La mayoría de los incidentes de seguridad en empresas no ocurren por fallos técnicos sofisticados. Ocurren porque alguien hizo clic en un enlace que no debía, usó la misma contraseña de siempre o dejó su sesión abierta al salir. Las medidas técnicas son necesarias, pero sin buenos hábitos del equipo no son suficientes.
Esta guía recoge las prácticas que toda empresa debería tener integradas en su día a día, sin necesidad de formación técnica ni herramientas caras.
1. Bloqueo automático de pantalla
Parece obvio, pero es uno de los puntos que más se pasan por alto. Un ordenador desbloqueado y sin supervisión durante unos minutos es todo lo que necesita alguien para acceder a archivos, correos o sistemas internos.
La regla es sencilla: si te levantas de la silla, bloqueas el ordenador. En Windows es Win + L, en Mac Cmd + Ctrl + Q. Además, configura el bloqueo automático a los 5 minutos de inactividad en todos los equipos de la empresa.
2. Contraseñas: una por servicio, nunca reutilizadas
Reutilizar contraseñas es el error más frecuente y el más peligroso. Si una plataforma sufre una brecha de datos y tu contraseña queda expuesta, los atacantes la probarán automáticamente en cientos de servicios más: tu email, tu banca online, tu CRM.
La solución práctica es un gestor de contraseñas corporativo: una sola herramienta que genera y almacena contraseñas únicas para cada servicio. El equipo solo necesita recordar una contraseña maestra. Opciones como Bitwarden Teams o 1Password Business permiten además compartir credenciales de forma segura entre miembros del equipo sin que nadie tenga que enviarse contraseñas por WhatsApp.
3. Correo electrónico: dónde ocurre el 90% de los ataques
El phishing sigue siendo la vía de entrada más efectiva para los atacantes porque explota la confianza y la urgencia. Los emails falsos han mejorado mucho — hoy imitan a la perfección el diseño de Hacienda, de un banco o de un proveedor conocido.
Señales de alerta que todo el equipo debería conocer:
- El remitente parece conocido pero el dominio es raro (p. ej., info@facturacion-hacienda.net en lugar de @agenciatributaria.es).
- El mensaje crea urgencia artificial: "su cuenta será bloqueada en 24 horas", "pago pendiente de confirmación inmediata".
- Pide hacer clic en un enlace o descargar un adjunto sin que se esperase ese email.
- El enlace al pasar el ratón por encima muestra una URL diferente a la del texto.
La norma más importante: ante la duda, no hagas clic. Llama directamente al remitente por teléfono para confirmar si el email es legítimo.
4. Dispositivos personales en la red de empresa
El uso de móviles o portátiles personales para trabajar (BYOD, Bring Your Own Device) es cómodo pero introduce riesgos: el dispositivo personal puede estar desactualizado, sin antivirus o con aplicaciones que introducen malware en la red corporativa.
Lo mínimo que debería exigirse si se permite el uso de dispositivos personales:
- PIN o contraseña de acceso activada en el dispositivo.
- Sistema operativo y apps actualizados.
- No conectarse a la red interna de empresa, solo a una red de invitados separada.
- No guardar documentos de trabajo en el almacenamiento personal del dispositivo.
5. Gestión de accesos cuando alguien deja la empresa
Este punto se olvida con frecuencia y puede tener consecuencias graves. Cuando un empleado se va — especialmente si la salida no es amistosa — sus credenciales deben desactivarse el mismo día, no semanas después.
La lista de comprobación en una baja de personal debería incluir:
- Desactivar la cuenta de email corporativo.
- Revocar el acceso a Microsoft 365 / Google Workspace y todas las aplicaciones de empresa.
- Cambiar las contraseñas compartidas que conocía esa persona.
- Recuperar los dispositivos de empresa que tuviese asignados.
- Revocar accesos VPN o de escritorio remoto si los tenía.
6. Actualizaciones: no posponerlas indefinidamente
Windows muestra la notificación de actualización y el instinto es darle a "recordar en 3 días" una y otra vez. El problema es que muchas actualizaciones corrigen vulnerabilidades de seguridad conocidas — y los atacantes saben exactamente qué sistemas sin actualizar pueden explotar.
Configura las actualizaciones automáticas fuera del horario de trabajo (por ejemplo, los viernes a las 22:00) para que no interrumpan la jornada. En entornos con varios equipos, un sistema de gestión centralizada permite aplicar actualizaciones en todos a la vez desde una sola consola.
7. Escritorio limpio, también el físico
La seguridad no es solo digital. Los documentos con datos de clientes, contratos o información financiera que quedan sobre la mesa o en la impresora son un riesgo real, especialmente en oficinas con visitas o en espacios compartidos.
Política de escritorio limpio: al terminar la jornada, nada confidencial a la vista. Los documentos se archivan o se destruyen con una destructora de papel. Las pantallas se bloquean. Las llaves USB con información sensible no se dejan conectadas.
Cómo implantarlo sin complicar al equipo
La resistencia más habitual a estas medidas es que "ralentizan el trabajo". La clave es implantarlas de forma gradual, explicar el porqué con ejemplos concretos (un email de phishing real que llegó a la empresa, una noticia reciente de ransomware en un negocio similar) y automatizar lo que se pueda para que el equipo no tenga que recordar cada paso.
En Unity IT ayudamos a empresas en Tenerife a implantar estas políticas de forma práctica: desde la configuración de gestores de contraseñas corporativos hasta la gestión centralizada de accesos y actualizaciones. Contáctanos si quieres una revisión del estado de seguridad de tu empresa.