Respaldos y seguridad básica para pymes: lo mínimo que no puede faltar

Para perder información no hace falta un ataque sofisticado. Basta con algo simple: un disco que se daña y no había copia, una laptop olvidada en un taxi con la sesión abierta, una clave que comparten cinco personas y que nadie cambió cuando una de ellas se fue.

Esta guía es lo mínimo que tu empresa debería tener resuelto. Al final tienes una lista de verificación para imprimir.

Qué respaldar

Recorre la oficina y pregúntate: si esto desaparece mañana, ¿qué deja de funcionar?

• Los datos de tus sistemas: facturación, contabilidad, inventario, clientes. Si un sistema corre en un servidor propio, respalda su base de datos, no solo la carpeta del programa.
• Los documentos de trabajo: contratos, cotizaciones, plantillas, las hojas de cálculo del cierre de mes.
• El correo, si guardas en él acuerdos con clientes o proveedores.
• Las configuraciones: cómo está armado el servidor y qué programas usa. Sin eso, recuperar los datos no basta para volver a operar.
• Lo que vive en un solo equipo: la computadora de quien lleva las cuentas, el celular desde el que se atiende a los clientes.

Anota también cada cuánto cambia cada cosa. Lo que cambia todos los días necesita un respaldo diario.

La regla 3-2-1, sin jerga

Es una forma sencilla de no depender de una sola copia:

• 3 copias de cada archivo importante: el original con el que trabajas y dos respaldos.
• 2 tipos de almacenamiento distintos, por ejemplo un disco externo y un servicio en la nube, para que un mismo problema no dañe todas las copias a la vez.
• 1 copia fuera de la oficina: si hay un robo, un incendio o una inundación, esa copia sigue a salvo.

En una pyme puede verse así: los datos están en las computadoras o el servidor de la oficina, cada noche se copian a un disco que no está conectado todo el día, y una tercera copia va a la nube de forma automática.

Dos detalles que suelen olvidarse. Si un virus cifra tus archivos, también puede alcanzar las copias que están siempre conectadas; por eso conviene que al menos una no lo esté. Y la copia en la nube no debe depender del mismo usuario y clave que todo lo demás.

Prueba que puedes recuperar

Un respaldo que nunca recuperaste es una suposición: puede estar incompleto o dañado.

Cada cierto tiempo, por ejemplo cada trimestre:

1. Elige un archivo, una carpeta o la base de datos de un sistema.
2. Recupérala en otro equipo o en otra carpeta, nunca encima de la original.
3. Comprueba que se abre y que los datos llegan hasta la fecha que esperabas.
4. Anota cuánto tardaste y qué faltó.

Esa nota te dice cuánto tiempo estaría parada tu empresa si mañana perdieras el equipo principal.

Accesos y contraseñas

Dos hábitos cambian mucho la seguridad de tus accesos.

Un gestor de contraseñas. Es un programa que crea claves largas y distintas para cada cuenta, las guarda cifradas y las completa por ti; tú solo recuerdas una clave principal. Se acaban las contraseñas anotadas junto a la pantalla y la misma clave repetida en el correo, el banco y la facturación: si una se filtra, las demás siguen protegidas.

El doble factor (verificación en dos pasos). Además de la clave, la cuenta pide un código que llega al celular o que genera una aplicación. Aunque alguien consiga tu contraseña, sin ese segundo paso no entra. Actívalo en todo lo que lo ofrezca, empezando por el correo, la banca en línea, las redes del negocio y los sistemas donde facturas o cobras.

Cuentas compartidas

"El usuario de la caja" que usa todo el equipo es cómodo hasta que algo sale mal: no sabes quién hizo cada cosa, y cuando alguien se va, la clave se va con esa persona.

• Cada persona con su propio usuario y solo los permisos que su trabajo necesita.
• Una lista de quién tiene acceso a qué.
• Cuando alguien sale de la empresa, quitarle los accesos el mismo día.
• Si una cuenta tiene que ser compartida (una red social, por ejemplo), que la clave viva en el gestor de contraseñas y se cambie cuando alguien deja de necesitarla.

Actualizaciones

Muchas actualizaciones existen para corregir fallas de seguridad; un programa que no se actualiza queda expuesto a fallas que ya tienen arreglo.

• Activa las actualizaciones automáticas del sistema operativo, el navegador y los programas de oficina.
• No olvides el router y las cámaras: también se actualizan.
• Haz una lista del software que ya no recibe soporte del fabricante. Si tu sistema principal está ahí, lee cuándo conviene modernizar tu software.

Si actualizar un sistema propio da miedo porque "algo se puede romper", falta un entorno de pruebas o un procedimiento que se pueda repetir. Esa base es la que dejamos con Cloud & DevOps.

Si te hackean o pierdes el equipo

Si sospechas que entraron a una cuenta o a un equipo:

1. Desconecta de internet el equipo afectado, sin borrar nada todavía.
2. Desde otro equipo de confianza, cambia la clave de esa cuenta y de las que usaban la misma. Empieza por el correo, porque desde él se recuperan las demás.
3. Cierra las sesiones abiertas y revisa si alguien añadió reenvíos en el correo.
4. Activa el doble factor donde no lo tenías.
5. Si el banco o tus clientes pueden verse afectados, avísales.
6. Si vas a restaurar, usa un respaldo de antes del incidente.

Si pierdes una laptop o un celular, o te lo roban:

1. Bloquéalo o bórralo a distancia, si tenías activada esa función (actívala hoy).
2. Desde otro dispositivo, cierra sus sesiones y cambia las claves de las cuentas que tenía abiertas.
3. Quítale los accesos a los sistemas de la empresa.
4. Restaura el trabajo desde el respaldo en un equipo nuevo.

Con el disco cifrado, quien encuentre el equipo no puede leer lo que tiene adentro sin tu clave. Pregunta a quien te da soporte si tus equipos lo tienen activado.

Datos personales de tus clientes

Si guardas datos personales de clientes, pacientes o colaboradores, ten en cuenta que en Ecuador existe la Ley Orgánica de Protección de Datos Personales y que su cumplimiento lo supervisa la Superintendencia de Protección de Datos Personales (spdp.gob.ec). Si un incidente toca esos datos, consulta allí o con tu asesor legal qué te corresponde hacer.

Lista de verificación para imprimir

Imprime esta página (en el navegador, Imprimir o Guardar como PDF) y marca lo que ya tienes:

• ☐ Sé qué hay que respaldar, dónde está y quién lo usa.
• ☐ Cada dato importante tiene 3 copias, en 2 tipos de almacenamiento, y 1 fuera de la oficina.
• ☐ Los respaldos se hacen solos y al menos una copia no está conectada todo el tiempo.
• ☐ Probé recuperar un respaldo en los últimos tres meses.
• ☐ Usamos un gestor de contraseñas y cada cuenta tiene una clave distinta.
• ☐ El doble factor está activo en el correo, el banco, las redes y los sistemas de cobro.
• ☐ Cada persona tiene su propio usuario y se quitan los accesos a quien se va.
• ☐ Las actualizaciones automáticas están activadas.
• ☐ Las laptops tienen el disco cifrado y el borrado a distancia activado.
• ☐ Todos saben qué hacer y a quién avisar si sospechan que entraron a una cuenta.

Por dónde empezar

Si marcaste pocas casillas, no intentes resolver todo esta semana. Empieza por el respaldo de lo que más te dolería perder y por el doble factor en el correo: son dos cambios que protegen mucho y cuestan poco.

Para ver en qué está tu empresa en seguridad y en las demás áreas, haz el autodiagnóstico tecnológico gratuito: 10 preguntas que te dicen por dónde empezar. Si prefieres que alguien se encargue de respaldos, actualizaciones y accesos de forma continua, eso cubre nuestro soporte TI y mantenimiento. Y si estás por mover tus sistemas a la nube, revisa cómo migrar a la nube en Ecuador: los respaldos y los accesos también se deciden ahí.