Un estudio global difundido en el Perú reveló que el 86% de las pymes sufrió al menos un incidente de seguridad durante el último año. Lo que casi nadie notó es que la encuesta se aplicó únicamente a empresas que ya tenían especialistas de seguridad de TI. La mype peruana promedio no tiene ni siquiera eso.
Casi nueve de cada diez empresas con personal de seguridad dedicado fueron vulneradas igual. La pregunta ya no es si tu negocio es un blanco, sino qué pasa cuando lo alcancen.
La conversación sobre ciberseguridad para mypes suele quedarse en una frase tranquilizadora: somos muy chicos, ¿quién nos va a atacar? Los datos que se manejan hoy en Perú y Latinoamérica apuntan exactamente en la dirección contraria, y lo más incómodo del asunto no es la cifra grande del titular, sino el detalle metodológico que casi nadie leyó.
El 86% esconde un dato todavía más incómodo
La encuesta, difundida en el Perú por el portal PQS, se aplicó en dieciocho países y arrojó que el 86% de las pequeñas y medianas empresas enfrentó al menos un incidente de seguridad en los últimos doce meses. Solo el 14% de las organizaciones con menos de quinientos empleados llegó al final del periodo sin registrar ninguno.
Ahora, la letra chica: la encuesta se hizo entre especialistas de seguridad de TI. Es decir, entre empresas que ya tienen a alguien dedicado al tema, con presupuesto y con herramientas compradas. Y aun así fueron vulneradas casi todas. Esto no retrata a quienes no invirtieron nada. Retrata a quienes sí invirtieron.
Si ese es el resultado con un equipo de seguridad detrás, vale la pena preguntarse en qué posición queda un negocio de doce personas donde el tema de sistemas lo ve el sobrino que sabe de computadoras o el proveedor que aparece cuando algo se rompe.
Los factores de riesgo apuntan a las personas, no a los equipos
Cuando se les consultó qué aumenta la probabilidad de que un ataque tenga éxito, los responsables de pymes latinoamericanas no señalaron primero al software. Señalaron a la gente:
- Falta de experiencia del personal de seguridad de TI (26%). El factor más citado de todos.
- Falta de conocimientos de ciberseguridad en empleados no técnicos (24%). El que abre el correo, el que descarga el adjunto.
- Software y hardware desactualizados (22%). Parches que nadie aplica porque nadie tiene el encargo.
- Sobrecarga de trabajo del área de TI (21%). Cuando existe.
- Políticas de seguridad insuficientes (20%). Nada escrito, todo improvisado.
Cuatro de los cinco factores principales hablan de personas, tiempo y procesos. Uno solo habla de equipamiento. Y en una mype, los cuatro primeros están presentes por definición.
Por dónde están entrando los ataques a las empresas pequeñas
El mismo estudio muestra las puertas más usadas en la región:
- Phishing: 24%. Correos que suplantan a un banco, a la SUNAT o a un proveedor conocido.
- Accesos remotos externos: 15%. Escritorios remotos abiertos a internet con contraseñas débiles.
- Explotación de vulnerabilidades de software: 13%. Fallas conocidas, con parche disponible, sin aplicar.
- Día cero y abuso de relaciones de confianza: 8% cada uno. Menos frecuentes, pero existen.
El correo encabeza la lista y por un margen amplio. Por eso la primera capa que cualquier empresa pequeña debería resolver es esa: filtrar lo malicioso antes de que llegue a la bandeja, con protección de correo corporativo, y evitar que alguien use tu propio dominio para estafar a tus clientes, mediante autenticación con DMARC, DKIM y SPF.
La mype peruana no tiene a quién llamar un viernes por la noche
Acá está la diferencia real con las empresas del estudio. Una compañía mediana con área de TI detecta tarde, pero detecta. Un negocio pequeño puede pasar semanas sin enterarse de que ya lo comprometieron, y muchas veces se entera por el cliente que recibió un correo raro desde su dominio, o el lunes que la facturación no abre.
El escenario típico en el Perú no es una empresa negligente. Es una empresa ocupada: el dueño vendiendo, la administradora facturando, y la seguridad como algo que se resolverá cuando haya tiempo. Ese "cuando haya tiempo" es exactamente el margen que el atacante necesita.
Las capas que una empresa pequeña sí puede sostener
La buena noticia es que ninguna de las defensas que realmente mueven la aguja exige contratar un equipo interno. Se contratan como servicio y funcionan solas:
- Correo filtrado. Ataja el 24% de los incidentes en su vector principal, antes de que dependa del criterio de un empleado apurado.
- Respaldo automático y cifrado. Si el ransomware entra igual, el backup en la nube es lo que separa perder una mañana de perder el negocio.
- Monitoreo y parcheo remoto. El RMM aplica los parches críticos sin que nadie se acuerde de hacerlo, que es justo el 22% del problema.
- Protección del sitio web. Si vendes o cobras por tu página, un firewall WAF bloquea los ataques más comunes sin tocar tu servidor.
Cada una cubre un vector distinto de los que el estudio identificó, y todas comparten la misma virtud: operan sin depender de que alguien en la empresa se acuerde. En eso se apoyan Xcitione Mail Protect, Xcitione Backup, Xcitione RMM y Xcitione CWatch.
Qué mirar antes de contratar cualquier cosa
Antes de firmar con cualquier proveedor, conviene hacer tres preguntas incómodas. Quién revisa esto cuando yo no estoy, porque una herramienta que exige atención diaria en una empresa sin área de TI termina apagada. Cuánto demora restaurar si mañana se pierde todo, medido en horas y no en promesas. Y qué pasa un domingo a las once de la noche, que es cuando suelen entrar.
Si las tres respuestas dependen de que alguien de tu equipo esté disponible, la solución no está resuelta: está postergada.
Conclusión
El estudio deja una lectura clara para cualquier empresa pequeña en el Perú. Tener herramientas no alcanzó ni siquiera para las compañías que además tenían especialistas dedicados a operarlas. Lo que marca la diferencia no es el tamaño del presupuesto, sino que las defensas funcionen sin supervisión constante, porque en una mype esa supervisión no va a existir nunca.
Empezar por el correo, asegurar el respaldo y automatizar los parches cubre la mayor parte de lo que el estudio identificó como puertas de entrada. No es la protección de una corporación, pero es lo que separa a una empresa que sigue operando el lunes de una que no.
