Guía · Actualizada el 15 de octubre de 2026

Checklist de ciberseguridad para pymes: 30 preguntas en 10 áreas

La mayoría de los incidentes en pymes no empiezan con un ataque sofisticado, sino con una contraseña reutilizada, una copia de seguridad que nadie probó o un correo de phishing. Este checklist reúne las 30 preguntas esenciales que conviene poder responder con un "sí" y con evidencia. Está alineado con CIS Controls y NIST CSF 2.0.

Cómo usarlo: responde cada pregunta con "sí", "parcialmente" o "no". Cada "no" es una tarea para tu plan de acción. Empieza por las áreas donde un fallo te dejaría sin operar: copias de seguridad, contraseñas y correo.

Inventario de activos

1
¿Tienen una lista actualizada de las computadoras, laptops y celulares que usa la empresa para trabajar?
No hace falta un sistema sofisticado; puede ser una hoja de cálculo con marca, modelo y responsable.
Evidencia que lo demuestra: Hoja de cálculo o sistema de inventario con los equipos activos de la empresa.
2
¿Saben qué programas o aplicaciones (software) están instalados en esos equipos?
Incluye tanto el software que la empresa instaló a propósito como el que cada empleado pudo haber agregado.
Evidencia que lo demuestra: Lista de software autorizado o captura del panel de aplicaciones instaladas.
3
¿Tienen identificado quién es responsable de cada equipo (a nombre de qué persona o área)?
Esto ayuda a saber a quién contactar si un equipo se pierde, se daña o se ve comprometido.
Evidencia que lo demuestra: Inventario con columna de responsable asignado por equipo.

Contraseñas y autenticación

4
¿Cada persona en la empresa tiene su propio usuario y contraseña (nadie comparte credenciales)?
Compartir usuarios (ej. un solo login de correo para todo el equipo) dificulta saber quién hizo qué.
Evidencia que lo demuestra: Captura del panel de usuarios del correo corporativo o del sistema principal, mostrando una cuenta por persona.
5
¿Usan un segundo factor de verificación (código por SMS, app autenticadora, etc.) además de la contraseña para el correo o sistemas importantes?
Esto se conoce como MFA o verificación en dos pasos. Es uno de los controles de mayor impacto y menor costo que existen.
Evidencia que lo demuestra: Captura de la configuración de MFA activada en el correo o sistema principal.
6
¿Tienen una política mínima de contraseñas (largo mínimo, cambio si se filtra, etc.), aunque sea informal?
No necesita ser un documento legal; basta con una regla clara que todos conozcan y sigan.
Evidencia que lo demuestra: Documento breve o correo interno explicando la regla de contraseñas.

Copias de seguridad

7
¿Hacen copias de respaldo (backup) de la información más importante de la empresa?
Por ejemplo, en la nube (Google Drive, OneDrive, Dropbox) o en un disco externo, de forma periódica.
Evidencia que lo demuestra: Captura de la configuración de respaldo automático o política de backups.
8
¿Esas copias de respaldo se guardan en un lugar distinto al de los archivos originales (otra nube, otro disco, otra ubicación)?
Si el respaldo está en el mismo equipo o lugar que el original, no protege ante robo, incendio o ransomware.
Evidencia que lo demuestra: Descripción o captura mostrando el respaldo en una ubicación/nube distinta al origen.
9
¿Han probado alguna vez que esas copias de respaldo realmente se puedan recuperar?
Un backup que nunca se probó puede fallar justo cuando más se necesita.
Evidencia que lo demuestra: Registro o relato de una prueba de restauración realizada.

Actualizaciones y parches

10
¿Los equipos y programas de la empresa se actualizan de forma regular (sistema operativo, antivirus, aplicaciones)?
Las actualizaciones suelen corregir fallas de seguridad conocidas.
Evidencia que lo demuestra: Captura de configuración de actualizaciones automáticas.
11
¿Tienen algún control para saber si un equipo se quedó desactualizado o vulnerable?
Puede ser tan simple como una revisión manual periódica, no necesita una herramienta especializada.
Evidencia que lo demuestra: Descripción del proceso de revisión periódica.
12
Cuando sale una actualización de seguridad crítica (por ejemplo, una vulnerabilidad conocida), ¿la aplican en menos de 30 días?
Las vulnerabilidades críticas sin corregir son una de las puertas de entrada más comunes para un ataque.
Evidencia que lo demuestra: Relato de un caso reciente y el tiempo que tomó aplicar el parche.

Protección contra malware

13
¿Todos los equipos de la empresa tienen antivirus o alguna protección contra software malicioso instalada y activa?
Incluye laptops de trabajo remoto, no solo los equipos de la oficina.
Evidencia que lo demuestra: Captura del panel del antivirus mostrando protección activa.
14
¿Ese antivirus se actualiza automáticamente?
Un antivirus desactualizado no reconoce amenazas nuevas.
Evidencia que lo demuestra: Captura de la configuración de actualización automática del antivirus.
15
¿Restringen la instalación de programas no autorizados por parte de los empleados en los equipos de la empresa?
Reduce el riesgo de que alguien instale, sin querer, un programa malicioso.
Evidencia que lo demuestra: Descripción de la política o captura de restricción de permisos de instalación.

Red y accesos remotos

16
¿La red wifi de la oficina tiene contraseña y está separada de la red que usan visitas o clientes?
Una red de invitados separada evita que un visitante tenga acceso a los sistemas internos de la empresa.
Evidencia que lo demuestra: Captura de la configuración del router mostrando redes separadas.
17
Cuando alguien se conecta de forma remota (desde casa) a sistemas de la empresa, ¿usan una conexión segura (VPN u otro mecanismo)?
Sin esto, la información puede viajar expuesta por redes públicas o inseguras.
Evidencia que lo demuestra: Captura de la configuración de VPN o descripción del mecanismo usado.
18
¿Tienen un firewall (cortafuegos) activo, ya sea en el router o en cada equipo?
Casi todos los routers modernos y sistemas operativos ya lo incluyen; el punto es confirmar que esté activado.
Evidencia que lo demuestra: Captura de la configuración del firewall activo.

Correo, phishing y concientización

19
¿El equipo ha recibido alguna capacitación básica sobre cómo identificar correos falsos o de phishing?
Puede ser tan simple como una charla interna o un material compartido, no necesita un curso formal.
Evidencia que lo demuestra: Material de capacitación usado o relato de la sesión realizada.
20
¿Tienen algún filtro anti-spam/anti-phishing activado en el correo corporativo?
La mayoría de los proveedores de correo empresarial (Google Workspace, Microsoft 365) ya lo incluyen por defecto.
Evidencia que lo demuestra: Captura de la configuración de seguridad del correo mostrando el filtro activo.
21
¿Existe un canal claro para reportar un correo o mensaje sospechoso (a quién avisar)?
Por ejemplo, un chat interno, un correo o una persona designada para recibir estos reportes.
Evidencia que lo demuestra: Descripción del canal o proceso de reporte.

Protección y cifrado de datos

22
¿Saben qué información de la empresa es más sensible o crítica (datos de clientes, financieros, contratos)?
No hace falta un inventario exhaustivo; basta con tener claridad de qué datos, si se filtran, causarían más daño.
Evidencia que lo demuestra: Descripción o lista de los tipos de datos considerados sensibles.
23
¿Esa información sensible tiene algún control de acceso (no cualquiera en la empresa puede verla)?
Por ejemplo, permisos por carpeta, por rol, o acceso restringido a ciertos sistemas.
Evidencia que lo demuestra: Captura de permisos configurados sobre carpetas o sistemas con datos sensibles.
24
¿Los equipos (laptops, celulares) tienen cifrado de disco o bloqueo con contraseña/PIN activado?
Esto protege la información si un equipo se pierde o es robado.
Evidencia que lo demuestra: Captura de la configuración de cifrado (ej. BitLocker, FileVault) o bloqueo por PIN.

Terceros y proveedores

25
¿Tienen identificados los proveedores externos (contadores, IT, nube) que acceden a información de la empresa?
Cualquier proveedor con acceso a tus sistemas o datos es un punto de riesgo adicional.
Evidencia que lo demuestra: Lista de proveedores con acceso y el tipo de acceso que tienen.
26
¿Existe algún acuerdo o cláusula de confidencialidad con esos proveedores?
No necesita ser un contrato extenso; basta con una cláusula clara en el acuerdo de servicio.
Evidencia que lo demuestra: Contrato o cláusula de confidencialidad firmada con el proveedor.
27
¿Revisan periódicamente qué accesos tienen los proveedores externos y se los quitan cuando ya no los necesitan?
Los accesos de proveedores que ya no trabajan con la empresa son una brecha frecuente y olvidada.
Evidencia que lo demuestra: Descripción del proceso de revisión y baja de accesos.

Gobernanza, políticas y respuesta a incidentes

28
¿Existe una persona o rol responsable de la seguridad de la información en la empresa (aunque no sea su único trabajo)?
En una pyme, puede ser el dueño, el encargado de TI, o alguien designado informalmente.
Evidencia que lo demuestra: Nombre o rol de la persona designada.
29
¿Tienen alguna política escrita, aunque sea sencilla, sobre el uso aceptable de equipos e información de la empresa?
Por ejemplo, reglas básicas sobre qué se puede y no se puede hacer con los equipos de trabajo.
Evidencia que lo demuestra: Documento breve de política de uso aceptable.
30
¿Saben qué harían en las primeras horas si sospechan que sufrieron un ataque o filtración de datos (a quién llamar, qué apagar)?
No hace falta un plan formal extenso; basta con tener claros los primeros 3-4 pasos y contactos clave.
Evidencia que lo demuestra: Descripción de los pasos básicos o documento de respuesta a incidentes, aunque sea breve.

Preguntas frecuentes

¿Cuánto tiempo toma completar este checklist?

Unos 20 minutos si respondes de memoria. Si además reúnes evidencia (capturas, documentos), cuenta con una o dos horas repartidas entre las personas que conocen cada tema.

¿Necesito un equipo de TI para responderlo?

No. Las preguntas están escritas en lenguaje de negocio para dueños y gerentes de pymes. Si algo no lo sabes, esa ya es una señal de que el control probablemente falta.

¿Este checklist reemplaza una auditoría?

No. Es una autoevaluación para saber por dónde empezar. Si un cliente, un banco o una norma te exige una auditoría formal, necesitarás a un auditor independiente.

¿En qué marcos se basa?

Cada pregunta está alineada con CIS Controls v8.1 y con las funciones de NIST CSF 2.0, los dos marcos de referencia más usados para pymes.