¿Está tu Empresa
Realmente Protegida?

Qué mide exactamente este test

Las 20 preguntas no están puestas al azar: recorren las doce áreas donde, por lo que vemos a diario atendiendo incidentes, se concentra casi todo el riesgo real de una pyme. No preguntan por marcas ni por presupuesto, sino por cómo trabajáis hoy, que es lo que de verdad determina si un ataque os para la empresa o se queda en un susto.

Este es el recorrido completo, para que sepas qué vas a encontrarte antes de empezar.

1. Protección del puesto y del servidor

Si lo que tenéis instalado es un antivirus tradicional o una solución que además vigila comportamientos. La diferencia importa porque buena parte de los ataques actuales no traen ningún fichero malicioso: usan herramientas que ya vienen con Windows. Un antivirus clásico no ve eso; un EDR, sí.

2. Perímetro y acceso desde fuera

Qué controla la entrada y la salida de vuestra red, y cómo se conecta la gente cuando trabaja fuera de la oficina. El escritorio remoto publicado directamente en internet sigue siendo una de las puertas de entrada más frecuentes, y la alternativa —una VPN con doble factor detrás de un cortafuegos bien configurado— no es cara.

3. Copias de seguridad, incluidas las de la nube

Hay dos preguntas sobre esto y no sobran. La primera es si existen copias, con qué frecuencia y —la que casi nadie sabe responder— cuándo se restauró una por última vez para comprobar que funciona. Una copia que nunca se ha probado es una suposición, no una copia.

La segunda es la que más sorprende: el correo y los archivos que tenéis en Microsoft 365 o Google no llevan copia de seguridad de serie. Microsoft garantiza que su servicio funcione, no que podáis recuperar lo que alguien borró hace tres meses. Es un malentendido carísimo y muy extendido.

4. Identidad: contraseñas, doble factor y altas y bajas

Cuatro preguntas, porque es por donde entra la mayoría. Si usáis doble factor y dónde. Cómo guardáis las contraseñas —y si la respuesta es un Excel o un post-it, no eres el único—. Qué exigen vuestros sistemas al ponerlas, en el dominio de Windows, en Microsoft 365 y en las aplicaciones con datos sensibles. Y qué pasa con los accesos de alguien cuando entra o cuando se va de la empresa.

Esa última es el hallazgo más repetido de todas las auditorías que hacemos: cuentas activas de gente que se fue hace años.

5. Correo electrónico

Qué protección tiene más allá del filtro de spam que viene de fábrica. El fraude del falso proveedor que cambia el número de cuenta en una factura no llega con un virus adjunto: llega con un correo perfectamente escrito desde una dirección que se parece a la de siempre.

6. Actualizaciones

Cómo mantenéis al día equipos y aplicaciones. La mayoría de los incidentes que atendemos entran por un sistema al que le faltaba un parche publicado meses antes, y casi ninguno era un ataque dirigido: era un escaneo automático que encontró una versión vulnerable. La gestión de parches es el trabajo menos lucido y el que más incidentes evita.

7. Las personas

Si formáis a la plantilla y con qué constancia. Se puede tener todo bien montado y que alguien pague igualmente una factura falsa. La formación no elimina el riesgo, pero cambia mucho la probabilidad de que alguien levante la mano a tiempo.

8. Información sensible y dispositivos que salen de la oficina

Si controláis por dónde puede salir la información —correo personal, memorias USB, servicios de almacenamiento— y qué pasa con los portátiles y móviles fuera de la oficina. Un portátil sin cifrar que se queda en un taxi es una brecha de datos con obligación de notificar, no solo un ordenador perdido.

9. Preparación, normativa y revisión externa

Qué haríais hoy si sufrierais un ataque —tener un plan escrito y saber a quién llamar cambia radicalmente las primeras horas, que son las que deciden—, si cumplís con lo que os aplica en materia de RGPD, ENS o NIS2, y cuándo revisó vuestra seguridad alguien de fuera por última vez.

10. Vuestra web

Quién la mantiene y actualiza. Una web desatendida no suele ser el objetivo final, pero sí un punto de entrada cómodo y un problema reputacional cuando acaba sirviendo publicidad ajena.

11. Los proveedores que tienen acceso a vuestros sistemas

Quién entra desde fuera —el informático anterior, el del programa de gestión, la gestoría— y qué pasaría si atacaran a uno de ellos. Es la vía de entrada que más ha crecido: no hace falta atacarle a usted si se puede atacar a quien ya tiene la llave de su casa. Conviene tener la lista y saber qué permisos tiene cada uno.

12. El seguro de ciberriesgo

Si hay póliza y qué cubre. No sustituye a las medidas —ninguna aseguradora paga si no había copias— pero cubre lo que la prevención no puede evitar: la interrupción del negocio, la notificación a los afectados y la defensa jurídica. Lo explicamos en la página de seguro de ciberriesgo.

Qué significa el resultado

El test devuelve una nota del 1 al 10 y os sitúa en uno de tres estados:

• Expuesta. Faltan medidas básicas y un incidente corriente —un ransomware que llega por correo— tendría bastantes posibilidades de parar la empresa varios días. Aquí lo urgente no es comprar, es ordenar: copias que se restauren, doble factor y accesos revisados.
• Básica. Lo esencial está, pero con huecos: normalmente copias sin verificar, actualizaciones irregulares o la nube sin respaldo. Es el estado más común y también el más engañoso, porque desde dentro se percibe como «estamos bien».
• Protegida. Las capas fundamentales están cubiertas y funcionando. A partir de aquí el trabajo es de vigilancia y mejora continua: monitorización, revisiones periódicas y pruebas de intrusión.

Junto con la nota recibís las tres cosas que conviene resolver primero, priorizadas por lo que más riesgo quita con menos esfuerzo. No es una lista de la compra.

Preguntas frecuentes

¿Cuánto se tarda?

Unos tres minutos. Son 20 preguntas de respuesta cerrada, sin nada que preparar ni que consultar antes.

¿Hay que dejar los datos para ver el resultado?

Sí, en el último paso: nombre, empresa, correo corporativo, tamaño y sector. El tamaño y el sector no son un trámite comercial, se usan para ajustar las recomendaciones — lo prioritario en un despacho de diez personas no es lo mismo que en una industria de doscientas.

¿Sustituye a una auditoría de seguridad?

No, y conviene decirlo claro. El test es una autoevaluación: se basa en lo que vosotros creéis que tenéis. Una auditoría comprueba lo que hay de verdad, con acceso a los sistemas, y casi siempre encuentra cosas que nadie sabía que existían. El test sirve para saber por dónde empezar a mirar.

¿Vale si somos una empresa pequeña?

Está pensado justo para ese tamaño. El ransomware hace años que no distingue por facturación: elige por facilidad, y una empresa de quince personas sin copias verificadas es más fácil que una de quinientas.

¿Me vais a llamar para venderme algo?

Os llegará el resultado y el plan al momento, y podéis quedaros ahí perfectamente. Si queréis repasarlo con nosotros, la primera conversación no cuesta nada ni compromete a nada.

¿Podemos repetirlo más adelante?

Sí, y tiene sentido hacerlo una vez al año o después de un cambio grande. Comparar la nota con la del año anterior es una forma sencilla de comprobar si el dinero invertido en seguridad se ha traducido en algo.