Halloween está a la vuelta de la esquina y, durante estos días, los disfraces, las películas de terror y las casas encantadas vuelven a ser protagonistas. Sin embargo, hay algunos sustos que ninguna empresa quiere experimentar: descubrir que no puede recuperar sus archivos tras un incidente, comprobar que un exempleado sigue teniendo acceso a información confidencial o detectar que sus equipos acumulan vulnerabilidades sin corregir.

Son riesgos que pueden comprometer la seguridad y la continuidad del negocio y que, a diferencia de los sustos de Halloween, pueden tener consecuencias durante mucho tiempo. Desde Qualiteasy Internet Solutions, distribuidor exclusivo en España de las soluciones de Faronics, Ignasi Nogués, Chief Growth Officer de la compañía, identifica cinco descuidos digitales que pueden poner en jaque a una pyme y explica cómo prevenirlos.

Y es que, el riesgo no es solo hipotético. El Data Breach Investigations Report 2025 de Verizon, elaborado a partir del análisis de más de 22.000 incidentes de seguridad y 12.195 brechas de datos confirmadas, señala que la explotación de vulnerabilidades representó el 20 % de las vías iniciales de acceso identificadas en las brechas analizadas, un 34 % más que en la edición anterior. Del mismo modo, según un estudio de la Agencia de la Unión Europea para la Ciberseguridad (ENISA), el 51 % de las pymes encuestadas tiene dificultades con la aplicación de parches de seguridad.

«En muchas empresas, el problema no es la falta de herramientas de seguridad, sino la ausencia de revisiones sistemáticas que permitan comprobar si los accesos siguen activos, si los equipos están actualizados o si las medidas de recuperación funcionan correctamente. Son tareas poco visibles en el día a día, pero fundamentales para reducir riesgos», señala Ignasi Nogués, Chief Growth Officer de Qualiteasy Internet Solutions.

Cinco riesgos que pueden evitarse con una gestión preventiva

1. Las cuentas que siguen abiertas después de una baja laboral

Cuando una persona deja la empresa, desactivar su correo corporativo no siempre es suficiente. Puede conservar permisos en aplicaciones externas, carpetas compartidas, plataformas en la nube o herramientas de administración. Estas cuentas olvidadas amplían la superficie de exposición, especialmente si sus credenciales terminan en manos de terceros.

La prevención pasa por establecer un procedimiento de baja que contemple todos los servicios, dispositivos, sesiones y permisos asociados a cada usuario, así como comprobar que los accesos se han revocado efectivamente.

2. Las copias de seguridad que nunca se han probado

Disponer de copias de seguridad no garantiza que la empresa pueda recuperar su información tras un ataque, una avería o un borrado accidental. Los respaldos pueden estar incompletos, contener datos demasiado antiguos o presentar problemas durante la restauración.

Por ello, es necesario comprobar periódicamente que las copias se realizan correctamente, protegerlas frente a modificaciones no autorizadas y ensayar la recuperación de archivos y sistemas. También conviene definir cuánto tiempo puede permanecer la organización sin sus sistemas y qué pérdida de información puede asumir.

3. Los equipos que acumulan actualizaciones pendientes

Posponer las actualizaciones por miedo a interrumpir la actividad puede dejar ordenadores y aplicaciones expuestos a vulnerabilidades conocidas. El riesgo aumenta cuando no existe un inventario actualizado de los dispositivos ni un procedimiento para identificar, priorizar y aplicar los parches de seguridad.

«Actualizar los equipos no debería depender exclusivamente de que alguien recuerde hacerlo. Las empresas necesitan políticas claras, seguimiento y capacidad para identificar qué dispositivos están pendientes de actualización», explica Nogués.

La automatización de estas tareas puede ayudar a reducir la carga manual de los equipos informáticos y a detectar dispositivos que no cumplen las políticas establecidas.

4. Los usuarios con más permisos de los que necesitan

Los cambios de puesto, las nuevas responsabilidades y la incorporación a distintos proyectos pueden hacer que una persona acumule permisos que ya no necesita. Si su cuenta se ve comprometida, esos privilegios adicionales podrían facilitar el acceso a información o sistemas que no son necesarios para sus funciones.

Aplicar el principio de mínimo privilegio implica conceder a cada usuario únicamente los accesos imprescindibles para su trabajo, revisar periódicamente los permisos y limitar el uso de cuentas administrativas.

5. Las herramientas de seguridad que nadie supervisa

Instalar una solución de protección no significa que todos los riesgos estén controlados. Puede haber alertas que no se revisan, dispositivos que dejan de comunicarse con la consola de administración o configuraciones que ya no responden a las necesidades de la organización.

Para evitarlo, las empresas deben asignar responsables, comprobar el funcionamiento de las herramientas y establecer procedimientos para que las alertas relevantes se analicen y reciban una respuesta adecuada.

La prevención empieza por revisar lo que se da por hecho

Los cinco riesgos tienen un elemento en común: pueden pasar inadvertidos mientras la actividad continúa con normalidad. Por eso, Qualiteasy recomienda que las pymes realicen revisiones periódicas de sus cuentas y permisos, del estado de actualización de los dispositivos, de las copias de seguridad y de los mecanismos de supervisión. Una primera comprobación puede servir para detectar carencias y establecer prioridades, aunque la revisión debe ir acompañada de medidas correctoras y de un seguimiento posterior.

La prevención no elimina por completo el riesgo de sufrir un ciberataque, pero una gestión ordenada de los accesos, las actualizaciones, las copias de seguridad y la supervisión ayuda a reducir la exposición y a mejorar la capacidad de respuesta ante posibles incidentes.