Qué es la ciberseguridad para pymes y por qué importa

Antes de configurar nada conviene ponerse de acuerdo en qué significa "ciberseguridad" cuando se habla de una empresa de 18 personas y no de un banco o un ministerio. Esta lección le da el mapa: qué es, de dónde vienen los marcos que usará, por qué importa, dónde vive la información de una pyme y el vocabulario que se repite en todo el curso.

Qué es la ciberseguridad para pymes

La ciberseguridad para pymes es el conjunto de decisiones, hábitos y configuraciones que permiten a una empresa pequeña proteger su información y seguir operando aunque sufra un ataque o una falla.

Una pyme es una pequeña o mediana empresa. En Costa Rica, la Ley 8262 de Fortalecimiento de las Pequeñas y Medianas Empresas y el MEIC las clasifican con una fórmula que combina personal, ventas y activos; para este curso basta pensar en organizaciones de unas pocas hasta un par de cientos de personas, sin un equipo dedicado a seguridad.

Proteger la información significa cuidar tres propiedades, conocidas como la tríada CID:

• Confidencialidad: que solo vea los datos quien debe verlos. La planilla no debe llegar a un correo externo.
• Integridad: que los datos no se alteren sin permiso. Un número de cuenta bancaria cambiado en una factura rompe la integridad.
• Disponibilidad: que la información y los sistemas estén ahí cuando se necesitan. El ransomware ataca sobre todo esta propiedad.

En una pyme, la ciberseguridad es menos una cuestión de productos y más de gestión: saber qué se tiene, elegir pocos controles bien hechos y preparar a las personas para un mal día.

Breve historia y contexto

Los marcos que usará en este curso nacieron para organizaciones grandes y se fueron adaptando a las pequeñas:

Año	Hito
2008	Un consorcio de agencias y empresas de EE. UU. publica los controles que luego se conocerían como SANS Top 20, origen de los actuales CIS Controls
2011	Costa Rica aprueba la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales, que crea la PRODHAB
2012	Se crea por decreto el CSIRT-CR, el equipo nacional de respuesta a incidentes
2014	NIST publica la primera versión de su Cybersecurity Framework (CSF)
2017	El ransomware WannaCry se propaga por todo el mundo y afecta a organizaciones de cualquier tamaño
2019	Los CIS Controls v7.1 introducen los Grupos de Implementación; el IG1 se dirige a empresas pequeñas
2021	Se publican los CIS Controls v8, con 18 controles; el IG1 reúne 56 salvaguardas
2022	Ataques de ransomware contra el Ministerio de Hacienda y otras instituciones llevan al Gobierno de Costa Rica a declarar emergencia nacional
2024	NIST publica el CSF 2.0, que agrega la función Gobernar y materiales específicos para pequeñas empresas

El mensaje de esta historia es doble: el ransomware y el fraude dejaron de ser un problema "de otros", y hoy existen guías pensadas para quien no tiene un equipo de seguridad.

Por qué importa en ciberseguridad y en el trabajo

En una pyme la seguridad suele recaer en la gerencia, en la persona administrativa más "tecnológica" o en un técnico externo que atiende a varias empresas. Todas esas personas toman decisiones de seguridad todos los días, aunque no lo llamen así: quién recibe una cuenta, si se compra un disco o una licencia, qué se responde a un correo que pide cambiar una cuenta bancaria.

Para quien quiere trabajar en ciberseguridad, las pymes son además un campo enorme: consultoría, soporte gestionado, auditorías ligeras, capacitación. Quien no domina estos fundamentos termina recomendando productos caros que no resuelven el problema, o dejando sin atender lo básico, que es justamente por donde entran casi todos los ataques. En la lección siguiente verá con detalle qué ataques son esos y cuánto cuestan.

Dónde vive la información de una pyme

Lugar	Ejemplo en Café del Valle	Qué se protege
Correo y ofimática en la nube	Microsoft 365 o Google Workspace	Cuentas, correos, documentos
Banca en línea y SINPE	Cuenta empresarial del banco	Dinero y pagos
Facturación electrónica	Sistema de facturación ante Hacienda	Facturas y datos fiscales
Tienda en línea	Plataforma de comercio electrónico	Pedidos y datos de clientes
Equipos	Laptops, celulares, punto de venta	Archivos locales y accesos guardados
Red de la oficina	Router, Wi-Fi, cámaras	El paso de todo el tráfico
Proveedores	Contador, desarrollador, soporte	Accesos y copias de datos fuera de la empresa

Conceptos clave

Concepto	Qué significa
Activo	Todo lo que tiene valor para la empresa: equipos, cuentas, datos, procesos y personas
Amenaza	Lo que puede causar daño: un delincuente, un incendio, un error humano
Vulnerabilidad	Una debilidad que una amenaza puede aprovechar, como una cuenta sin MFA
Riesgo	La combinación de qué tan probable es un daño y qué tan grave sería
Control	Una medida que reduce el riesgo: técnica (MFA), organizativa (una política) o física (una gaveta con llave)
Salvaguarda	Nombre que usan los CIS Controls para cada acción concreta dentro de un control
Incidente	Un evento que afecta o amenaza la confidencialidad, integridad o disponibilidad
Continuidad del negocio	La capacidad de seguir operando, aunque sea de forma reducida, durante y después de un incidente