Ciberseguridad para un negocio pequeño: lo mínimo.

Lo mínimo son cinco cosas. La verificación en dos pasos en tu correo y tus cuentas. Todo al día: móvil, ordenador, programas y web. Copias de seguridad que no estén en el mismo equipo. Desconfiar de cualquier mensaje que te pida pagar o cambiar el número de cuenta. Y saber a quién llamar si pasa algo: el 017.

Ninguna de las cinco exige contratar a nadie. Te las cuento en el orden en que yo las haría: primero, la que más protege.

1. La verificación en dos pasos, empezando por el correo

Si alguien entra en tu correo, puede pedir una contraseña nueva para casi todo lo demás: las redes, tu web, tu programa de facturas. Por eso el correo va primero.

La verificación en dos pasos hace que, además de la contraseña, haga falta algo que solo tienes tú. Normalmente es un código en el móvil. Actívala, en este orden:

• El correo del negocio.
• Tu ficha de Google y tus redes.
• El acceso a tu web y a tu programa de facturas.
• La banca online: casi siempre ya la tiene, pero comprueba que está activa.

Y una contraseña distinta para cada cuenta. Si te cuesta recordarlas, usa un gestor de contraseñas: un programa que las guarda cifradas y te las rellena. Apuntarlas en un papel junto al ordenador no cuenta.

2. Todo al día

Las actualizaciones arreglan fallos que otros ya conocen. Dejar el aviso de «actualizar» para mañana durante meses es dejar la puerta conocida abierta.

• Móvil y ordenador: actualizaciones automáticas activadas.
• Programas: los que ya no usas, fuera. Uno sin usar también hay que tenerlo al día.
• Tu web: si se edita desde un panel, con complementos instalados, alguien tiene que ponerla al día. Si no sabes quién lo hace, pregúntalo: puede que no lo haga nadie.

Un caso reciente: el fallo de PHP de octubre de 2026 y qué revisar en tu web.

3. Copias de seguridad que sirvan de verdad

Una copia en el mismo ordenador no te salva si se rompe o te lo roban. Tampoco si un programa te bloquea los archivos y te pide un rescate. Lo que yo haría:

• Una copia fuera de tu equipo. En un disco que desconectas al terminar, o en una nube distinta de la que usas a diario.
• Al menos una prueba de recuperación. Abre un archivo de la copia y comprueba que está entero. Si nunca la has probado, no sabes si te va a servir.
• Tu web, aparte. Pregunta a quien la lleva dónde están las copias, cada cuánto se hacen y cuánto se tarda en recuperarla.

4. Los engaños llegan por correo y por WhatsApp

Muchos sustos empiezan con un mensaje bien hecho que pide algo con prisa:

• Una factura de un proveedor de siempre, pero con un número de cuenta nuevo.
• Un «soy yo, haz una transferencia urgente, luego te explico».
• Un aviso del banco o de la paquetería con un enlace para «verificar» tus datos.

Mi regla es sencilla. Si un mensaje te pide pagar o cambiar el número de cuenta, compruébalo por otro canal. Llama al número que ya tenías, no al que viene en el mensaje. Y el código que te llega al móvil no se lo das a nadie, diga quien diga que es. Y si trae un enlace para «verificar» algo, no lo abras: entra desde la aplicación o la web que ya usas.

5. Si pasa algo: a quién llamar

Ten a mano el 017. Es la línea de ayuda del Instituto Nacional de Ciberseguridad (INCIBE). El propio INCIBE la describe como un servicio nacional, gratuito, confidencial y personalizado. Va dirigido a ciudadanos, empresas y profesionales, entre otros. Atiende de 8:00 a 23:00, los 365 días del año, por estas vías:

• Teléfono: el 017.
• WhatsApp: el 900 116 117, guardándolo antes en tu agenda.
• Telegram: el alias @INCIBE017.
• Formulario web, con respuesta por correo.

Si el problema afecta a datos personales, de clientes o de empleados, hay una obligación más. El reglamento europeo de protección de datos (RGPD) lo llama violación de la seguridad de los datos personales. Incluye que se pierdan, se alteren, se destruyan o los vea quien no debe (artículo 4.12).

En ese caso, tienes que avisar a la Agencia Española de Protección de Datos sin dilación indebida (artículo 33). Si es posible, como tarde 72 horas después de enterarte. Si avisas más tarde, tienes que explicar por qué. Solo te libras de avisar si es improbable que suponga un riesgo para las personas afectadas. Aun así, apunta qué pasó, qué efectos tuvo y qué hiciste: eso se documenta siempre (artículo 33.5).

Y si es probable que el riesgo para ellas sea alto, también tienes que avisarles, sin dilación indebida (artículo 34). Hay excepciones, como que los datos estuvieran cifrados y nadie pueda leerlos. Por eso conviene saber qué datos guardas y dónde.

Lo que haría yo, en orden

1. Activar la verificación en dos pasos en el correo.
2. Activar las actualizaciones automáticas del móvil y del ordenador.
3. Hacer una copia fuera del equipo y probar que se abre.
4. Contarle a quien trabaja contigo la regla del otro canal.
5. Guardar el 017 y el 900 116 117 en el móvil.

Todo esto lo puedes hacer tú, sin contratar a nadie.

Tu web, si prefieres no pensar en ella

La web no entra en esa lista: alguien tiene que ponerla al día. Antes de nada, pregunta a tu proveedor de alojamiento si ya incluye copias y actualizaciones automáticas. Si solo necesitas eso, puede bastarte.

Si la quieres al día y con copias sin tener que acordarte, es el plan Mantenimiento: 297 €/mes más IVA, sin permanencia. La ponemos al día, guardamos copias por si algo se rompe y, si deja de funcionar, nos enteramos nosotros. Ojo: cubre tu web, no tu ordenador ni tu correo. Eso sigue siendo cosa tuya.