Las pymes son el objetivo perfecto del ransomware: tienen datos valiosos y pocas defensas. Esto es lo mínimo que cualquier pyme debe tener en 2026, ordenado por prioridad y coste. Sin exageraciones, sin lujos innecesarios, sin que el equipo deje de trabajar. Si quieres delegarlo, tenemos un servicio de ciberseguridad para pymes específico.
El panorama actual
En 2024, el 73% de las pymes españolas que sufrieron un ciberataque no pudieron operar normalmente durante 5+ días. El 12% cerraron en los 6 meses siguientes. El rescate medio que paga una pyme: 18.000 €.
Y eso solo cuenta los que se reportan. La mayoría no.
Nivel 1: lo absolutamente imprescindible
Si no tienes esto, eres víctima esperando ataque.
1. Backups automáticos y verificados
Coste: 30-150 €/mes.
- Backup diario automático de todos los servidores y bases de datos.
- Mínimo 2 copias: una local + una externa (cloud o disco extraíble en caja fuerte).
- Probar restauración cada 3 meses. Si no la pruebas, NO sabes si funciona.
- Backup específico de los datos del ERP/CRM (no solo sistema operativo).
Sin backup verificado, un ransomware = pérdida total o pago de rescate.
2. Antivirus profesional en todos los dispositivos
Coste: 30-50 €/usuario/año.
- No Windows Defender (no es suficiente).
- Microsoft Defender for Endpoint, Bitdefender GravityZone, Kaspersky Endpoint Security, ESET Endpoint Protection.
- Cobertura: PCs, portátiles, servidores. Móviles corporativos si acceden a datos.
- Consola centralizada con alertas.
3. Doble factor (MFA) en todo
Coste: 0-30 €/usuario/año.
- Office 365 / Google Workspace: MFA con app (Microsoft Authenticator, Google Authenticator).
- ERP/CRM: MFA con app o token.
- Acceso remoto al servidor: MFA SIEMPRE.
- Email administrador: MFA y password única.
- Banca electrónica: MFA con dispositivo físico mejor que SMS.
El 80% de ataques exitosos vienen por usuario+password sin MFA.
4. Actualizaciones automáticas activadas
Coste: 0 €.
- Windows Update activado en todos los equipos.
- Microsoft 365 actualizado automáticamente.
- Navegadores actualizados.
- ERP/CRM con políticas de actualización.
Equipos sin actualizar = puerta abierta a exploits conocidos.
5. Política de passwords + gestor
Coste: 30-60 €/usuario/año.
- Gestor profesional: 1Password, Bitwarden, Keeper.
- Passwords únicas por servicio, generadas automáticamente.
- Política: mínimo 12 caracteres, no reutilizar.
- Acceso compartido seguro entre equipo (no email, no whatsapp).
Subtotal nivel 1: 100-300 €/mes para una pyme de 10-20 personas.
Nivel 2: defensa básica realista
Si tienes datos sensibles (clientes, financieros, sanitarios), pasas a este nivel.
6. Firewall corporativo
Coste: 80-300 €/mes.
- WatchGuard, Fortinet, Sophos.
- Control de tráfico entrante/saliente.
- Bloqueo de webs maliciosas.
- VPN para acceso remoto seguro.
7. Filtro de email anti-phishing
Coste: 5-15 €/usuario/mes.
- Microsoft Defender for Office 365 (incluido en muchos planes).
- Proofpoint, Mimecast como alternativas.
- Filtra >99% de phishing y malware adjunto.
El phishing es la entrada principal al ransomware en pymes.
8. Cifrado de discos duros
Coste: 0 €.
- BitLocker (Windows Pro/Enterprise) en portátiles y PCs.
- Si te roban un portátil, los datos no son legibles sin la clave.
- Activar políticas centralizadas si tienes Active Directory.
9. Logs de acceso al ERP
Coste: incluido en el ERP/CRM a medida.
- Quién accedió, cuándo, desde qué IP.
- Quién modificó qué dato.
- Alertas de comportamiento anómalo (acceso fuera de horario, descarga masiva…).
10. Política de bring-your-own-device (BYOD)
Coste: 0 €.
- Si la gente usa su móvil personal para email, separación de cuentas y cifrado.
- Microsoft Intune u otro MDM para gestión móvil.
- Política escrita y firmada por empleado.
Subtotal nivel 2 (sumado al 1): 250-700 €/mes para 10-20 personas.
Nivel 3: para sectores regulados o críticos
Sanidad, banca, sector público, energía, datos personales masivos.
11. SIEM (gestión centralizada de seguridad)
Coste: 500-3.000 €/mes.
- Recolecta logs de todos los sistemas en un solo punto.
- Detecta patrones de ataque automáticamente.
- Alertas en tiempo real.
- Microsoft Sentinel, Splunk, Datadog.
12. EDR (detección y respuesta a endpoint)
Coste: 80-200 €/usuario/año.
- Más allá del antivirus tradicional.
- Detecta ataques sofisticados por comportamiento.
- Crowdstrike, SentinelOne, Microsoft Defender for Endpoint plan 2.
13. Penetration testing anual
Coste: 4.000-15.000 €/año.
- Auditoría externa que intenta atacarte como un hacker real.
- Informe con vulnerabilidades clasificadas.
- Imprescindible para certificaciones (ISO 27001, ENS).
14. SOC 24/7
Coste: 1.500-8.000 €/mes.
- Centro de operaciones de seguridad externo.
- Monitorización 24/7 con respuesta inmediata.
- Para empresas que no se pueden permitir parar.
15. Plan de continuidad (BCP)
Coste: 5.000-30.000 € inicial + revisión anual.
- Qué pasa si el servidor cae 1 día, 1 semana, 1 mes.
- Procedimientos documentados de recuperación.
- Roles asignados con plantilla de respuesta.
- Simulacros anuales.
RGPD: lo que no puedes saltarte
Independientemente del nivel, si tratas datos personales:
Registro de actividades de tratamiento (RAT)
Documento donde describes qué datos personales tratas, con qué finalidad, base legal, plazos de conservación y medidas de seguridad.
Obligatorio para casi todas las pymes (>250 empleados siempre, <250 si tratamiento no es ocasional o tiene datos sensibles).
Privacy by design
Cuando implantas un sistema nuevo (ERP, CRM, web), debe respetar RGPD desde el diseño. Pseudonimización donde sea posible. Acceso mínimo necesario por rol.
Comunicación de brechas en 72 horas
Si tienes un incidente con datos personales (robo, pérdida, ransomware…), tienes 72 horas para notificar a la AEPD. Sin excepción.
Encargados de tratamiento
Si una empresa externa (tu proveedor cloud, tu gestoría) accede a datos personales, contrato de encargo de tratamiento por escrito.
Multas
- Leves: hasta 40.000 €.
- Graves: hasta 300.000 € o 2% facturación.
- Muy graves: hasta 20.000.000 € o 4% facturación.
Cómo afecta esto al ERP/CRM
Tu ERP/CRM es el sistema con más datos personales y económicos. Debe:
1. Acceso por rol
Comerciales ven sus clientes, no los del compañero. RRHH ve nóminas, no RRHH de otra delegación.
2. Logs de auditoría
Quién consultó qué cliente, quién modificó qué dato, cuándo.
3. Cifrado en reposo
La BD del ERP cifrada en disco. Si te roban el servidor, no es legible.
4. Backups cifrados
Si los backups van a la nube, cifrados extremo a extremo.
5. Doble factor para acceso remoto
Sin MFA, no debe haber acceso al ERP desde fuera de la oficina.
6. Anonimización en entornos de prueba
Si haces pruebas con datos reales, anonimizados. No exponer reales en entornos no productivos.
Errores que vemos cada semana
1. Backups que no funcionan
“Tenemos backup”. Cuando lo necesitan: backup vacío, corrupto o sin restaurar nunca.
2. MFA solo para “los importantes”
El becario tiene acceso a todo el email pero “no necesita MFA porque es junior”. El becario abre un phishing y entra el atacante.
3. Passwords en post-its o Excel
“Es más fácil así”. Es una ratonera.
4. Servidor sin cortafuegos
Servidor expuesto en internet “porque la VPN es lenta”. Atacado en 24h.
5. No formar al equipo
La gente abre attachments de “Hacienda Foral”, reenvía email a IBANs falsos, etc. Sin formación trimestral, hay caídas.
6. No probar la restauración
El backup que nunca se prueba es backup imaginario.
Coste anual realista por nivel
Para una pyme de 20 personas:
- Nivel 1 (imprescindible): 3.000-5.000 €/año.
- Nivel 2 (recomendado): 8.000-15.000 €/año.
- Nivel 3 (sector regulado): 30.000-100.000 €/año.
Comparado con un solo incidente de ransomware (rescate + parón + recuperación + reputación): 40.000-200.000 € en pyme media.
La ciberseguridad sigue siendo cara, pero un ataque es siempre más caro.
Cómo lo abordamos
En nuestros ERPs/CRMs implantamos por defecto:
- Acceso por rol granular.
- MFA obligatorio para acceso remoto.
- Logs de auditoría completos.
- Cifrado de BD en reposo.
- Backups cifrados y verificados.
- Anonimización en pruebas.
- Cumplimiento RGPD desde el diseño.
Y como servicio adicional, auditoría de ciberseguridad básica para pymes que quieren saber dónde están.
Recursos
- Servicio de ciberseguridad para pymes
- ERPs y CRMs a medida
- Cumplimiento fiscal Verifactu
- Control horario laboral 2026
- Glosario fiscal y técnico
¿Quieres saber si tu pyme está cubierta? Llámanos al 943 49 00 30 para una evaluación gratuita en 15 minutos.
Preguntas frecuentes