La ciberseguridad básica de una PyME cabe en pocas acciones: activar el doble factor en todas las cuentas (empezando por el correo y el banco), usar un gestor de contraseñas, mantener todo actualizado, tener respaldos probados, dar a cada persona solo los accesos que necesita, entrenar al equipo para reconocer el phishing y tener un plan escrito para el día del incidente. En México, la ley de datos personales ya te obliga a proteger los datos de tus clientes y a avisarles si se vulneran.
¿Por dónde empieza una PyME con la ciberseguridad?
Por un marco sencillo, no por comprar herramientas. El más usado es el Marco de Ciberseguridad del NIST, cuya versión 2.0 se publicó el 26 de febrero de 2024. Es voluntario, sirve para empresas de cualquier tamaño y organiza la seguridad en seis funciones:
| Función | La pregunta que responde | Ejemplo en una PyME |
|---|---|---|
| Gobernar | ¿Quién decide y qué riesgos aceptamos? | Un responsable con nombre y una política de uso de equipos |
| Identificar | ¿Qué tenemos que proteger? | Lista de sistemas, cuentas y datos sensibles |
| Proteger | ¿Cómo evitamos el daño? | Doble factor, actualizaciones, respaldos |
| Detectar | ¿Cómo nos damos cuenta? | Antivirus, alertas de inicios de sesión fallidos |
| Responder | ¿Qué hacemos cuando pasa? | Plan de incidentes con a quién llamar |
| Recuperar | ¿Cómo volvemos a operar? | Restaurar respaldos en el orden correcto |
El NIST publicó además una guía rápida para pequeñas y medianas empresas «con planes de ciberseguridad modestos o inexistentes». Casi todo lo que sigue sale de ahí y de las guías de CISA, la agencia de ciberseguridad de Estados Unidos.
¿Qué te exige la ley en México sobre ciberseguridad?
Hoy, lo que más directamente obliga a una empresa privada es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025. Su artículo 18 pide medidas de seguridad administrativas, técnicas y físicas contra daño, pérdida, alteración, destrucción o acceso no autorizado. Y su artículo 19 obliga a informar de inmediato a las personas afectadas cuando una vulneración de seguridad afecte de forma significativa sus derechos patrimoniales o morales.
¿Y lo nuevo de cara a 2027? El 17 de diciembre de 2025 se publicó en el Diario Oficial la Política General de Ciberseguridad para la Administración Pública Federal, y la Agencia de Transformación Digital tiene pendiente, en su agenda de ciberseguridad para la administración federal, un programa de capacitación para 2026–2027. Ambas cosas están dirigidas al gobierno federal, no a empresas privadas. Si le vendes al gobierno, pregunta qué te pedirán como proveedor. Para tu caso concreto, consulta a tu asesor legal.
Lo que te cuesta ignorarlo: además del daño del ataque, tener que avisar a tus clientes que sus datos se expusieron sin haber tomado las medidas que la ley ya pedía.
¿Cuáles son los controles básicos y cuánto esfuerzo llevan?
| Control | Qué evita | Esfuerzo |
|---|---|---|
| Doble factor (MFA) en todas las cuentas | Que una contraseña robada baste para entrar | Bajo |
| Gestor de contraseñas | Contraseñas repetidas o débiles | Bajo |
| Actualizaciones automáticas | Ataques por fallas ya conocidas | Bajo a medio |
| Respaldos probados | Perderlo todo ante ransomware o una falla | Medio |
| Accesos mínimos y sin administrador en laptops | Que un error o un intruso llegue a todo | Medio |
| Cifrado de disco en laptops | Fuga de datos si se pierde o roban un equipo | Bajo |
| Capacitación contra phishing | Que alguien entregue su contraseña o abra un archivo malicioso | Medio |
| Plan de incidentes escrito | Improvisar en el peor momento | Bajo |
El esfuerzo es una estimación nuestra para una empresa de 20 a 200 personas; los controles vienen de la guía del NIST para pequeñas empresas y de la guía de CISA.
¿Por qué el doble factor es lo primero?
Porque es de lo más barato y rápido que puedes hacer. El NIST lo dice así: activar la autenticación multifactor es una de las formas más rápidas y baratas de proteger tus datos, y recomienda empezar por las cuentas con la información más sensible: banco, contabilidad y fiscal, correo y el propio gestor de contraseñas.
CISA agrega dos ideas útiles: cualquier doble factor es mejor que ninguno, y el único ampliamente disponible que resiste el phishing es el basado en el estándar FIDO. También pide que el doble factor sea obligatorio por configuración, no por buena fe.
En tu ERP aplica igual. Odoo, por ejemplo, permite exigir la autenticación de dos factores a todos los empleados o a todos los usuarios desde los ajustes de permisos. Si un usuario pierde su teléfono, un administrador tiene que desactivarla para que pueda volver a entrar, así que define ese procedimiento antes.
¿Qué tan importante es mantener todo actualizado?
Mucho. CISA lo considera una de las prácticas más rentables para mejorar tu seguridad, y en su guía contra el ransomware pide dar prioridad a los servidores expuestos a internet. Reconoce además que a las empresas pequeñas les cuesta mantenerlos al día, y por eso sugiere migrar a proveedores de nube administrados para reducir, no eliminar, ese trabajo.
Esto incluye tu ERP. Odoo solo publica actualizaciones de seguridad para cada versión durante sus tres años de soporte estándar; si tu sistema corre en una versión vieja en tu propio servidor, se quedó sin parches. Las diferencias de hospedaje las explicamos en Odoo Online, Odoo.sh o servidor propio en AWS, y si tu instalación ya está atrasada, en rescate de Odoo. Si no tienes quién mantenga tus servidores al día, eso también se puede delegar a un equipo de infraestructura.
¿Cómo proteger el correo y al equipo del phishing?
Con configuración y con práctica. Lo que recomienda CISA en su guía contra el ransomware:
- Un programa de concientización y entrenamiento para todo el personal.
- Marcar los correos que vienen de fuera de la empresa.
- Filtrar los tipos de archivo adjunto que suelen traer programas maliciosos.
- Desactivar las macros de los archivos de Office que llegan por correo.
Y una regla de oro para la dirección: ningún cambio de cuenta bancaria de un proveedor ni una transferencia urgente se autoriza solo por correo o WhatsApp; se confirma por otro medio con alguien conocido.
¿Qué revisar en tus proveedores de tecnología?
El NIST pide evaluar los riesgos de proveedores y terceros antes de empezar a trabajar con ellos. Tres preguntas mínimas a quien te hospeda o administra sistemas: ¿quién de su equipo tiene acceso a mis datos y con qué doble factor?, ¿cómo y cada cuánto respaldan, y cuándo fue la última prueba de restauración?, ¿cómo me avisan si hay un incidente? Si los respaldos te generan dudas, lee la regla 3-2-1 explicada para una PyME.
Lo mismo aplica si usas inteligencia artificial con datos de clientes; lo tratamos en cómo proteger los datos de tus clientes cuando usas IA.
¿Qué hacer si tu empresa sufre un ataque?
Seguir el plan que escribiste antes. Según la guía del NIST, un plan básico de respuesta incluye un responsable, la lista de a quién llamar (dirección, contacto técnico, área legal, banco, aseguradora) y qué debes reportar, a quién y cuándo, según leyes y contratos.
En México, la Guardia Nacional, a través de su equipo de respuesta CERT-MX, recibe reportes de incidentes y orienta denuncias en el número de atención ciudadana 088. Recomienda guardar evidencia (capturas de pantalla, mensajes, comprobantes) y no difundirla. Si hubo datos personales afectados de forma significativa, recuerda la obligación de avisar a los titulares.
¿Qué hacer en los próximos 90 días?
- Semana 1: nombra a un responsable y haz la lista de sistemas, cuentas y datos sensibles.
- Semanas 2 a 4: doble factor obligatorio en correo, banco, ERP y gestor de contraseñas; quita permisos de administrador de las laptops.
- Mes 2: revisa actualizaciones y respaldos, y haz una restauración de prueba.
- Mes 3: capacitación contra phishing y un simulacro del plan de incidentes con la dirección presente.
Glosario
- Doble factor (MFA o 2FA)
- Pedir algo más que la contraseña para entrar, como un código del teléfono o una llave física.
- Phishing
- Mensaje falso que se hace pasar por alguien de confianza para robar contraseñas o dinero.
- Ransomware
- Programa malicioso que cifra tus archivos y pide rescate.
- Parche
- Actualización que corrige una falla de seguridad conocida.
- Vulneración de seguridad
- Incidente en el que datos se pierden, se alteran o quedan al alcance de quien no debe.
Preguntas frecuentes
¿Una PyME de verdad es blanco de ataques?
Sí. CISA advierte que las pequeñas empresas a menudo no tienen los recursos para defenderse de amenazas como el ransomware, y por eso las recomendaciones básicas importan más.
¿Necesito contratar un área de seguridad?
No para empezar. El NIST sugiere apoyarse en un proveedor que monitoree equipos y redes si no tienes recursos internos, pero los controles básicos los puede encabezar la dirección.
¿El antivirus es suficiente?
No. Ayuda a detectar, pero no evita que alguien entre con una contraseña robada; para eso está el doble factor.
¿Hay una ley de ciberseguridad para empresas en México?
A noviembre de 2026, lo que obliga directamente a las empresas privadas en este tema es la ley de datos personales. La política de ciberseguridad publicada en diciembre de 2025 es para el gobierno federal.
¿A dónde reporto un ciberdelito?
Al 088 de la Guardia Nacional, que orienta para presentar la denuncia. Guarda la evidencia antes de llamar.
Fuentes: NIST, «NIST Releases Version 2.0 of Landmark Cybersecurity Framework», 26 de febrero de 2024 · NIST SP 1300, «CSF 2.0: Small Business Quick-Start Guide», febrero de 2024 · CISA, «Cyber Guidance for Small Businesses», abril de 2024 · CISA, «#StopRansomware Guide», septiembre de 2023 · Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025, última reforma 14-11-2025) · DOF, «Acuerdo por el que se emite la Política General de Ciberseguridad para la Administración Pública Federal», 17 de diciembre de 2025 · Agencia de Transformación Digital y Telecomunicaciones, agenda de ciberseguridad · Guardia Nacional, «Campaña Nacional de Ciberseguridad 2026», 26 de febrero de 2026 · CERT-MX, «Recomendaciones en caso de ser víctima de un ciberdelito», 2 de julio de 2024 · Documentación de Odoo, «Two-factor authentication» · Documentación de Odoo, «Standard and extended support»
