica de forma pragmática la idea 3-2-1: tres copias, dos soportes distintos, una fuera del edificio. En una PYME canaria, “fuera” suele ser nube cifrada o un rotativo que alguien se lleva. La nube tiene sentido si el ancho de banda de subida aguanta y si el cifrado y la retención están claros. El disco que se lleva el gerente al coche sirve si de verdad se rota, no si está en el cajón desde 2024. El detalle de la regla y de cómo explicarla a dirección lo dejamos para otro artículo; aquí el encargo del mes es más humilde: una copia fuera y una prueba de restauración.

La prueba: elige un archivo de hace 15 días y un buzón de prueba (o una carpeta del ERP de prueba) y restáuralos en un sitio que no pise la producción. Cronometra. Si tardas tres días en enterarte de cómo se hace, ese es tu tiempo real de recuperación, no el “instantáneo” del folleto. Documenta el resultado en un correo a gerencia. Ese correo, el día de un incidente o de una pregunta de la AEPD, vale más que cualquier sticker de “backup OK”.

Revisa retención y cifrado. ¿Cuántos días hacia atrás puedes volver? ¿Las copias están cifradas en tránsito y en reposo? ¿Quién tiene la clave? Si la clave está en un Post-it en el mismo despacho que el NAS, el cifrado es teatro. Si quieres el marco legal de lo que se espera en una inspección, léelo con calma en RGPD y backups: lo que inspecciona la AEPD; en estos 30 días basta con no guardar copias en claro en un disco USB sin dueño y con saber quién es el encargado de tratamiento si la copia vive en un proveedor.

El servicio de copias de seguridad en la nube existe para cuando el “disco del cajón” ya no escala o nadie rota nada. No lo vendas internamente como magia: véndelo como la copia que está fuera de la isla cuando el local está cifrado o bajo el agua. En 30 días, aunque no contrates nada nuevo, puedes al menos dejar de tener una sola copia en el mismo armario.

Días 31 a 90: WiFi de invitados, red de oficina y el mito de “está el router de la fibra”

Separa la red de invitados de la red de trabajo. En un hotel es evidente. En una oficina con sala de reuniones y algún cliente que pide la clave, también debería serlo. El invitado no tiene que ver el NAS, las impresoras de administración ni el escritorio remoto del servidor. Si hoy todos usan la misma clave “Empresa2020” y esa clave está en un cartel, estás a un visitante de curiosidad de una filtración. Cambia la clave, crea un SSID de invitados con aislamiento de clientes y, si puedes, un VLAN o al menos un SSID distinto en el mismo punto de acceso decente.

El router de la operadora no es un diseño de red. Es un aparato que te da internet. Encima, o detrás, debería haber un firewall o al menos un equipo que tú controles: reglas, VPN, registro de quién entra. En 90 días no te pedimos un Fortinet de libro si sois seis personas. Sí te pedimos que el escritorio remoto de Windows no esté abierto a todo internet, que el NAS no se publique “por si acaso” y que la VPN, si existe, no sea la misma contraseña para todos desde 2018.

Inventaría los puntos de acceso. Muchos locales tienen un WiFi bueno en recepción y un repetidor milagroso en el almacén que crea una segunda red invisible. Ese repetidor es el que se come los móviles y el que a veces se gestiona con una IP por defecto. Sustitúyelo o apágalo. Una red mediocre y coherente es más segura (y más rápida) que tres islas de cobertura que nadie documentó.

Si tienes cámaras, porteros IP o domótica, trátalos como invitados peligrosos: red aparte, sin acceso al servidor, firmware al día. Son el ejemplo de dispositivo que se compra en una ferretería online, se enchufa y se olvida. El olvido es el modelo de amenaza. En 90 días, un sábado, un técnico puede dejar eso ordenado. El resto del año, nadie lo va a “ir haciendo”.

Días 31 a 90: proveedores, accesos externos y el Excel que se fue por correo

Haz la lista de quién entra desde fuera: gestoría, informática anterior, desarrollador de la web, plataforma de reservas, soporte del ERP, agencia de ads. Para cada uno: qué acceso tiene, con qué cuenta, desde cuándo y si hay un contrato de encargado de tratamiento. Si el informático de 2017 sigue teniendo una cuenta de administrador “por si acaso”, esa es tu tarea de la semana. El “por si acaso” ajeno es tu incidente futuro.

Pide a los proveedores críticos (hosting, copias, Microsoft, ESET, operadora) un correo de contacto de seguridad y un procedimiento de baja. Cuando cambies de partner, alguien tiene que perder el acceso el mismo día, no “en el próximo ciclo de facturación”. Si un proveedor no sabe decirte quién es tu interlocutor técnico, no tienes proveedor: tienes una plataforma y un limbo.

Revisa qué datos salen por correo o por WhatsApp. Nóminas, DNI de clientes, historias, presupuestos con datos bancarios. El hábito de “te lo mando a tu Gmail personal porque el Outlook va mal” es una cesión de datos a un tercero que no has evaluado. En 90 días no vas a reeducar a toda la plantilla, pero sí puedes prohibir por escrito dos o tres destinos (Gmail personal, USB sin cifrado, grupos de WhatsApp con gente que ya no trabaja) y ofrecer la alternativa: un enlace de OneDrive o un buzón compartido. La alternativa tiene que ser más cómoda que el atajo. Si no, el atajo gana siempre.

Forma a las personas en una hora, no en un máster. Tres ejemplos reales: factura falsa con IBAN cambiado, enlace de “tu buzón está lleno”, llamada de “soy de informática, pásame el código del móvil”. Hazlos con capturas de correos que ya os hayan llegado, no con un vídeo americano. Una hora en la sala, con gerencia presente, vale más que un curso de 20 horas que nadie termina. Repite a los seis meses. La concienciación no es un certificado: es un músculo.

Cierra el trimestre con un simulacro corto: “hoy no hay NAS” o “hoy no hay correo de administración”. ¿Podéis facturar? ¿Podéis atender el teléfono? ¿Sabéis a quién llamar? El simulacro no busca el suspenso. Busca la lista de lo que no estaba escrito. Esa lista es el plan de 90 días bien hecho.

El suelo de 90 días (y lo que puedes dejar para el semestre)

Al final de los 90 días deberías poder marcar, sin sonrojarte: MFA en correo y admins; menos administradores; endpoint gestionado en todos los PCs; una copia fuera del edificio restaurada al menos una vez; WiFi de invitados separado; RDP no publicado a internet; lista de proveedores con accesos; una hora de concienciación hecha. Eso no es “estar seguros”. Es dejar de ser el objetivo fácil de la cola automática.

Puedes dejar para el semestre siguiente: segmentación fina de VLANs, SIEM, EDR avanzado, rediseño de cableado, pentest de pago, DLP de lujo. Son útiles cuando el suelo existe. Antes, son presupuesto que se come el preventivo que no hiciste. Un partner serio te lo va a decir así, aunque venda menos. El que te proponga un SOC el primer mes, con las contraseñas en un Excel, te está vendiendo el tejado de una casa sin cimientos.

Revisa también el calendario canario. Agosto, Navidad y los puentes no son buenos para cambios de DNS ni de firewall, pero sí para copias extras y para confirmar que la guardia existe. Si tu temporada fuerte es el invierno turístico, los 30 días de identidades deberían caer antes, no “después de Reyes cuando respiremos”. El atacante no respeta la temporada. El ransomware de enero se prepara en noviembre, cuando nadie mira los logs.

Si al terminar los 90 días la tabla sigue en blanco en identidades o en copias, no pases a comprar hardware. Para y pide ayuda; el mapa de servicios de Infofase sirve para ver qué capa cubre un partner y cuál sigue siendo tuya. El hardware nuevo encima de cuentas abiertas solo añade superficie. El orden de esta checklist no es un capricho de blog: es el orden en el que se cortan incidentes reales en empresas de la isla.

Preguntas frecuentes

¿Con un antivirus de pago ya cumplimos “lo de la ciberseguridad”?

No. El antivirus es una capa de endpoint. No evita que te roben la contraseña del correo, no restaura un NAS cifrado y no separa el WiFi de la sala de espera. Es necesario y, bien gestionado, evita sustos tontos. Presentarlo como el plan completo es lo que hace que las empresas se sorprendan cuando el incidente llega por un buzón, no por un virus con nombre de película.

¿Hay que hacer MFA también en las cuentas de los comerciales que “solo leen correo”?

Sí. Esas cuentas suelen tener la agenda de clientes, presupuestos y, a menudo, acceso a OneDrive o al CRM. El comercial es un objetivo habitual porque viaja, usa WiFi de hotel y tiene prisa. MFA en “solo correo” es de las medidas con mejor ratio esfuerzo/riesgo de toda esta lista. Si alguien pierde el móvil, se revoca el segundo factor: es un ticket, no un drama.

¿Una PYME canaria tiene que tener los datos en Canarias por el RGPD?

El RGPD no exige un CPD en Tenerife. Exige saber dónde están los datos, con qué garantías, quién es el encargado y si hay transferencias fuera de la UE. Un datacenter en Madrid o en Fráncfort, bien contractualizado, puede ser más sólido que un NAS bajo la mesa en el polígono. Lo que no cuela es “está en la nube” sin nombre de proveedor, sin DPA y sin saber la región. Eso es fe, no cumplimiento.

¿El WiFi de invitados hace falta si no tenemos público en el local?

Si nunca entra nadie de fuera con un portátil, puedes retrasarlo. En cuanto haya visitas, auditor, comercial de un proveedor o la familia del dueño en Navidad, la clave única de la oficina es un problema. Separar invitados es barato en casi cualquier punto de acceso de los últimos años. No esperes a un proyecto de WiFi 7 para hacer algo que se resuelve un martes por la tarde.

¿Qué hago si un proveedor me dice que “no pueden” activar MFA o darnos acceso con cuenta propia?

Eso es un dato para gerencia, no un capricho técnico. O cambias la forma de acceso (ellos trabajan en tu tenant con una cuenta vuestra, no con la suya compartida), o cambias de proveedor, o asumes por escrito el riesgo. Lo que no debes hacer es compartir la contraseña de administrador global “porque es más rápido”. Lo rápido es el incidente. Documenta la negativa y ponle fecha de revisión.

¿30 días es realista si no tenemos informático interno?

Sí, si acotas: MFA, limpieza de admins, endpoint en todos los equipos y una prueba de restauración. Eso cabe en dos o tres jornadas de un partner más un par de decisiones de dirección. Lo que no cabe en 30 días es rediseñar la red y formar a 40 personas con un máster. Por eso la lista está partida. El que intenta el temario completo en un puente vuelve en enero igual que en diciembre, solo que más cansado.