Agosto es, para muchas pymes canarias, el mes más tranquilo del año… o el más caótico, según el sector. En hostelería, comercio y turismo la actividad está en pico; en despachos profesionales, industria y servicios B2B, la oficina se queda medio vacía. En ambos casos ocurre lo mismo: la tecnología se desatiende. Nadie revisa avisos, los equipos se quedan encendidos sin supervisión, las actualizaciones se posponen «para cuando vuelva todo el mundo» y las incidencias pequeñas se acumulan hasta convertirse en un problema serio en septiembre.
La vuelta al trabajo es, precisamente por eso, uno de los mejores momentos del año para hacer una revisión de seguridad. No hace falta un proyecto enorme ni parar la actividad: con un par de horas bien invertidas se detectan la mayoría de los agujeros que un atacante aprovecharía. A continuación te dejamos el checklist que aplicamos en Xenic Technology cuando una empresa nos pide una revisión de septiembre.
1. Comprueba que las copias de seguridad realmente funcionan
Es el punto número uno por una razón: es el que más veces falla en silencio. Un backup que lleva seis semanas dando error no avisa a nadie si el correo de alertas va a un buzón que nadie mira en agosto. Y cuando se necesita, ya es tarde.
No basta con mirar si el software dice «correcto». Hay que verificar tres cosas: que la última copia es reciente, que incluye todo lo que debería incluir (servidores, carpetas compartidas, buzones de correo, la base de datos del ERP) y, sobre todo, que se puede restaurar. Una prueba de restauración de un par de archivos al azar cuesta diez minutos y es la única forma de saber que la copia sirve.
Si trabajas con la regla 3-2-1 (tres copias, en dos soportes distintos, una de ellas fuera de la oficina), revisa también que la copia externa se esté sincronizando. Es habitual que el disco de rotación que alguien se lleva a casa lleve meses sin cambiarse.
2. Revisa quién sigue teniendo acceso
El verano suele traer movimiento de personal: refuerzos de temporada, becarios, sustituciones, y también bajas definitivas. Cada una de esas personas ha tenido credenciales de acceso a algo, y no siempre se desactivan al terminar.
Haz una lista de usuarios activos en los sistemas principales —dominio o Microsoft 365, ERP, gestión, correo, acceso remoto, panel del hosting— y compárala con la plantilla real a día de hoy. Todo lo que no cuadre, se desactiva. Y aprovecha para revisar permisos: es muy común que alguien que cambió de puesto hace dos años siga teniendo acceso a carpetas de nóminas o de dirección simplemente porque nadie se lo quitó.
3. Actualiza todo lo que se quedó a medias
Los parches de seguridad son el mantenimiento más barato que existe y el que más se aplaza. Si durante agosto se han ido posponiendo reinicios y actualizaciones, septiembre es el momento de ponerse al día. En concreto:
- Sistemas operativos de servidores y puestos de trabajo, incluidos los portátiles que han estado fuera de la oficina.
- Firmware del router, del firewall y de los puntos de acceso wifi, que casi nunca se actualiza solo.
- Navegadores y aplicaciones de ofimática, que son la vía de entrada más habitual.
- Aplicaciones de gestión y CMS: si tienes una web en WordPress o similar, revisa plugins y plantillas. Un plugin abandonado es una puerta abierta.
- NAS y dispositivos de almacenamiento, especialmente si son accesibles desde internet.
4. Repasa el correo, que sigue siendo la puerta principal
La gran mayoría de los incidentes en pymes empiezan en un correo. Y septiembre es temporada alta de phishing: mensajes de «renovación de licencia», facturas pendientes de agosto, supuestos avisos de la Agencia Tributaria o cambios de cuenta bancaria de un proveedor. El fraude del CEO —un correo que parece del gerente pidiendo una transferencia urgente— suele intentarse justo cuando la dirección está de viaje o recién incorporada.
Comprueba que el filtro antispam sigue activo y bien configurado, que los registros SPF, DKIM y DMARC de tu dominio están correctos (evitan que suplanten tu propio dominio para engañar a tus clientes) y que el equipo sabe qué hacer ante un correo sospechoso: no responder, no reenviar, avisar. Un recordatorio de cinco minutos en la primera reunión de septiembre vale más que cualquier documento de veinte páginas.
5. Contraseñas y doble factor
Si en tu empresa todavía circulan contraseñas en un Excel, en un post-it bajo el teclado o compartidas por WhatsApp, este es el momento de cortar esa práctica. Un gestor de contraseñas corporativo resuelve el problema por muy poco dinero y evita el clásico «se fue Juan y nadie sabe la clave del banco».
Y sobre todo: activa el doble factor de autenticación (2FA) en todo lo que sea accesible desde fuera de la oficina. Correo corporativo, acceso remoto, panel de administración de la web, banca electrónica, plataformas cloud. Es la medida individual que más ataques detiene y su coste es prácticamente cero.
6. Comprueba el estado físico y el inventario
En Canarias hay dos factores que castigan al hardware más de lo que la gente cree: el calor y el salitre. Un servidor en un cuarto sin ventilación adecuada durante un agosto entero sufre, y los equipos en locales cercanos a la costa acumulan corrosión. Aprovecha para revisar temperatura del rack, ventiladores, filtros de polvo, estado de los SAI (las baterías se degradan y muchas dejan de aguantar un corte real a los tres o cuatro años) y avisos de discos duros en los servidores y NAS.
Aprovecha también para actualizar el inventario: qué equipos hay, dónde están, qué licencias tienes y cuáles caducan este trimestre. Es aburrido, pero es la base de cualquier decisión de presupuesto para el año que viene.
7. Ten claro a quién llamar
Si mañana la empresa se queda sin sistemas, ¿quién lo resuelve y en cuánto tiempo? Ese dato debería estar escrito y accesible fuera de los propios sistemas: teléfono del soporte informático, del proveedor de internet, del banco, y un contacto de referencia interno. En una empresa con oficinas en varias islas, además, conviene tener claro qué se resuelve en remoto y qué requiere desplazamiento.
Una hoja impresa en un cajón puede parecer poco tecnológica, pero cuando el correo y el servidor de ficheros están caídos, es lo único que funciona.
Empieza el curso con los deberes hechos
Ninguno de estos puntos requiere una gran inversión. Lo que requieren es que alguien se siente a hacerlos, y esa es justo la parte que se aplaza indefinidamente cuando no hay un responsable claro. Con un servicio de mantenimiento informático gestionado, este checklist no es una tarea de septiembre: es algo que se revisa de forma continua durante todo el año.
En Xenic Technology llevamos años trabajando con pymes de Canarias, con oficinas propias en Tenerife y Gran Canaria y soporte remoto en el resto de las islas. Si quieres saber en qué punto está realmente la seguridad de tu empresa antes de que arranque el curso, puedes solicitar una auditoría informática gratuita y te contamos, sin compromiso, qué encontramos y qué conviene priorizar.