Si trabajas solo, eres a la vez gerente, informático y responsable de seguridad. No hay nadie a quien llamar cuando te llega un correo raro o cuando el portátil deja de arrancar. Y los atacantes no distinguen entre una multinacional y un autónomo con una tienda online: buscan la puerta que esté abierta.

◢¿Qué es esta guía del NIST y para quién es?

La razón de hacerla es el tamaño del grupo. Citando datos de la Administración de Pequeñas Empresas de Estados Unidos, el NIST recuerda en su guía² que el 81,9 % de los 34,8 millones de pequeños negocios del país no tiene más empleados que su dueño. Son cifras de Estados Unidos, pero el perfil se parece mucho al del autónomo español.

La propia guía avisa de que no lo cubre todo y de que cada negocio debe adaptarla a su sector y a sus obligaciones legales o contractuales.

◢¿Qué recomienda hacer primero?

El NIST resume el arranque en una lista corta de acciones que, según la guía, reducen de forma notable el riesgo:

• ▹Activar la autenticación en dos pasos resistente al phishing en todas las cuentas que la ofrezcan, empezando por el correo, el banco, el almacenamiento de archivos y el gestor de contraseñas.
• ▹Usar contraseñas largas y únicas (el NIST recomienda al menos 15 caracteres), con un gestor de contraseñas, y pasar a claves de acceso (passkeys) siempre que se pueda.
• ▹Trabajar con una cuenta de usuario normal y no con la de administrador.
• ▹Mantener actualizado el software de todos los dispositivos.
• ▹Tener una copia de seguridad, proteger esas copias y comprobar que se pueden restaurar.
• ▹Aprender a reconocer el phishing y el ransomware.

Tres acciones más son administrativas: apuntar qué activos son importantes para el negocio, preparar una lista de contactos para cuando algo salga mal y anotar los requisitos legales y contractuales que te afectan.

◢¿Cómo hago el inventario de lo que tengo que proteger?

Es la parte que más gente se salta y la que más ayuda. La guía propone una tabla sencilla con cada dispositivo o servicio: quién es el responsable, qué datos maneja y lo sensibles que son, dónde está (casa, móvil, nube), qué impacto tendría que lo perdieras o te lo robaran, si tiene contraseña única, si tiene verificación en dos pasos y qué correo o teléfono sirve para recuperar la cuenta.

Para un autónomo son diez o quince filas: correo, banco, programa de facturación, nube, web, redes sociales, móvil, portátil. Una tarde de trabajo y sabes, por fin, qué se te rompería si pierdes el acceso a cada cosa. También recomienda separar lo personal de lo profesional siempre que se pueda.

◢¿Qué dice sobre el phishing?

El NIST lo sitúa entre las amenazas más comunes y recuerda que es a menudo la vía de entrada del ransomware. Su consejo coincide con lo que recomiendo yo: si el mensaje te pide algo con prisa, como pulsar un enlace, descargar un archivo, hacer una transferencia o iniciar sesión, párate un momento y verifica la petición por otro canal, con un teléfono o una dirección que ya conocías, nunca con los datos del propio mensaje.

Presta atención especial a los cambios de datos bancarios en facturas y a las peticiones urgentes de pago. Tengo explicado cómo reconocer un correo de phishing y cómo funciona el fraude del CEO, que también afecta a quien trabaja solo, con un cliente o un proveedor suplantado.

◢¿Y si me llega un ransomware?

La guía dedica un apartado a ello. Entre las medidas básicas están las que ya has visto (usuario sin privilegios, actualizaciones, antivirus al día) y, sobre todo, las copias: planificarlas, probarlas y mantenerlas aisladas, de forma que un ataque no pueda cifrarlas junto con el resto. También menciona tener a mano la lista de contactos para un incidente y valorar un seguro de ciberriesgo, que puede ayudar a sostener el negocio durante la recuperación.

Una copia que nunca has restaurado es una copia en la que confías sin saber si funciona. Haz la prueba una vez, con un archivo cualquiera. Más contexto sobre cómo opera esta amenaza en este artículo sobre ransomware.

◢¿Qué hago si ya ha pasado algo?

El NIST pide tener un plan escrito antes de que ocurra y guardar los contactos importantes en papel o sin conexión, por si el ordenador no arranca. Los pasos básicos de contención que cita son desconectar los dispositivos de la red, aislar los equipos afectados, no usar para la recuperación equipos o cuentas que podrían estar comprometidos y cerrar las sesiones abiertas. Después conviene documentar qué ha pasado y cuándo se detectó, y comprobar las copias antes de volver a usarlas.

◢¿Por dónde empiezo esta semana?

Yo lo haría en este orden, que es corto a propósito:

1. ▹Activa la verificación en dos pasos en el correo, el banco y la nube.
2. ▹Pasa tus contraseñas a un gestor y cambia primero las de esas tres cuentas.
3. ▹Haz el inventario de una página.
4. ▹Comprueba que tu última copia se puede restaurar.
5. ▹Escribe en un papel a quién llamarías si mañana no puedes entrar en tu correo.

Con eso cubres buena parte de lo que pide la guía. El resto se construye con el tiempo.

Si tienes un equipo pequeño y quieres que todos lleguen a la misma base, es justo lo que trabajo en las formaciones de ciberseguridad, pensadas para personas que no son técnicas.