Cómo proteger tu empresa de los ciberataques: guía completa para empresas medianas
Resume este artículo con tu IA
Proteger una empresa de los ciberataques no consiste en comprar herramientas, sino en ordenar cuatro cosas: saber qué tienes expuesto, controlar quién accede a qué, detectar lo que entra pese a todo y tener decidido de antemano cómo responder. Esta guía recorre ese camino completo, desde los conceptos básicos hasta un plan de 90 días para empezar.
Puntos clave
- El riesgo se gestiona, no se elimina. Amenaza, vulnerabilidad y vector se combinan sobre un activo concreto y producen un riesgo que hay que priorizar y, en parte, aceptar de forma consciente.
- Los atacantes ya no entran principalmente por malware. En 2026, la explotación de vulnerabilidades es la primera vía de entrada, y casi la mitad de las brechas involucra a un tercero.
- Un ataque tiene fases. Romper la cadena en cualquiera de ellas lo detiene, y cuanto antes ocurra, más barato sale.
- Cuatro frentes cubren la mayor parte del riesgo real: identidad y accesos, aplicaciones expuestas, capacidad de detección y las personas.
- Sin gobierno no hay progreso. Inventario, análisis de riesgos, priorización y métricas convierten esfuerzos aislados en una posición de seguridad demostrable ante un cliente, un auditor o un regulador.
1. Entender el riesgo antes de comprar nada
El error más caro en ciberseguridad no es comprar la herramienta equivocada: es comprar antes de saber qué se está protegiendo. Y para eso hacen falta cuatro conceptos que se confunden constantemente.
Amenaza es cualquier suceso capaz de causar daño: ransomware, fuga de datos, incendio, error humano. Existe con independencia de lo que hagas y no puedes eliminarla.
Vulnerabilidad es la debilidad que permite que ese daño ocurra: un servidor sin parchear, una cuenta sin doble factor, un proceso que nadie ejecuta. Esta sí es tuya, está dentro de tu perímetro y es sobre lo que puedes actuar.
Vector de ataque es la ruta que recorre el atacante para llegar hasta esa debilidad: un correo de phishing, una VPN expuesta, un proveedor comprometido.
Riesgo es lo único que se gestiona de verdad: la probabilidad de que la amenaza se materialice multiplicada por el impacto sobre un activo concreto.
El orden importa, y es donde más gente se pierde: un actor de amenaza utiliza un vector para alcanzar y explotar una vulnerabilidad de un activo, materializando una amenaza con un impacto determinado.
Una consecuencia práctica de esta lógica: la misma vulnerabilidad puede ser urgente en un servidor publicado con datos de clientes e irrelevante en un equipo aislado de laboratorio. Sin conocer el activo, cualquier lista de prioridades es arbitraria.
Desarrollado en detalle
Amenaza, vulnerabilidad y vector de ataque: qué son y cómo se relacionan
Por qué no puedes corregirlo todo
Durante 2025 se publicaron 48.185 vulnerabilidades nuevas con identificador CVE, unas 131 al día. Frente a esa cifra, el dato que cambia la perspectiva: solo alrededor del 1 % se ha confirmado explotada en el mundo real, y el catálogo de vulnerabilidades explotadas conocidas de CISA cerró 2025 con 1.484 entradas.
La conclusión no es tranquilizadora, es operativa: el trabajo no consiste en cerrarlo todo, sino en identificar ese porcentaje pequeño que importa y cerrarlo rápido.
2. Cómo se desarrolla un ciberataque real
Los ataques no ocurren de golpe. Siguen una secuencia, y esa secuencia es la mejor herramienta que tiene el defensor.
El modelo de referencia es la Cyber Kill Chain, formulada por Lockheed Martin en 2011. Descompone la intrusión en siete fases: reconocimiento, preparación del artefacto, distribución, explotación, instalación, mando y control, y acciones sobre el objetivo.
La premisa es asimétrica y favorece al defensor: el atacante debe completar todas las fases; a ti te basta con romper una.
Lo que suele omitirse es la parte más útil del modelo. Sus autores propusieron cruzar cada fase con seis tipos de acción defensiva —detectar, denegar, interrumpir, degradar, engañar y destruir— y comprobar qué tienes en cada celda. Las casillas vacías son tu plan de trabajo, y casi siempre se concentran en las mismas: instalación y mando y control.
El argumento económico refuerza la idea. Un ataque detenido en la fase de distribución es un correo bloqueado. El mismo ataque detenido en mando y control son días de trabajo del equipo. Y sin detener, son semanas, notificaciones legales y una cifra que ya no controlas.
Las siete fases, sus controles y las limitaciones del modelo
Cyber Kill Chain: las 7 fases de un ciberataque y cómo romper la cadena
Por dónde entran hoy: los cuatro vectores dominantes
El informe Data Breach Investigations Report (DBIR) 2026 de Verizon, publicado el 19 de mayo de 2026 con incidentes ocurridos entre noviembre de 2024 y octubre de 2025, ordena así las vías de entrada:
| Vector | Peso en las brechas | Qué implica para ti |
|---|---|---|
| Explotación de vulnerabilidades | 31 % como vía de entrada | Primera posición por primera vez. La mediana de tiempo hasta parchear subió a 43 días |
| Compromiso de terceros | 48 % de las brechas | Crecimiento interanual del 60 %. Tu seguridad depende de la de tus proveedores |
| Abuso de credenciales | 13 % inicial, 39 % en la cadena completa | La técnica más presente del informe. Una credencial válida convierte al intruso en usuario legítimo |
| Phishing | 16 % como vía de entrada | Sigue siendo la puerta preferida hacia las credenciales |
Dos lecturas para un responsable de IT. La primera: los atacantes han cambiado por dónde entran, pero no lo que buscan al entrar. La segunda, más incómoda: casi la mitad de las veces el punto débil no está en tu empresa, sino en alguien que trabaja contigo.
4. Defensa 1: identidad y control de accesos
Si el abuso de credenciales aparece en el 39 % de las brechas, la identidad es el primer frente, no el tercero.
Las reglas cambiaron de forma sustancial con la publicación de NIST SP 800-63B-4, en julio de 2025, que sustituyó al estándar anterior. Tres cambios que contradicen lo que la mayoría de las empresas españolas tiene configurado:
- Longitud por encima de complejidad. El mínimo recomendado sube a 15 caracteres cuando la contraseña es el único factor, y se prohíbe imponer reglas arbitrarias de composición. Obligar a una mayúscula y un símbolo produce Empresa2026!, no seguridad.
- Se acabó la caducidad periódica. El cambio solo debe forzarse ante evidencia de compromiso. La rotación cada 90 días genera variaciones predecibles y satura al servicio de soporte sin aportar protección.
- Cribado contra listas de contraseñas filtradas. Es el control que sustituye funcionalmente a la caducidad: se cambia la contraseña cuando hay un motivo real.
A esto se suma el doble factor, que en España no es solo buena práctica: el Esquema Nacional de Seguridad lo exige para los accesos desde zonas no controladas en su medida de mecanismos de autenticación. Y no todos los segundos factores valen igual: el código por SMS quedó fuera de los métodos válidos para el nivel de garantía AAL2 en la última revisión del estándar.
Prioridad práctica: doble factor resistente al phishing en todas las cuentas privilegiadas, gestor de contraseñas corporativo desplegado de verdad y una revisión de accesos que incluya cuentas de servicio, cuentas genéricas y accesos de proveedores. Ese último grupo es el punto ciego habitual.
La política paso a paso y cómo aplicarla en Entra ID o Active Directory
Contraseñas seguras en la empresa: cómo crear una política que de verdad proteja
5. Defensa 2: tus aplicaciones y APIs expuestas
Todo lo que publicas en internet es superficie de ataque. Y en una empresa con producto digital, la mayor parte de esa superficie ya no son webs: son APIs.
Una API no tiene interfaz que oculte los errores. Expone directamente la lógica de negocio y espera peticiones de cualquier cliente capaz de construirlas. El resultado es que los fallos que dominan el sector no son exóticos: son fallos de autorización.
La referencia es el OWASP API Security Top 10, cuya edición estable sigue siendo la de 2023 —conviene saberlo, porque se confunde a menudo con el OWASP Top 10 de aplicaciones web, que sí publicó edición nueva en enero de 2026—. Sus tres primeros puestos son variantes del mismo problema: la API comprueba quién eres, pero no si ese dato concreto te pertenece.
El caso típico es el más simple de todos: un cliente consulta /api/pedidos/1043, el atacante prueba con 1044, y la API responde. Automatizarlo lleva minutos.
Tres comprobaciones que ordenan este frente
- Inventario. No puedes proteger las APIs que no sabes que tienes. Versiones antiguas que siguen respondiendo y entornos de preproducción accesibles son el punto de partida de muchos incidentes.
- Autorización centralizada. Cuando cada desarrollador resuelve los permisos a su manera, el olvido es cuestión de tiempo.
- Pruebas manuales, no solo escáneres. Los fallos de autorización y de lógica de negocio requieren entender qué debería poder hacer cada rol. Ninguna herramienta automática lo deduce.
Un apunte sobre el WAF, porque es la pregunta que aparece siempre: ayuda con patrones maliciosos conocidos y con la limitación de peticiones, pero no puede detectar un fallo de autorización. Cuando el atacante cambia 1043 por 1044, la petición es formalmente perfecta.
Los diez riesgos con ejemplo y mitigación, más un laboratorio gratuito
Vulnerabilidades en APIs: las 10 más críticas y cómo mitigarlas
6. Defensa 3: detección y respuesta
Aquí está la diferencia entre una empresa que sufre incidentes y una que sufre crisis.
Nadie evita el 100 % de las entradas. Con phishing en el 16 % de las brechas y compromiso de terceros en el 48 %, asumir que algo acabará entrando no es pesimismo: es planificación. Lo que marca la diferencia es cuánto tardas en darte cuenta.
Las señales que hay que poder ver son concretas:
- Creación de servicios, tareas programadas y cuentas fuera del proceso normal.
- Tráfico saliente periódico hacia destinos desconocidos.
- Accesos administrativos fuera de horario o desde ubicaciones inhabituales.
- Cientos de peticiones secuenciales fallidas contra identificadores consecutivos.
- Transferencias de datos inusualmente voluminosas.
Todas requieren tres cosas: registro centralizado de eventos, reglas que sepan qué buscar y alguien mirando. Y la tercera es la que falla, porque los atacantes eligen deliberadamente las noches, los fines de semana y los puentes.
Ahí está la decisión honesta para una empresa mediana: sostener un equipo interno con cobertura continua no es viable económicamente en la mayoría de los casos. Un servicio de detección y respuesta gestionada 24×7 existe precisamente para cubrir las horas en las que no hay nadie.
La otra mitad es la respuesta. Un plan de una página —quién decide, quién comunica, a qué teléfono se llama de madrugada, cuándo se corta el servicio y cuándo se contiene— vale más que cualquier herramienta improvisada a las tres de la mañana. Y las copias de seguridad solo cuentan si están aisladas de la red y si alguien ha probado a restaurarlas.
7. Defensa 4: las personas
El phishing sigue funcionando porque no ataca sistemas: aprovecha la prisa, la jerarquía y la rutina.
Lo que no funciona es la charla anual de una hora. Lo que sí:
- Simulaciones periódicas con escenarios realistas del sector y del momento: falso proveedor, urgencia de dirección, cambio de cuenta bancaria.
- Métricas de mejora, no de castigo. El indicador útil no es cuántos pican, sino cuántos reportan. Un empleado que avisa a los dos minutos es un sensor de detección.
- Un canal de aviso sin fricción y sin culpa. Si reportar implica una bronca, nadie reporta y pierdes la señal más rápida que tienes.
- Formación específica para los perfiles de mayor exposición: finanzas, compras, dirección y administradores de sistemas.
Conviene además tratar la comunicación como parte del control: avisar a clientes y proveedores de qué comunicaciones envías y cuáles no reduce el margen de la suplantación.
La concienciación continua es lo que sostiene este frente durante todo el año. Para equipos técnicos, el curso estratégico de ciberseguridad cubre los fundamentos.
8. Momentos de riesgo elevado
El riesgo no es constante a lo largo del año. Hay periodos en los que se multiplica y que conviene tener marcados en el calendario:
- Campañas comerciales y picos estacionales. Más tráfico camufla lo anómalo, se despliegan cambios de última hora y el equipo está saturado.
- Migraciones y cambios de plataforma. Configuraciones temporales que se quedan, accesos ampliados «solo mientras dure» y sistemas antiguos que nadie apaga.
- Fusiones y adquisiciones. Heredas la superficie de ataque de otra organización, incluidas las cuentas y los proveedores que no conoces.
- Bajas de personal y fin de contratos con proveedores. El acceso que no se revoca a tiempo es una de las vulnerabilidades de proceso más frecuentes.
- Periodos vacacionales y puentes largos. Cobertura mínima y tiempos de reacción máximos.
La regla que más incidentes evita en estos periodos no es tecnológica: congelar los cambios en producción. Es gratis, no requiere herramienta alguna y elimina de golpe la causa más habitual de caídas y errores de configuración en el peor momento.
Un caso trabajado en detalle, con calendario y requisitos de PCI DSS
Seguridad para tu tienda online en Black Friday y Navidad
9. De acciones aisladas a un modelo de gobierno
Aquí está la diferencia entre gastar en ciberseguridad y avanzar en ciberseguridad.
Muchas empresas medianas tienen antivirus, cortafuegos, copias de seguridad y hasta doble factor, y aun así no saben responder a la pregunta de si están mejor que hace un año. La causa es siempre la misma: hay controles, pero no hay gobierno.
Gobernar la ciberseguridad significa cinco cosas concretas:
- Inventario de activos. Qué sistemas, aplicaciones, datos y proveedores tienes, quién es responsable de cada uno y cuáles están expuestos. Es el paso que más se salta y el que más caro sale, porque sin él todo lo demás es opinión.
- Análisis de riesgos. Cruzar activos, amenazas plausibles y vulnerabilidades detectadas para obtener una lista ordenada de decisiones, no un informe de trescientas páginas que nadie lee.
- Priorización explícita. Qué se corrige ahora, qué se corrige este trimestre y qué se acepta de forma consciente. El riesgo residual nunca es cero, y pretender lo contrario lleva a inversiones desproporcionadas.
- Métricas reportables a dirección. Cobertura de doble factor, tiempo medio de parcheo de vulnerabilidades críticas, cuentas con credenciales detectadas en filtraciones, tiempo de revocación de accesos tras una baja y porcentaje de reporte de phishing. Cinco indicadores bastan.
- Revisión periódica. Anual como mínimo, y siempre después de un incidente o de un cambio normativo.
Este es el punto donde la ciberseguridad deja de ser un asunto del departamento de IT y pasa a ser una responsabilidad de dirección. NIS2, de hecho, lo establece de forma explícita.
Si no sabes por dónde empezar, un diagnóstico del estado real de tu ciberseguridad ordena los cinco puntos anteriores en semanas y devuelve una lista priorizada en lugar de una sensación.
10. Qué te exige la normativa
Cinco marcos afectan hoy a una empresa mediana española, con distinta intensidad según sector y actividad:
Directiva NIS2 (Directiva UE 2022/2555)
Su artículo 21 exige medidas de gestión de riesgos que incluyen políticas de análisis de riesgos, control de acceso, gestión de vulnerabilidades, seguridad de la cadena de suministro y autenticación multifactor. Responsabiliza directamente al órgano de dirección de aprobar y supervisar esas medidas, con multas de hasta 10 millones de euros o el 2 % de la facturación global para entidades esenciales. En España la transposición se ha producido de forma parcial mediante el Real Decreto-ley 7/2025, mientras la Ley de Coordinación y Gobernanza de la Ciberseguridad continúa su tramitación.
Esquema Nacional de Seguridad (Real Decreto 311/2022)
Obligatorio para el sector público y para los proveedores que le prestan servicio. Regula los mecanismos de autenticación y establece refuerzos crecientes según la categoría del sistema.
ISO/IEC 27001:2022
El marco de referencia para demostrar gestión de la seguridad de la información ante clientes y licitaciones. Cubre expresamente la información de autenticación, el desarrollo seguro y la gestión de vulnerabilidades técnicas.
RGPD
El artículo 32 exige medidas técnicas apropiadas al riesgo, y los artículos 33 y 34 fijan la obligación de notificar las brechas a la autoridad de control en 72 horas y de comunicarlas a los afectados cuando el riesgo sea alto.
PCI DSS 4.0.1
Si aceptas pagos con tarjeta. Sus requisitos con fecha diferida son obligatorios desde el 31 de marzo de 2025, incluidos los que obligan a inventariar, autorizar y verificar la integridad de todos los scripts de la página de pago.
Un detalle que ahorra dinero: estos marcos se solapan mucho. El inventario de activos, la política de accesos, la gestión de vulnerabilidades y el plan de respuesta sirven para los cinco. Abordarlos por separado, uno por norma, es la forma más cara de cumplir.
Si NIS2 te aplica o no lo tienes claro, el diagnóstico NIS2 resuelve la duda, y la solución de adecuación a NIS2 cubre el recorrido completo.
11. Plan de 90 días: por dónde empezar
Ninguna empresa pasa de cero a madura en un trimestre. Pero sí puede pasar de no saber a saber, que es el salto que más rentabilidad tiene.
Días 1-30
Saber qué tienes
- Inventario de activos y de superficie expuesta. Qué hay publicado en internet, incluidos entornos de pruebas, paneles de administración y subdominios olvidados.
- Inventario de proveedores con acceso a tus sistemas o a tus datos, con responsable asignado a cada uno.
- Revisión de accesos privilegiados. Cuántos administradores hay realmente, cuántas cuentas de servicio existen y quién responde por ellas.
- Comprobación de credenciales corporativas presentes en filtraciones conocidas.
- Verificación de copias de seguridad: restaurar una de verdad, no consultar el informe del backup.
Días 31-60
Cerrar lo evidente
- Doble factor obligatorio en accesos remotos y en todas las cuentas privilegiadas, empezando por métodos resistentes al phishing.
- Actualización de la política de contraseñas al estándar vigente, con gestor corporativo desplegado.
- Parcheo priorizado de lo que está expuesto a internet y aparece en el catálogo de vulnerabilidades explotadas.
- Retirada de lo que sobra: servicios sin uso, versiones antiguas, extensiones no utilizadas, accesos caducados.
- Plan de respuesta a incidentes de una página, con contactos verificados por teléfono.
Días 61-90
Ver y sostener
- Registro centralizado de eventos con las alertas mínimas de persistencia, accesos anómalos y tráfico saliente.
- Decisión sobre la cobertura 24×7: interna, mixta o externalizada.
- Primera prueba de intrusión sobre lo más crítico, con margen para corregir. Un pentesting recurrente tiene más valor que una auditoría anual si tu producto cambia con frecuencia.
- Programa de concienciación con simulaciones y métrica de reporte.
- Cuadro de mando de cinco indicadores para presentar a dirección.
Al final de los 90 días no tendrás una empresa invulnerable. Tendrás algo más útil: saber dónde estás, qué falta y en qué orden atacarlo.
Checklist de arranque
- Inventario de activos y superficie expuesta completado
- Proveedores con acceso identificados y con responsable asignado
- Doble factor en accesos remotos y cuentas privilegiadas
- Política de contraseñas actualizada y gestor corporativo desplegado
- Copias de seguridad aisladas y con restauración probada
- Parcheo priorizado de lo expuesto a internet
- Plan de respuesta a incidentes redactado y contactos verificados
- Registro centralizado de eventos con alertas mínimas
- Decisión tomada sobre la cobertura 24×7
- Cuadro de mando de cinco indicadores para dirección
12. Cuándo tiene sentido externalizar
No todo debe externalizarse, y conviene decirlo con claridad.
Se sostiene bien internamente: el inventario de activos, la gestión de accesos, la relación con proveedores, la política de seguridad y la decisión sobre qué riesgo se acepta. Todo esto requiere conocimiento del negocio que un externo no tiene.
Cuesta mucho sostener internamente: la vigilancia continua 24×7, las pruebas ofensivas especializadas, la respuesta a incidentes graves y la actualización permanente frente a amenazas nuevas. Son funciones que exigen equipo, turnos y especialización difíciles de justificar para una plantilla mediana.
La señal de que ha llegado el momento suele ser una de estas tres: el equipo de IT dedica más tiempo a apagar fuegos de seguridad que a proyectos, un cliente o una licitación empieza a exigir evidencias que no puedes aportar, o hay una obligación normativa con plazo.
13. Preguntas frecuentes
Por el inventario de activos y una evaluación del estado real. Sin saber qué tienes, qué está expuesto y qué valor tiene cada cosa, cualquier inversión en herramientas se hace a ciegas. A partir de ahí: doble factor, copias probadas, parcheo priorizado y plan de respuesta.
No existe un porcentaje universal válido: depende del sector, del volumen de datos personales, de las obligaciones normativas y del coste de un día de parada. El enfoque útil es el inverso: calcula qué te costaría estar cinco días sin operar y dimensiona la inversión frente a esa cifra.
No. Cubren una parte del problema, pero no detectan fallos de autorización, ni el abuso de credenciales válidas, ni el compromiso de un proveedor. El abuso de credenciales aparece en el 39 % de las brechas según el DBIR 2026, y ninguna de esas herramientas lo ve.
Tres cosas: doble factor en todos los accesos remotos y privilegiados, copias de seguridad aisladas y con restauración probada, y revocación rápida de accesos cuando alguien deja la empresa o termina un contrato. Ninguna requiere una inversión significativa.
Depende del sector y del tamaño. NIS2 distingue entidades esenciales e importantes en sectores como energía, transporte, salud, banca, infraestructura digital, administración pública y fabricación, a partir de los umbrales de mediana empresa. Muchas organizaciones se ven afectadas indirectamente como proveedoras de una entidad obligada.
Depende del ritmo de cambio. Con despliegues frecuentes, lo razonable es combinar pruebas automatizadas continuas con pruebas manuales recurrentes, y añadir una revisión específica ante cada cambio del modelo de permisos, migración o incorporación de un proveedor con acceso.
La prevención evita que el ataque tenga éxito; la detección descubre lo que ha conseguido entrar pese a todo. Ninguna organización previene el 100 %, así que la capacidad de detección determina si un incidente se queda en molestia o se convierte en crisis.
No conviene. La decisión sobre qué riesgo se acepta, la relación con proveedores y el conocimiento del negocio deben quedarse dentro. Lo que sí tiene sentido delegar es la vigilancia continua, las pruebas ofensivas especializadas y la respuesta a incidentes graves.
Fuentes
- Verizon, 2026 Data Breach Investigations Report, publicado el 19 de mayo de 2026 (incidentes entre el 1 de noviembre de 2024 y el 31 de octubre de 2025).
- NIST, Special Publication 800-63B-4: Digital Identity Guidelines, julio de 2025. csrc.nist.gov
- Hutchins, E. M.; Cloppert, M. J.; Amin, R. M. (2011). Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains. Lockheed Martin.
- OWASP Foundation, OWASP API Security Top 10 2023. owasp.org
- Programa CVE y catálogo Known Exploited Vulnerabilities de CISA, datos de cierre de 2025.
- PCI Security Standards Council, PCI DSS v4.0.1 y requisitos de comercio electrónico efectivos desde el 31 de marzo de 2025.
- Directiva (UE) 2022/2555 (NIS2); Real Decreto-ley 7/2025; Real Decreto 311/2022 (ENS); Reglamento (UE) 2016/679 (RGPD); ISO/IEC 27001:2022.
