Guía · Ciberseguridad · Efestum, antes Maindsoft
Plan de ciberseguridad para empresas: qué incluye y cómo armarlo
Para dueños, directores y responsables de sistemas: qué incluye un plan de ciberseguridad, cómo armarlo en siete pasos, cada cuánto revisarlo y qué errores evitar, con una lista de verificación. Una guía de Efestum, antes Maindsoft, para seguir operando si algo falla y cuidar los datos de tus clientes.
Diego Romo, Director de Efestum Actualizado:
En esta guía
¿Qué es un plan de ciberseguridad?
Un plan de ciberseguridad es el documento que dice qué tiene que proteger tu empresa, quién entra a cada sistema, dónde quedan las contraseñas, cómo se respaldan los datos y qué se hace si algo falla. Tiene un responsable y fechas de revisión. No es comprar un antivirus: es decidir cómo se cuidan los sistemas y la información con los que operas todos los días.
Esta guía es de Efestum, antes Maindsoft, empresa de desarrollo de software e inteligencia artificial en Aguascalientes desde 2016. Si prefieres que un equipo revise tus sistemas y corrija lo urgente, conoce nuestra revisión de ciberseguridad para empresas.
Un plan de ciberseguridad para empresas se arma en siete pasos:
- Haz un inventario de sistemas, datos y accesos.
- Saca las contraseñas y llaves de donde no deben estar.
- Respalda tu información y prueba que la puedes restaurar.
- Activa las bitácoras.
- Mantén todo actualizado.
- Escribe qué hacer si algo falla.
- Pon reglas para la IA y las cuentas personales.
Para qué sirve: seguir operando y cuidar a tus clientes
Un plan sirve para seguir operando cuando algo falla, sin improvisar quién decide, qué respaldo sirve ni a quién avisar. En México, alrededor de 53 % de las empresas considera probable que un ciberataque interrumpa su operación en los próximos 12 a 24 meses. Fuente: Cisco, Índice de preparación en ciberseguridad 2025 (Mexico Business News, 9 de mayo de 2025).
También cuida a tus clientes. Si tratas datos personales, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares te pide medidas de seguridad administrativas, técnicas y físicas (artículo 18) e informar de inmediato a las personas cuando una vulneración afecte de forma significativa sus derechos patrimoniales o morales (artículo 19). Revisa con tu abogado qué te aplica. Fuente: texto vigente de la ley, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025.
Plan y estrategia de ciberseguridad para empresas: la diferencia
La estrategia de ciberseguridad reúne las decisiones de fondo de tu empresa: qué riesgos acepta, cuánto invierte y quién responde.
Seguir leyendo Plan y estrategia de ciberseguridad para empresas: la diferencia
El plan la lleva a la práctica con tareas, responsables y fechas; en una pyme pueden vivir en el mismo documento. Un marco de referencia útil es el Marco de Ciberseguridad 2.0 del NIST, el instituto de estándares de Estados Unidos, publicado en febrero de 2024 para organizaciones de cualquier tipo y tamaño. Ordena el trabajo en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar (NIST, 26 de febrero de 2024). La tabla «Tu plan de ciberseguridad en una página» muestra dónde cae cada paso.
- Haz un inventario de sistemas, datos y accesos
No puedes proteger lo que no sabes que tienes. El inventario de activos es la lista de sistemas, equipos, cuentas y datos de tu empresa, con quién entra a cada uno:
- Sistemas: ERP, punto de venta, portal de clientes, correo, nube, sitio web y dominio.
- Datos: dónde viven clientes, precios, cartera, nómina y contratos.
- Cuentas: quién entra a qué y con qué permisos, incluidos los usuarios compartidos y los de quien ya se fue.
- Equipos y proveedores: computadoras y celulares de trabajo, y quién administra cada servidor o dominio.
Luego aplica cuatro reglas: un usuario por persona; los permisos de su puesto, no más; doble autenticación (un código en el celular además de la contraseña) en correo, banca, nube y lo que mueve dinero, y bajas de personal que cierran sus accesos el mismo día.
Resultado del paso: la lista, con un responsable por sistema.
- Saca las contraseñas y llaves de donde no deben estar
Los secretos son las contraseñas, llaves de API y tokens que abren tus sistemas y tus servicios de pago. Uno expuesto deja entrar a cualquiera a nombre de tu empresa. Revisa que:
- No estén en un Excel, un chat, el código de tus sistemas o una nota pegada al monitor.
- Vivan en un gestor de contraseñas de la empresa o, si las usa un sistema, como secretos protegidos en su servidor.
- Cada servicio tenga su propia contraseña: si una se filtra, no abre las demás.
- Se puedan cambiar sin detener la operación, y se cambien cuando alguien que las conocía se va.
Resultado del paso: ningún secreto a la vista y un solo lugar controlado donde viven.
- Respalda tu información y prueba que la puedes restaurar
Un respaldo es una copia de tu información para recuperarla si algo falla: un error, un equipo dañado o un ataque que cifra tus archivos y pide rescate (ransomware). Si nunca se ha restaurado, no sabes si sirve. Define:
- Qué se respalda: bases de datos, documentos, correo y la configuración de tus sistemas.
- Cada cuánto: según cuánta información puedes perder. Si capturas pedidos todo el día, un respaldo semanal no alcanza.
- Dónde: al menos una copia fuera del servidor principal, que no pueda borrar quien maneja el sistema. Una regla muy usada es la 3-2-1: tres copias, en dos medios distintos, una fuera de tu oficina o de tu nube principal.
- Quién lo prueba: alguien restaura un respaldo en un equipo de prueba y anota cuánto tardó.
Resultado del paso: respaldos que ya se restauraron al menos una vez, con su fecha y su tiempo de recuperación.
- Activa las bitácoras
La bitácora es el registro de quién hizo qué y cuándo en tus sistemas. Sin ella, cuando falta dinero o desaparece un registro, nadie puede reconstruir qué pasó. Revisa que guarde:
- Entradas, también las fallidas, y cambios de permisos.
- Cambios y borrados de información importante.
- Cobros, pagos, facturas y cancelaciones.
- Lo que consulta un asistente de IA conectado, y a nombre de quién.
Guárdala donde no la pueda borrar quien aparece en ella.
Resultado del paso: bitácoras activas en los sistemas importantes y una persona que las revisa.
- Mantén todo actualizado
Las actualizaciones cierran fallas de seguridad que ya se conocen y que los atacantes buscan. Incluye en el plan:
- Computadoras, celulares de la empresa, módem y equipos de red.
- Servidores, bases de datos, paneles de administración y los componentes de tus sistemas.
- Una fecha fija para revisar actualizaciones y un responsable.
- Un respaldo antes de actualizar un sistema importante y una prueba después.
- Lo que ya no recibe actualizaciones de su fabricante, para reemplazarlo.
Resultado del paso: un calendario de actualizaciones y la lista de lo que hay que reemplazar.
- Escribe qué hacer si algo falla
Un plan de respuesta a incidentes dice qué hace tu empresa en las primeras horas de un problema de seguridad: una cuenta robada, un correo falso que alguien abrió, archivos cifrados o datos que salieron. Cabe en una página:
- Cómo se reporta: a quién avisa quien vea algo raro.
- Quién decide: un responsable y su suplente, con teléfonos que no dependan de los sistemas de la empresa.
- Cómo se contiene: cambiar contraseñas, cerrar sesiones y desconectar el equipo afectado.
- Cómo se recupera: desde qué respaldo y en qué orden se levantan los sistemas.
- A quién se avisa: clientes, proveedores, banco o autoridades. Si se afectaron datos personales, revisa con tu abogado cómo informar a las personas.
- Qué se aprende: qué cambia en el plan.
Ten una copia impresa, por si el correo o el servidor no funcionan, y practica el plan una vez al año con un simulacro corto.
Resultado del paso: una página con nombres, teléfonos y pasos que tu equipo sabe dónde encontrar.
- Pon reglas para la IA y las cuentas personales
La IA ya es parte del plan de ciberseguridad porque tu equipo ya la usa. En México, 67 % de los empleados usa asistentes de IA personales, no los de su empresa, para trabajar, y solo 30 % de las empresas tiene políticas claras sobre su uso. Fuente: estudio «Work:InProgress» de Google Workspace con IDC y Provokers, 2025 (TechRadar México, 27 de noviembre de 2025). Lo que alguien pega en una cuenta personal sale de tu control. Define:
- Qué herramientas de IA se permiten, con cuentas de la empresa.
- Qué datos nunca se suben: datos personales, contraseñas y lo que tu empresa defina como confidencial.
- Quién autoriza conectar un asistente de IA al correo o al ERP.
- Que una persona revise lo que prepara la IA antes de enviarlo, pagarlo o registrarlo.
Capacitación en IA para empresas
Resultado del paso: reglas de uso de IA por escrito y cuentas de la empresa.
Tu plan de ciberseguridad en una página
Las frecuencias son un punto de partida: ajústalas al tamaño de tu empresa y a lo que pasa en tu operación.
| Paso | Qué decides | Cada cuánto se revisa | Función del marco NIST |
|---|---|---|---|
| Inventario y accesos | Qué tienes y quién entra a qué | Cada trimestre y con cada alta o baja | Identificar · Proteger |
| Contraseñas y llaves | Dónde viven y quién las cambia | Cuando alguien que las conocía se va | Proteger |
| Respaldos | Qué, cada cuánto y dónde | Prueba de restauración cada trimestre | Proteger · Recuperar |
| Bitácoras | Qué se registra y quién lo revisa | Cada mes, en lo que mueve dinero | Detectar |
| Actualizaciones | Qué se actualiza y qué se reemplaza | Cada mes | Proteger |
| Respuesta a incidentes | Quién decide y a quién se avisa | Una vez al año, con un simulacro | Responder · Recuperar |
| IA y cuentas personales | Herramientas, cuentas y datos que no se suben | Cada trimestre y con cada herramienta nueva | Gobernar · Proteger |
| El plan completo | Responsable, presupuesto y prioridades | Una vez al año y después de cada incidente | Gobernar |
Ciberseguridad y trabajo remoto
Con el trabajo remoto, tus sistemas se abren desde casas, cafeterías y celulares personales, en redes que no controlas.
Seguir leyendo Ciberseguridad y trabajo remoto
Agrega al plan:
- Doble autenticación en todo lo que se abre desde fuera de la oficina.
- Equipos con bloqueo de pantalla y disco cifrado, y cómo cerrar sus sesiones si se pierden.
- Qué se puede abrir desde equipos personales y qué no.
- Nada abierto directo a internet: el acceso pasa por una conexión segura que tu empresa controla.
- Archivos en el almacenamiento de la empresa, no en cuentas personales ni en memorias USB.
Errores comunes en ciberseguridad
Los errores más comunes en ciberseguridad en una empresa, de la computadora de la oficina a la nube:
Seguir leyendo Errores comunes en ciberseguridad
- Creer que un antivirus es un plan. No sabe quién entra a tu ERP ni si tus respaldos sirven.
- Pensar que tu empresa es muy chica para que la ataquen. Muchos ataques son automáticos: buscan contraseñas débiles y equipos sin actualizar.
- Compartir usuarios: la bitácora deja de servir y nadie responde.
- Guardar contraseñas en un Excel o en el chat del equipo.
- Respaldos en el mismo servidor, o nunca restaurados.
- Accesos activos de quien ya se fue.
- Trabajar con usuario de administrador: un archivo malicioso se instala con todos los permisos del equipo.
- Caer en correos falsos (phishing) que piden contraseñas, pagos urgentes o cambiar la cuenta bancaria de un proveedor. Ese cambio se confirma por teléfono, con un número que ya tenías.
- Dejar el plan en un cajón, sin revisarlo ni practicarlo.
Lista de verificación del plan de ciberseguridad
Marca lo que tu empresa ya tiene:
- Hay un responsable del plan y una fecha para revisarlo.
- Tenemos la lista de sistemas, datos, equipos y proveedores.
- Cada persona tiene su usuario, con los permisos de su puesto y doble autenticación donde se mueve dinero.
- Las bajas de personal cierran sus accesos el mismo día.
- Ninguna contraseña ni llave está en un Excel, un chat o el código.
- Hay respaldos fuera del servidor principal y ya restauramos uno.
- Los sistemas importantes guardan bitácora y alguien la revisa.
- Hay una fecha fija para actualizar equipos, servidores y sistemas.
- Tenemos una página impresa con qué hacer si algo falla.
- Hay reglas de uso de IA, y los sistemas hechos con IA ya pasaron una revisión.
¿Te faltan casillas? Empieza por los accesos, las contraseñas y los respaldos.
El plan para sistemas hechos con IA
Si en tu empresa alguien generó un sistema, un portal o una app con una herramienta de IA, también va en el plan.
Seguir leyendo El plan para sistemas hechos con IA
Puede funcionar en la demostración, pero si nadie pidió usuarios por persona, bitácora o respaldos, lo más probable es que no los traiga. Lo hizo una IA. Que lo revise un ingeniero.
Si tu equipo construyó un sistema con IA
Súmalo al inventario y revisa:
- Que el servidor, la base de datos y el dominio estén a nombre de la empresa, no en la cuenta personal de quien lo generó.
- Que tenga un usuario por persona y no entre cualquiera que tenga el enlace.
- Que no haya contraseñas ni llaves en el código o visibles desde el navegador.
- Que tenga bitácora, respaldos probados y alguien que lo mantenga.
Si conectaste un asistente de IA a tus sistemas
Un asistente de IA conectado al correo, al ERP o a WhatsApp puede consultar y, a veces, actuar. OWASP, una fundación que publica guías abiertas de seguridad de software, pone en primer lugar de sus riesgos 2025 para aplicaciones con modelos de lenguaje la inyección de instrucciones: por ejemplo, un correo o un documento con texto escondido que le da órdenes a la IA (OWASP Top 10 para aplicaciones con LLM, 2025). Tu plan debe pedir un usuario por persona con los permisos de su rol, solo lectura al inicio, herramientas fijas, bitácora y la confirmación de una persona antes de enviar, pagar o borrar.
¿Lo armas tú o pides una revisión?
Tu equipo puede empezar los pasos 1, 6 y 7. Para revisar cómo están hechos y configurados tus sistemas, suele hacer falta ayuda. En una revisión de ciberseguridad, Efestum revisa seis frentes: accesos, secretos, bitácoras, respaldos, configuración, y conectores y agentes de IA. Te entrega los hallazgos ordenados por gravedad y corrige lo que encuentra, empezando por lo crítico. Antes de empezar te decimos qué vamos a revisar, cuánto cuesta y en cuánto tiempo. Hoy no ofrecemos monitoreo 24/7. Ciberseguridad para empresas
Si vas a construir un sistema nuevo, la seguridad se diseña desde el principio en el desarrollo de software a la medida.
Preguntas frecuentes sobre el plan de ciberseguridad
¿Qué es un plan de ciberseguridad?
Un plan de ciberseguridad es el documento que dice qué tiene que proteger tu empresa, quién entra a cada sistema, dónde quedan las contraseñas, cómo se respaldan los datos y qué se hace si algo falla. Tiene un responsable y fechas de revisión, y se actualiza cuando cambian tus sistemas o tu equipo.
¿Qué incluye un plan de ciberseguridad?
Un plan de ciberseguridad para empresas incluye siete partes: inventario de sistemas, datos y accesos; manejo de contraseñas y llaves; respaldos probados; bitácoras; actualizaciones; respuesta a incidentes, y reglas para el uso de la IA y de las cuentas personales. Cada parte tiene un responsable y una fecha de revisión.
¿Cada cuánto se revisa un plan de ciberseguridad?
Un plan de ciberseguridad se revisa completo al menos una vez al año y después de cada incidente, sistema nuevo o cambio grande de personal. Algunas partes van más seguido: los accesos, cada trimestre y con cada baja; las actualizaciones, cada mes, y la prueba de restauración de los respaldos, cada trimestre.
¿Cómo hago un plan de ciberseguridad para una pyme?
Para hacer un plan de ciberseguridad en una pyme, nombra a un responsable, haz la lista de sistemas, datos y accesos, y empieza por lo básico: un usuario por persona, doble autenticación, contraseñas fuera de Excel y de los chats, y respaldos que ya restauraste. Después suma bitácoras, actualizaciones, qué hacer si algo falla y reglas para la IA.
¿Cuál es la diferencia entre un plan y una estrategia de ciberseguridad?
La estrategia de ciberseguridad reúne las decisiones de fondo de una empresa: qué riesgos acepta, cuánto invierte y quién responde. El plan de ciberseguridad la lleva a la práctica con tareas, responsables y fechas. En una pyme o una empresa mediana, los dos pueden vivir en el mismo documento.
¿Cuáles son los errores más comunes en ciberseguridad en una oficina?
Los errores más comunes en ciberseguridad en una oficina son compartir usuarios, guardar contraseñas en Excel o en chats, trabajar con usuario de administrador y no probar los respaldos. También son comunes dejar activos los accesos de quien ya se fue y caer en correos falsos que piden contraseñas, pagos urgentes o cambiar la cuenta bancaria de un proveedor.
¿Cómo sé si mi plan de ciberseguridad funciona?
Tu plan de ciberseguridad funciona si puedes comprobar cinco cosas: quién tiene acceso a cada sistema, que ya restauraste un respaldo y cuánto tardó, que los accesos de quien se va se cierran el mismo día, que los equipos están al día y que tu equipo sabe a quién avisar. Revisa esos cinco puntos cada trimestre y compáralos con la revisión anterior.
¿Qué cambia en la ciberseguridad con el trabajo remoto?
Con el trabajo remoto, los sistemas de la empresa se abren desde equipos y redes que no controlas. Por eso el plan de ciberseguridad debe pedir doble autenticación, equipos con bloqueo y disco cifrado, reglas para equipos personales y acceso a los sistemas por una conexión segura, nunca abiertos directo a internet.
¿Necesito un plan de ciberseguridad si mis sistemas están en la nube?
Sí. Aunque tus sistemas estén en la nube, tu empresa sigue decidiendo quién entra, con qué permisos, qué se respalda y qué pasa cuando alguien se va. El proveedor de la nube cuida su infraestructura; las cuentas, los accesos y los datos que subes son responsabilidad de tu empresa.
¿Qué tiene que ver la IA con el plan de ciberseguridad?
La IA entra al plan de ciberseguridad porque tu equipo ya la usa y puede subir datos de la empresa a cuentas personales. El plan debe decir qué herramientas de IA se permiten, con qué cuentas, qué datos nunca se suben y quién autoriza conectar un asistente de IA al correo, al ERP o a WhatsApp.
¿Qué hace Efestum en ciberseguridad?
Efestum, antes Maindsoft, hace revisiones de ciberseguridad para empresas en seis frentes: accesos, secretos, bitácoras, respaldos, configuración, y conectores y agentes de IA. Entrega los hallazgos ordenados por gravedad y corrige lo que encuentra. Hoy no ofrece monitoreo 24/7 ni detección y respuesta a ataques en tiempo real.
Sigue leyendo
- Empezar con IA capacitación en IA Cada puesto aprende qué pedirle a la IA, cómo revisar lo que entrega y qué datos nunca se suben.
- Conectar lo que ya tengo conectores de IA Un conector de IA le da al asistente de tu equipo acceso controlado a tu ERP, punto de venta o base de datos.
- Recursos cómo implementar IA en tu empresa Implementar IA es ponerla a trabajar en un proceso concreto, con datos confiables, reglas de uso y una métrica que diga si funcionó.
Agenda una revisión de tus sistemas
Cuéntanos qué sistemas tiene tu empresa y cuál te preocupa. Te decimos qué revisaríamos primero y por dónde empezar tu plan.
- Efestum · Maindsoft Sistemas Integrales, S.A. de C.V.
- Jardines Eternos 902, Local 1, Panorama, 20040 Aguascalientes, Ags.
- WhatsApp: +52 449 120 4353
- Correo: [email protected]
