Módulo 9 · 9.3
Su propia comprobación de seguridad y plan
Módulo 9: Normativa y organización · Tiempo de lectura: 12 minutos
Objetivo de aprendizaje: Después de esta lección podrá realizar su propia comprobación de seguridad con una lista fija y convertirla en un plan de prioridades.
Conceptos clave: medidas básicas, medición inicial, priorización (probabilidad x impacto, lo rápido y económico primero), responsable y fecha, repetición anual
De saber a hacer
En este curso ha visto muchas cosas: contraseñas, phishing, correo electrónico y dominio, dispositivos, copias de seguridad, permisos, incidentes y normativa. El riesgo ahora es que empiece un poco con todo y no termine nada. Esta lección convierte todo en dos cosas que usted mismo elabora:
- una medición inicial: una fotografía honesta de cómo está la situación ahora;
- un plan: qué hace primero, quién lo hace y cuándo estará terminado.
La lista a continuación contiene las medidas básicas: las medidas que detienen la mayoría de los ataques oportunistas (lección 1.1) y que un cliente también suele pedir cuando exige requisitos a sus proveedores (lección 9.1). No es una norma completa como ISO 27001, y tampoco hace falta. Es la base que marca la diferencia en una pequeña empresa.
La comprobación de seguridad: veinte puntos
Responda cada punto con sí, en parte o no. Sea estricto: "creo que sí" es "en parte". Detrás de cada punto está la lección donde lo aprendió.
Cuentas e inicio de sesión
| N.º | Punto | Lección |
|---|---|---|
| 1 | Existe un inventario de todas las cuentas, dispositivos, sitios web, dominios y proveedores, con un responsable por cada elemento. Lo que ya no se usa está eliminado. | 1.1, 7.2 |
| 2 | Todo el mundo usa un gestor de contraseñas y tiene una contraseña única y larga por cada servicio. No se comparten contraseñas por correo o chat. | 2.1, 2.2 |
| 3 | La verificación en dos pasos está activada en el correo, el banco, la contabilidad, el alojamiento, el registrador y las redes sociales; para los administradores, preferiblemente una forma resistente al phishing como una passkey o una llave de seguridad. | 2.3, 2.4 |
| 4 | Los códigos de recuperación y las llaves de repuesto están guardados de forma segura y usted sabe qué hacer si pierde un teléfono. | 2.3, 2.4 |
| 5 | Ha comprobado si las direcciones de la empresa aparecen en filtraciones conocidas, y sabe cómo revocar sesiones y comprobar las reglas de reenvío. | 1.4, 2.5 |
Personas y procesos
| N.º | Punto | Lección |
|---|---|---|
| 6 | Existe un procedimiento de pago: devolver la llamada a un número conocido cuando cambian los números de cuenta, y una segunda persona para pagos grandes o inusuales. | 1.2 |
| 7 | Todo el mundo sabe reconocer el phishing por el dominio real de un enlace y sabe qué hacer después de un clic. | 3.1 a 3.5 |
| 8 | Hay un único punto de notificación con suplente, se notifica sin culpa, y hay un breve repaso al menos varias veces al año. | 9.2 |
Correo electrónico, sitio web y dominio
| N.º | Punto | Lección |
|---|---|---|
| 9 | Su dominio tiene SPF, DKIM y DMARC, y DMARC está al menos en p=none con un plan para pasar a quarantine o reject. | 4.1 |
| 10 | Su sitio web funciona en todas partes mediante https con un certificado válido, redirige http, y el CMS con sus plugins se actualiza. HSTS y las cabeceras de seguridad están activadas o se han considerado deliberadamente. | 4.2 |
| 11 | Los datos del titular de su dominio son correctos, la renovación automática está activada, el registrador tiene 2FA, no hay registros DNS huérfanos y DNSSEC está activado donde es posible. | 4.3 |
Dispositivos y red
| N.º | Punto | Lección |
|---|---|---|
| 12 | Las actualizaciones están activadas automáticamente para los sistemas operativos, las aplicaciones y los plugins; el router, el NAS y la impresora también se actualizan; no hay nada en funcionamiento que ya no reciba actualizaciones. | 5.1 |
| 13 | Los portátiles y teléfonos tienen bloqueo de pantalla y cifrado de disco, se pueden borrar de forma remota, y nadie trabaja a diario con una cuenta de administrador. | 5.2 |
| 14 | El wifi usa WPA2 o WPA3, se ha cambiado la contraseña predeterminada del router y los visitantes y dispositivos inteligentes están en una red de invitados. | 5.3 |
Copias de seguridad
| N.º | Punto | Lección |
|---|---|---|
| 15 | Hay una copia de seguridad de todo lo importante, incluido el correo y los servicios en la nube, según el esquema 3-2-1. | 6.1 |
| 16 | Al menos una copia está fuera de línea o es inmutable y tiene un acceso propio que no se usa en los ordenadores de trabajo. | 6.2 |
| 17 | En el último año se ha realizado una prueba de restauración, y usted sabe cuánto trabajo puede permitirse perder y con qué rapidez debe estar de vuelta. | 6.3 |
Acceso, proveedores e incidentes
| N.º | Punto | Lección |
|---|---|---|
| 18 | Todo el mundo tiene una cuenta propia con solo los permisos necesarios, las cuentas de administrador están separadas, y al marcharse alguien, todos sus accesos se revocan el mismo día. | 7.1 |
| 19 | Los proveedores y servicios en la nube importantes se han evaluado, existen acuerdos de encargado de tratamiento donde es necesario, y los archivos se comparten con enlaces con fecha de caducidad. | 7.2, 7.3 |
| 20 | Hay una tarjeta de incidentes colgada en papel, existe un registro de filtraciones de datos, y usted sabe cuándo debe notificar a la AEPD, a la policía y, si le corresponde, al centro nacional de ciberseguridad. | 8.1, 8.2, 8.3, 9.1 |
Cuente sus respuestas. Muchos "no" no es motivo de alarma: es su punto de partida. Por eso se llama medición inicial.
Una parte se puede comprobar automáticamente
Hay algunos puntos que puede medir desde fuera, porque se refieren a datos públicos de su dominio: el punto 9 (SPF, DKIM, DMARC), el punto 10 (https, certificado, HSTS, cabeceras) y el punto 11 (DNSSEC, servidores de nombres, fecha de caducidad). En el ejercicio A9.3 lo hace de una vez para su propio dominio, con las mismas comprobaciones que en los ejercicios del módulo 4. Pruebas independientes como https://internet.nl y las comprobaciones públicas en https://www.weboke.es/domein-gezondheid y https://www.weboke.es/emailcheck analizan puntos similares.
Tenga en cuenta: un resultado en verde en esos puntos no dice nada sobre los otros diecisiete. Su dominio puede estar configurado a la perfección mientras su buzón de correo tiene una contraseña de una filtración. La comprobación automática es una parte de la medición inicial, no un sustituto.
De la comprobación al plan: priorizar
Ahora probablemente tenga ocho o diez puntos en "no" o "en parte". No se puede hacer todo a la vez. Elija el orden con dos preguntas.
1. ¿Qué tamaño tiene el riesgo? Use probabilidad x impacto (lección 1.1). Un punto al que apunta un ataque oportunista, como contraseñas reutilizadas sin 2FA o un sitio web sin actualizar, tiene una probabilidad alta. Un punto que, si falla, paraliza toda su empresa, como una copia de seguridad que no funciona, tiene un impacto alto.
2. ¿Cuánto esfuerzo cuesta? Algunas medidas cuestan una hora y nada más, como activar la verificación en dos pasos o acordar un procedimiento de pago. Otras cuestan semanas, como sustituir todos los portátiles.
Coloque los puntos en un esquema sencillo:
| Poco esfuerzo | Mucho esfuerzo | |
|---|---|---|
| Riesgo alto | Hacer ahora (esta semana) | Planificar (este trimestre) |
| Riesgo bajo | Incluir cuando sea oportuno | Más adelante o aceptar conscientemente |
La regla es: lo rápido y económico primero, siempre que el riesgo sea alto. En la mayoría de las pequeñas empresas, en la casilla "hacer ahora" acaban: la verificación en dos pasos en el correo y el banco (3), el procedimiento de pago (6), activar las actualizaciones automáticas (12) y comprobar que hay una copia de la copia de seguridad fuera de alcance (16).
Aceptar conscientemente
Un riesgo también se puede aceptar: usted decide no solucionarlo, porque el riesgo es pequeño o el coste demasiado alto. Es una elección válida, siempre que la tome conscientemente y la deje por escrito. "Olvidarlo" no es aceptación.
Un responsable y una fecha por punto
Un plan sin nombres se queda sin hacer. Asigne a cada punto:
- un responsable: una persona que se asegura de que suceda. No tiene que ser quien lo ejecute; la empresa de IT puede hacer el trabajo, pero alguien de su propia empresa comprueba que esté terminado;
- una fecha: cuándo debe estar terminado;
- una definición de terminado: ¿cómo sabe que está hecho? No "activar 2FA", sino "2FA está activada en las cinco cuentas de la lista, los códigos de recuperación están en la caja fuerte".
Un ejemplo de tres líneas del plan de Panadería Example:
| Punto | Acción | Responsable | Terminado el | Terminado si |
|---|---|---|---|---|
| 3 | 2FA en correo, banco, contabilidad y registrador | Petra | dentro de 1 semana | Activado en los cuatro, códigos de recuperación en el gestor de contraseñas y en papel en la caja fuerte |
| 6 | Procedimiento de pago en A4, comentado con Joost y Sanne | Petra | dentro de 2 semanas | El A4 está colgado en la oficina, ambos lo han leído |
| 16 | Copia semanal en un disco que después se guarda suelto en la caja fuerte | Joost | dentro de 1 mes | Hechas las tres primeras semanas, un archivo restaurado como prueba |
Repetir
La seguridad nunca está terminada. Llegan nuevos empleados, nuevos servicios, nuevos dispositivos y nuevos trucos. Por eso, acuerde:
- repetir la comprobación completa cada año, en un mes fijo, y actualizar el plan;
- hacer la comprobación entretanto ante grandes cambios: un nuevo desarrollador web, una mudanza de su alojamiento, una nueva contabilidad, un periodo de crecimiento acelerado;
- después de un incidente, repasar los puntos relacionados con él (lección 8.3).
Guarde el resultado de cada comprobación. Así, al cabo de un año, verá por escrito lo que ha mejorado, y tendrá una respuesta si un cliente le pregunta cómo está su seguridad. INCIBE también dispone de sus propios recursos de ciberseguridad para autónomos y pymes, que puede usar junto con esta lista; estos ofrecen una lista de acciones.
Resumen
- Una medición inicial con veinte puntos fijos ofrece una fotografía honesta; cada punto remite a la lección donde lo aprendió.
- Una parte (correo electrónico, sitio web, dominio) se puede comprobar automáticamente, pero eso no dice nada sobre los demás puntos.
- Priorice con probabilidad x impacto y esfuerzo: riesgo alto con poco esfuerzo primero.
- Cada punto del plan recibe un responsable, una fecha y una definición de terminado; se puede aceptar, pero de forma consciente y por escrito.
- Repita la comprobación cada año y ante grandes cambios, y guarde los resultados.
Cuestionario
Ejercicio
Ejercicio A9.3: La comprobación automática de su dominio. Introduzca su propio dominio. El programa comprueba de una vez el correo electrónico (SPF, DKIM, DMARC), el sitio web (https, certificado, redirección, HSTS, cabeceras) y el dominio (servidores de nombres, DNSSEC, fecha de caducidad) y muestra qué puntos de la comprobación de seguridad están en verde, naranja o rojo.
Ejercicio D9.3: Su comprobación de seguridad y plan. Haga la comprobación de veinte puntos para su propia empresa. Después, elija al menos cinco puntos, colóquelos en el esquema de riesgo y esfuerzo, y elabore un plan con un responsable, una fecha y una definición de terminado por cada punto. Anote en su agenda cuándo volverá a hacer la comprobación.
Ejercicio D9.3: Su comprobación de seguridad y plan
Así lo abordará: (1) Repase los veinte puntos de la lección y complete por punto: sí, parcialmente o no. Para los puntos 9, 10 y 11 utilice el resultado de A9.3 (el botón incorpora los puntos rojos y naranjas). (2) Coloque cada punto con "parcialmente" o "no" en el esquema de riesgo (grande/pequeño) y esfuerzo (poco/mucho). (3) Elija al menos cinco puntos. Empiece por las casillas "riesgo grande, poco esfuerzo". (4) Asigne a cada punto elegido una acción, un responsable, una fecha y una definición de terminado. (5) Anote qué riesgos acepta conscientemente, con el motivo. (6) Anote en su agenda un mes fijo para la próxima comprobación completa, y anote ante qué cambios volverá a revisarlo antes de esa fecha. (7) Guarde el resultado (el curso guarda la comprobación completada si usted lo desea; solo sí/parcialmente/no por punto y su plan, ningún otro dato).
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma similar.
- Manual de WebOké 5.17: Salud del dominio y el correo: comprobar y solucionar
- WebOké, Salud de dominio / correo electrónico (comprobación pública): https://www.weboke.es/salud-del-dominio
- WebOké, Comprobación de correo electrónico: https://www.weboke.es/comprobar-correo
- Internet.nl, pruebe su sitio web y correo electrónico: https://internet.nl
- INCIBE, recursos de ciberseguridad para autónomos y pymes: https://www.incibe.es/empresas