No necesitas diez herramientas: necesitas cinco hábitos, y hoy

Si el módulo uno te dio el mapa del riesgo, este te da la llanería. La evidencia es tozuda: la mayoría de los incidentes que golpean a empresas chicas no usan técnicas sofisticadas; usan credenciales que se repiten, factores que no están activos y ventanas que nadie cerró. Y cada una de esas puertas se cierra con un hábito que se instala en días, no en proyectos de seis meses.\n\nHábito uno: contraseñas únicas y largas, en un gestor. La contraseña repetida es el dominó: cae la del foro de un proveedor y se prueba en el correo, y del correo se entra a la banca. Nadie memoriza cuarenta contraseñas fuertes; por eso existe el gestor de contraseñas: una sola maestra, fuerte, y el resto largas, únicas y guardadas. Lo que se pierde al no usar gestor no es elegancia: es que el registro se descargó y alguien ya lo está probando en tu correo.

Hábito tres: accesos por rol, con baja por defecto. Cada persona tiene acceso a lo que necesita para su función, y nada más. El sueldo de la nómina no le sirve al pasante de redes; la banca en línea no vive en el teléfono del vendedor. Y cuando alguien sale o cambia de puesto, sus accesos se retiran ese mismo día: la puerta abierta más común de una PyME es la cuenta del que se fue hace ocho meses y «iba a borrarse después». Se llama revisión de accesos y basta una vez por trimestre: listar quién tiene qué y preguntar qué pasaría si ese nombre desapareciera mañana.\n\nHábitos cuatro y cinco: equipos que se cuidan solos. Actualización automática del sistema operativo y del navegador (las correcciones de seguridad existen porque alguien las publicó: no posponerlas es gratis), bloqueo de pantalla automático (el café y la recepcionista tienen diez segundos con tu sesión abierta), disco cifrado en laptops que salen de la oficina, y nada de cuentas de correo personales para asuntos de la empresa: esa cuenta no la protege la empresa, la proteges tú, y te la llevas cuando te vas.

Nadie recuerda la empresa que invirtió en el muro más alto; todos recuerdan la que cerró la puerta que estaba abierta.

Para dominar este tema

Lo esencial que debes saber

• Credenciales únicas y largas en un gestor: corta el efecto dominó de una filtración.
• Doble factor en las tres puertas que más duelen: correo, banca y portal fiscal.
• Que el segundo factor y la recuperación no dependan del mismo número sin protección en la línea.
• Accesos por rol con retiro el día que alguien sale o cambia de puesto.
• Actualizaciones automáticas, bloqueo de pantalla y disco cifrado: el equipo que se cuida solo.

Preguntas clave del tema

1. ¿Por qué la contraseña repetida es un riesgo en cascada?
2. ¿En qué accesos críticos es innegociable el doble factor?
3. ¿Qué falla convierte el doble factor en cartón?
4. ¿Cómo se gobiernan los accesos por rol y las salidas?
5. ¿Qué hábitos de equipo se configuran una vez y trabajan solos?

Lo que debes poder hacer

• Instalar un gestor de contraseñas y renovar los accesos críticos.
• Activar doble factor en correo, banca y portal fiscal con la línea protegida.
• Conducir una revisión trimestral de accesos y el retiro inmediato al salir alguien.

Siguiente: Respaldo que sí rescata: la prueba que casi nadie hace — la regla tres dos uno, qué respaldar, dónde guardarlo y por qué un respaldo sin prueba de recuperación es una superstición con disco.