Ciberseguridad explicada sin tecnicismos
Un checklist rápido, guías de fondo y un glosario de referencia. Filtra abajo para ir directo a lo que buscas.
10 preguntas antes de tomar un café
Si respondes "no" a dos o más, es buen momento para hacer el test gratuito NIS2 completo.
¿Sabes cuántos dispositivos (ordenadores, móviles, servidores) acceden a los sistemas de tu empresa?
Por qué importa: no se puede proteger lo que no se sabe que existe. Un inventario desactualizado es el punto ciego más común.
¿Tenéis autenticación multifactor (MFA) activada en el correo corporativo?
Por qué importa: una contraseña filtrada sin MFA suele ser todo lo que necesita un atacante para entrar.
¿Existe una copia de seguridad que no esté conectada permanentemente a la red principal?
Por qué importa: el ransomware moderno busca y cifra también los backups accesibles desde la red.
¿Sabéis si alguna contraseña corporativa ha aparecido en una filtración pública?
Por qué importa: las credenciales filtradas circulan y se reutilizan en ataques automatizados durante años.
Si un ordenador se infecta a las 3 de la madrugada, ¿alguien se entera antes de las 9?
Por qué importa: la mayoría de los ataques se lanzan fuera de horario, precisamente para retrasar la detección.
¿El equipo ha recibido alguna formación sobre cómo detectar un phishing en el último año?
Por qué importa: la mayoría de los incidentes empiezan con una persona, no con un fallo técnico.
¿Existe un plan escrito de qué hacer en las primeras horas de un incidente grave?
Por qué importa: improvisar durante un incidente real multiplica el tiempo de inactividad y los errores.
¿Sabéis qué servicios y dominios de vuestra empresa son visibles desde internet ahora mismo?
Por qué importa: lo que no controláis vosotros, un atacante puede llegar a descubrirlo antes.
¿Se revisan de forma periódica las vulnerabilidades conocidas en vuestros sistemas y aplicaciones?
Por qué importa: la mayoría de las brechas aprovechan fallos ya conocidos y sin parchear, no ataques de día cero.
¿Sabéis exactamente qué obligaciones normativas (RGPD, NIS2 u otras) aplican a vuestro sector?
Por qué importa: el desconocimiento no exime de la obligación, y las sanciones por incumplimiento pueden ser elevadas.
Lecturas de fondo, sin relleno
Contenido pensado para quien decide, no para quien vende. Sin promesas vacías ni cifras infladas.
NIS2 para pymes: qué cambia y qué tienes que hacer
Quién está obligado, qué plazos aplican y cómo empezar a adecuarte sin contratar un departamento entero de cumplimiento.
Leer la guía completa → AmenazasRansomware en la pyme: cómo se produce y cómo se evita
La anatomía real de un ataque de ransomware, de la primera brecha al cifrado, y los controles concretos que rompen cada eslabón de la cadena.
Leer la guía completa → AmenazasPhishing con IA generativa: por qué es tan difícil de detectar
Las señales de siempre —faltas de ortografía, mala redacción— ya no sirven. Qué ha cambiado y qué controles funcionan de verdad.
Leer la guía completa → Protección gestionadaSOC 24/7 explicado: qué vigila realmente
Qué hace un centro de operaciones de seguridad en el día a día y qué preguntas hacer antes de contratar uno.
Leer la guía completa → Protección gestionadaCopias de seguridad: la regla 3-2-1 explicada para pymes
Por qué un backup que no se ha probado no es un plan de recuperación, y cómo comprobar si el vuestro sobreviviría a un ransomware.
Leer la guía completa → Guía de compraQué preguntar antes de contratar un proveedor de ciberseguridad
Preguntas concretas para distinguir un servicio gestionado real de una simple reventa de licencias, antes de firmar nada.
Leer la guía completa → Guía de compraSOC propio vs externalizado: qué te conviene
Coste real, cobertura horaria y tiempo de puesta en marcha de montar un SOC propio frente a externalizarlo.
Leer la guía completa → CumplimientoISO 27001 vs ENS: diferencias y cuál necesitas
A quién obliga cada marco, cómo se certifican y si hace falta elegir entre uno u otro.
Leer la guía completa → Guía de compraQué mira una aseguradora de ciberriesgo antes de asegurarte
Los controles técnicos que casi todas las aseguradoras exigen antes de dar cobertura, y qué puede anular una póliza.
Leer la guía completa →Los términos, sin rodeos
Ransomware
Malware que cifra los archivos de una empresa y exige un pago para recuperar el acceso a ellos.
Saber más →Phishing
Correos o mensajes que suplantan a una entidad de confianza para robar credenciales o instalar malware.
Ingeniería social
Manipulación psicológica para lograr que una persona revele información o realice una acción insegura. El phishing es su forma más común.
MFA (autenticación multifactor)
Exigir un segundo elemento además de la contraseña —una app, un código— para iniciar sesión. Reduce drásticamente el riesgo de una credencial robada.
SOC
Centro de Operaciones de Seguridad: el equipo y los sistemas que vigilan la infraestructura de forma continua.
Saber más →EDR
"Endpoint Detection and Response": tecnología que vigila cada ordenador o servidor para detectar comportamientos anómalos, no solo virus conocidos.
CISO
"Chief Information Security Officer": el responsable último de la estrategia de seguridad de una organización.
Backup 3-2-1
Regla clásica de copias de seguridad: 3 copias de cada dato, en 2 soportes distintos, con 1 copia fuera de la red principal.
Saber más →Dark web
Parte de internet no indexada por buscadores habituales, donde a menudo circulan credenciales y datos robados.
Vulnerabilidad (CVE)
Fallo conocido en un software que puede ser aprovechado por un atacante. Cada una recibe un identificador público (CVE) al descubrirse.
Superficie de ataque
El conjunto de puntos —sistemas, cuentas, dispositivos, servicios expuestos a internet— por los que un atacante podría intentar entrar.
Respuesta ante incidentes (IR)
El proceso estructurado para detectar, contener, erradicar y recuperarse de un incidente de seguridad, y documentar lo aprendido después.
RGPD
Reglamento europeo que regula cómo debe tratarse y protegerse la información personal de los ciudadanos.
ENS
Esquema Nacional de Seguridad: marco español que fija los requisitos de seguridad para sistemas del sector público y sus proveedores.
Saber más →ISO 27001
Norma internacional que certifica que una organización gestiona la seguridad de la información de forma sistemática, no improvisada.
Saber más →NIS2
Directiva europea que amplía las obligaciones de ciberseguridad a más sectores y empresas, incluyendo medianas compañías.
Saber más →Zero Trust
Modelo de seguridad que no confía por defecto en nada, ni siquiera dentro de la propia red: cada acceso se verifica explícitamente, siempre.
Movimiento lateral
Técnica por la que un atacante, tras comprometer un equipo, se desplaza a otros sistemas de la misma red para ampliar su acceso antes de actuar.
Shadow IT
Software, aplicaciones o servicios usados en la empresa sin conocimiento ni control del departamento de IT, y por tanto sin supervisión de seguridad.
Hardening
Proceso de reducir la superficie de ataque de un sistema desactivando funciones innecesarias y aplicando configuraciones seguras por defecto.
Ataque a la cadena de suministro
Ataque que compromete a un proveedor o herramienta de terceros para alcanzar, a través de él, a sus clientes finales.
Pentesting
Prueba de penetración: simulación controlada de un ataque real, realizada por profesionales autorizados, para encontrar fallos antes que un atacante.
Indicador de compromiso (IOC)
Evidencia técnica —una IP, un archivo, un patrón de tráfico— de que un sistema puede haber sido comprometido.
¿Prefieres un diagnóstico en vez de un glosario?
El test gratuito de NIS2 traduce estas preguntas en un nivel de riesgo concreto para tu empresa.
Hacer el test gratuito