IA y ciberseguridad para pymes: por dónde empezar (módulo 1 gratis)

Los correos de phishing ya no tienen faltas de ortografía, y el truco de detectarlos por ahí ha dejado de servir. Esta guía es el primer módulo completo de nuestro curso de IA para ciberseguridad: los ocho básicos que evitan la mayoría de incidentes en una pyme, cómo la IA ha cambiado el ataque y la defensa, las seis amenazas que de verdad afectan a empresas pequeñas, qué normativa te obliga y cómo priorizar la inversión con una matriz de riesgos sencilla.

Estás leyendo gratis el primer módulo del curso IA para Ciberseguridad: Defiende tu Empresa. No hace falta registrarse.

Contenido de esta página

• Bienvenida: por qué IA y ciberseguridad van juntas
• Conceptos básicos de ciberseguridad
• El doble papel de la IA: defensa y amenaza
• Panorama de amenazas actuales
• Marco legal y normativo
• Cómo medir y priorizar el riesgo

Bienvenida: por qué IA y ciberseguridad van juntas

Por qué este curso, y por qué ahora

La ciberseguridad de una empresa pequeña o mediana lleva años en una situación incómoda: los ataques son cada vez más profesionales y las defensas siguen dependiendo de que alguien tenga tiempo de mirar los avisos. La IA ha entrado en esa ecuación por los dos lados a la vez.

Por el lado del atacante: los correos de phishing ya no tienen faltas de ortografía, se personalizan a escala y se escriben en un castellano impecable. Por el lado del defensor: hay herramientas que detectan comportamientos anómalos y priorizan avisos mucho mejor que hace cinco años.

Este curso va del segundo lado: cómo usar la IA para defender tu empresa, y cómo defenderte de los ataques que la usan.

Para quién es

• Responsables de IT en pymes, que hacen de todo y no tienen equipo de seguridad.
• Gerentes y responsables de operaciones que tienen que decidir en qué invertir.
• Autónomos y despachos que manejan datos sensibles de clientes.
• Profesionales de IT que quieren incorporar herramientas de IA a su trabajo de seguridad.

No hace falta ser experto en seguridad. Sí conviene entender qué es una red, un servidor y una copia de seguridad.

Lo que este curso NO es

No es un curso de hacking ni de técnicas ofensivas. No vas a aprender a atacar sistemas: vas a aprender a protegerlos y a entender cómo piensa quien ataca, que es distinto. Todo el enfoque es defensivo y orientado a la organización.

La realidad de la pyme española

Conviene partir de un dato incómodo: la mayoría de incidentes en empresas pequeñas no ocurren por un ataque sofisticado. Ocurren por lo de siempre:

• Una contraseña reutilizada que apareció en una filtración.
• Un correo que alguien abrió y en el que introdujo sus credenciales.
• Un sistema sin actualizar durante meses.
• Una copia de seguridad que nadie había comprobado nunca.
• Un empleado que se fue y cuyos accesos siguen activos.

Ninguna herramienta de IA arregla eso. Por eso el módulo 1 empieza por los cimientos y no por la tecnología: gastar en IA con los básicos sin cubrir es tirar el dinero.

Qué vas a saber hacer al terminar

1. Evaluar el nivel de riesgo real de tu organización con un método.
2. Cubrir los fundamentos que evitan la mayoría de incidentes.
3. Reconocer y frenar los ataques potenciados por IA, empezando por el phishing y la suplantación.
4. Usar herramientas con IA para detección, análisis y respuesta.
5. Formar a tu equipo, que es la capa de defensa que más falla.
6. Preparar un plan de respuesta ante incidentes y de continuidad.
7. Cumplir con las obligaciones normativas que te apliquen.

Ejercicio 1: la foto de tu organización

1. Anota cuántas personas tienen acceso a sistemas de la empresa, incluidos externos.
2. Lista qué información sería más grave perder o que se filtrara.
3. Responde con sinceridad: ¿cuándo se comprobó por última vez que una copia de seguridad se puede restaurar?
4. ¿Tenéis autenticación de doble factor en correo y en los sistemas críticos?
5. ¿Qué pasaría si mañana no pudierais acceder a vuestros sistemas durante tres días?

Qué deberías tener al acabar: una foto honesta. Si las preguntas 3 y 4 te han incomodado, ya sabes por dónde empezar, y ninguna de las dos cuesta dinero.

Conceptos básicos de ciberseguridad

El vocabulario mínimo

Para tomar decisiones de seguridad hay que manejar unos pocos conceptos. Estos son los que de verdad usarás.

Los tres objetivos que se protegen

• Confidencialidad: que solo acceda quien debe. Se rompe con una filtración.
• Integridad: que la información no se altere sin autorización. Se rompe con una manipulación o un cifrado por ransomware.
• Disponibilidad: que puedas acceder cuando lo necesitas. Se rompe con una caída, un borrado o un secuestro.

Cualquier medida que valores debería responder a cuál de las tres protege.

Amenaza, vulnerabilidad y riesgo

Se confunden constantemente y distinguirlos ordena mucho las decisiones:

• Amenaza: lo que puede pasar. Un ataque de ransomware.
• Vulnerabilidad: la debilidad que lo permite. Un servidor sin parchear.
• Riesgo: probabilidad × impacto. Es lo que se gestiona.

No puedes eliminar amenazas; sí puedes reducir vulnerabilidades y, con ellas, el riesgo.

Los conceptos de defensa que importan

Concepto	Qué significa en la práctica
Defensa en profundidad	Varias capas, para que fallar una no lo comprometa todo
Mínimo privilegio	Cada persona accede solo a lo que necesita para su trabajo
Superficie de ataque	Todo lo que está expuesto: servicios, cuentas, dispositivos, proveedores
Segmentación	Separar redes y sistemas para contener un incidente
Confianza cero	No dar por seguro nada por estar dentro de la red
Autenticación multifactor	Algo que sabes + algo que tienes. La medida con mejor relación coste-eficacia que existe

Los tipos de incidente que verás

• Phishing y suplantación: engañar a una persona para que entregue credenciales o haga una transferencia. Es, con diferencia, la puerta de entrada más frecuente.
• Ransomware: cifrado de los sistemas y petición de rescate. A menudo con amenaza de publicar los datos.
• Fraude del CEO: suplantar a un directivo para ordenar un pago urgente.
• Compromiso de cuenta de correo: acceso a un buzón para espiar y luego intervenir en conversaciones reales, típicamente para desviar un pago.
• Fuga de datos: por error o por acceso indebido.
• Ataque a proveedores: entrar a través de alguien que tiene acceso a tus sistemas.

Los ocho básicos que evitan la mayoría de incidentes

Antes de cualquier inversión en tecnología avanzada:

1. Doble factor en correo, banca, VPN y administración de sistemas.
2. Gestor de contraseñas para toda la organización, y contraseñas únicas.
3. Actualizaciones automáticas de sistemas y aplicaciones.
4. Copias de seguridad con regla 3-2-1: tres copias, dos soportes distintos, una fuera y desconectada.
5. Restauración probada: una copia que no se ha restaurado nunca no es una copia.
6. Revisión de accesos trimestral: quitar los de quien ya no está.
7. Antimalware en todos los equipos, gestionado de forma centralizada.
8. Formación del equipo, especialmente en phishing.

Si esos ocho están, has cubierto la mayor parte del riesgo real. Si falta alguno, ese es tu siguiente euro mejor invertido.

Ejercicio 2: pasa la lista de los ocho

1. Marca cada uno de los ocho puntos como hecho, parcial o no hecho.
2. Para los parciales, anota exactamente qué falta.
3. Ordénalos por facilidad de implantación.
4. Fija fecha para los tres primeros.

Qué deberías tener al acabar: tu lista de deberes básicos. En la mayoría de pymes, cubrir estos ocho reduce el riesgo más que cualquier herramienta que puedas comprar.

El doble papel de la IA: defensa y amenaza

La misma tecnología, en los dos bandos

Esta es la particularidad de la IA en seguridad: mejora las capacidades de defensa y de ataque simultáneamente. Entender ambos lados es necesario para dimensionar el problema.

Cómo mejora la defensa

• Detección de anomalías. En lugar de buscar firmas conocidas, se modela el comportamiento normal y se alerta de lo raro: un acceso a las tres de la mañana desde otro país, una descarga masiva inusual, un patrón de cifrado.
• Reducción del ruido. Un equipo pequeño se ahoga en avisos. Los sistemas actuales agrupan, correlacionan y priorizan, que es lo que permite atender lo importante.
• Filtrado de correo. Análisis del contenido, del contexto y de la relación entre remitente y destinatario para detectar suplantación, más allá de listas negras.
• Análisis rápido de incidentes. Resumir registros, reconstruir cronologías, explicar qué hace un fichero sospechoso.
• Gestión de vulnerabilidades. Priorizar qué parchear primero según explotación real y exposición, no solo según la puntuación teórica.
• Formación personalizada. Simulaciones de phishing adaptadas a cada persona y a su rol.

Cómo mejora el ataque

Conviene conocerlo para reconocerlo, sin entrar en detalles operativos:

• Phishing sin errores. Se acabó el truco de detectar el fraude por las faltas de ortografía o la traducción rara. Hoy los correos fraudulentos están perfectamente escritos.
• Personalización a escala. Se puede construir un mensaje creíble para miles de destinatarios usando información pública de cada uno.
• Suplantación de voz e imagen. Clonar una voz a partir de unos segundos de audio es viable. Ha habido casos documentados de fraudes con videollamadas falsas de directivos.
• Mayor velocidad en la explotación de vulnerabilidades recién publicadas.

La consecuencia práctica más importante

Los indicadores clásicos para detectar fraude han dejado de servir. Durante años enseñamos a la gente a desconfiar de los correos mal escritos. Eso ya no discrimina nada. Hay que sustituirlo por indicadores que siguen siendo válidos:

• Urgencia y presión. «Tiene que ser ahora, es confidencial, no lo comentes con nadie.»
• Cambio en el procedimiento habitual. Un proveedor que de pronto cambia su cuenta bancaria.
• Canal inesperado. Una petición importante que llega por un canal que no se usa para eso.
• Petición que salta la cadena normal. Alguien pidiendo directamente algo que siempre pasa por otro sitio.

Y la defensa que sigue funcionando siempre: verificación por un segundo canal. Si te piden una transferencia por correo, llamas al número que ya tenías, no al que viene en el correo. Esa regla, aplicada sin excepciones, corta la inmensa mayoría de fraudes.

Sobre los deepfakes de voz

Merece una medida específica porque rompe la verificación telefónica, que era nuestra red de seguridad. Recomendación concreta: acordar una palabra o pregunta de control dentro del equipo directivo y financiero, que no esté en ningún sitio digital, para confirmar operaciones sensibles. Suena de película y es barato y eficaz.

Ejercicio 3: actualiza tus defensas humanas

1. Revisa qué le habéis enseñado al equipo sobre cómo detectar un correo fraudulento. Elimina lo que ya no sirve.
2. Escribe el procedimiento de verificación por segundo canal para pagos y cambios de datos bancarios.
3. Define una palabra de control para operaciones sensibles.
4. Comprueba si vuestro filtro de correo tiene protección específica contra suplantación y actívala.

Qué deberías tener al acabar: un procedimiento escrito de verificación. Es la medida que más fraudes evita y no cuesta un euro.

Panorama de amenazas actuales

Las seis amenazas que de verdad afectan a una pyme

Dejando de lado los titulares sobre ciberguerra, esto es lo que le pasa a las empresas pequeñas y medianas en España, por orden de frecuencia.

1. Phishing y suplantación de identidad

La puerta de entrada de la mayoría de incidentes. Un correo que parece de tu banco, de un proveedor, de Microsoft o de un compañero, y que pide credenciales o que abras algo.

Variante especialmente cara: el fraude del CEO. Alguien suplanta a un directivo y ordena una transferencia urgente y confidencial. Funciona porque explota la jerarquía y la prisa, no la tecnología.

Defensa: doble factor, filtro de correo con detección de suplantación, y sobre todo el procedimiento de verificación por segundo canal.

2. Ransomware

Cifran tus sistemas y piden rescate. Hoy casi siempre con doble extorsión: además de cifrar, roban datos y amenazan con publicarlos, de modo que tener copia de seguridad ya no resuelve todo el problema.

Defensa: copias 3-2-1 con al menos una desconectada, restauración probada, segmentación de red, actualizaciones al día, y mínimo privilegio para limitar hasta dónde se propaga.

3. Compromiso del correo corporativo

Entran en un buzón y se quedan callados semanas, leyendo. Cuando detectan una operación con dinero, intervienen en el hilo con un mensaje perfectamente contextualizado cambiando el número de cuenta. Es devastador porque la conversación es real.

Defensa: doble factor sin excepciones, revisar reglas de reenvío automático sospechosas, alertas de inicio de sesión inusual, y verificación por segundo canal de cualquier cambio de datos bancarios.

4. Explotación de sistemas sin actualizar

Vulnerabilidades públicas y con parche disponible que nadie aplicó. Especialmente en lo expuesto a internet: VPN, servidores de correo, paneles de administración, cámaras, NAS.

Defensa: inventario de lo que tienes expuesto y actualizaciones con calendario. La mayoría de estos incidentes son evitables por definición.

5. Fuga de datos

A veces por ataque, muy a menudo por error: un envío al destinatario equivocado, un documento compartido con enlace público, un archivo en un servicio personal.

Defensa: clasificar qué información es sensible, controlar los permisos de compartición, y formación.

6. Terceros y proveedores

Tu seguridad depende también de quien tiene acceso a tus sistemas: la gestoría, el informático externo, el proveedor de software.

Defensa: saber quién tiene acceso a qué, revisarlo periódicamente, y exigir doble factor también a los externos.

Por dónde entran, en resumen

Vía de entrada	Contramedida principal
Persona engañada	Formación + verificación por segundo canal
Credencial robada o reutilizada	Doble factor + gestor de contraseñas
Sistema sin parchear	Actualizaciones + inventario de exposición
Proveedor comprometido	Control de accesos de terceros
Error interno	Permisos y clasificación de la información

La conclusión incómoda

Fíjate en que casi ninguna contramedida es un producto caro. Son procedimientos, higiene y disciplina. Por eso insistimos: la IA en seguridad es un multiplicador, no un sustituto de los cimientos. Multiplicar por cero sigue dando cero.

Ejercicio 4: tu mapa de exposición

1. Lista todo lo tuyo accesible desde internet: web, correo, VPN, escritorio remoto, NAS, cámaras, paneles de administración.
2. Para cada uno anota: quién lo mantiene, cuándo se actualizó por última vez y si tiene doble factor.
3. Lista los terceros con acceso a vuestros sistemas y a qué acceden exactamente.
4. Marca en rojo todo lo que esté expuesto sin doble factor o sin mantenimiento claro.

Qué deberías tener al acabar: tu superficie de ataque en una hoja. Casi siempre aparece algo olvidado: un servidor de pruebas, una cámara, un panel antiguo. Eso es exactamente por donde entran.

Marco legal y normativo

Qué te obliga y a qué

El marco normativo de seguridad en España combina varias piezas. No todas te aplican; conviene saber cuáles sí.

Aviso: orientación general, no asesoramiento jurídico. Consulta con un profesional para tu caso.

RGPD y LOPDGDD

Aplica a cualquier organización que trate datos personales, es decir, prácticamente a todas. En materia de seguridad, lo esencial:

• Medidas de seguridad apropiadas al riesgo. No dice cuáles: dice que sean proporcionadas y que puedas justificar tu decisión.
• Notificación de brechas a la autoridad de control en un plazo de 72 horas desde que tienes conocimiento, salvo que sea improbable que suponga riesgo. Y comunicación a los afectados si el riesgo es alto.
• Registro de actividades de tratamiento y evaluación de impacto cuando proceda.
• Contratos con encargados del tratamiento: tu informático externo, tu proveedor de nube, tu gestoría.

El plazo de 72 horas es el punto que más pilla desprevenido. Si te enteras un viernes por la tarde de que has tenido una brecha, el reloj corre. Tener preparado quién decide y quién notifica es parte del plan de respuesta.

NIS2

Directiva europea que amplía notablemente el número de sectores y entidades sujetas a obligaciones de ciberseguridad, con requisitos de gestión de riesgos, notificación de incidentes y responsabilidad de la dirección. Su transposición en España determina el alcance concreto.

Lo relevante para ti: aunque tu empresa no esté directamente sujeta, si eres proveedor de alguien que sí lo está, es muy probable que te trasladen requisitos por contrato. Vale la pena comprobarlo.

Esquema Nacional de Seguridad

Obligatorio para el sector público y para las empresas que le prestan servicios. Si trabajas con administraciones, te afecta y exige medidas y, en algunos casos, certificación.

Reglamento Europeo de IA

Clasifica los sistemas de IA por nivel de riesgo e impone obligaciones crecientes. En seguridad importa en dos sentidos: si usas IA para tomar decisiones sobre personas, y si desarrollas o integras sistemas de IA en tus productos. Se despliega por fases, así que conviene seguirlo.

Y para el sector financiero: DORA

Reglamento de resiliencia operativa digital, con requisitos exigentes de gestión del riesgo tecnológico y de terceros. Si prestas servicios a entidades financieras, también te llegará por vía contractual.

Lo que hay que tener, en la práctica

1. Análisis de riesgos documentado, aunque sea sencillo. Sirve para justificar por qué has tomado las medidas que has tomado.
2. Política de seguridad escrita y conocida por el equipo.
3. Registro de actividades de tratamiento actualizado.
4. Contratos de encargado con todos los proveedores que tocan datos.
5. Procedimiento de gestión de brechas, con responsables y plazos.
6. Registro de incidentes, incluidos los que no se notifican.
7. Evidencia de formación del personal.

Buena parte de esto no cuesta dinero: cuesta sentarse a escribirlo. Y en caso de incidente, la diferencia entre tenerlo y no tenerlo es enorme, tanto ante la autoridad como ante tu aseguradora.

Un apunte sobre el ciberseguro

Cada vez más pymes lo contratan. Léelo con atención: casi todas las pólizas exigen medidas mínimas (doble factor, copias, actualizaciones) y pueden rechazar la cobertura si no las tenías. Contratar el seguro sin cumplir los requisitos es pagar por nada.

Ejercicio 5: revisa tu cumplimiento

1. Comprueba cuáles de las normas anteriores te aplican, directamente o por contrato con clientes.
2. Pasa la lista de los siete documentos y marca qué tienes.
3. Comprueba si tienes contrato de encargado con tu informático externo y tu proveedor de nube.
4. Escribe quién decidiría y quién notificaría una brecha, con nombres y teléfonos.
5. Si tienes ciberseguro, lee qué medidas exige y comprueba si las cumples.

Qué deberías tener al acabar: tus huecos de cumplimiento identificados y, como mínimo, el procedimiento de brechas escrito. Es lo que más se agradece a las tres de la mañana de un día malo.

Cómo medir y priorizar el riesgo

No se puede proteger todo por igual

Ninguna organización tiene presupuesto para blindarlo todo. La gestión de seguridad consiste en decidir dónde poner el dinero y el tiempo, y eso exige medir el riesgo con algún método, aunque sea sencillo.

El método básico: probabilidad × impacto

Para cada escenario de riesgo, puntúa de 1 a 5:

• Probabilidad: 1 = muy improbable, 5 = ocurrirá casi seguro este año.
• Impacto: 1 = molestia, 5 = amenaza la continuidad del negocio.

Multiplica. Los que pasen de 12 son tus prioridades. Es tosco y funciona mucho mejor que decidir por intuición o por lo que más miedo dé.

Los escenarios que conviene evaluar

Escenario	Preguntas para valorar el impacto
Ransomware que cifra todo	¿Cuántos días podéis operar sin sistemas? ¿Cuánto factura la empresa al día?
Transferencia fraudulenta	¿Cuál es el importe máximo que puede salir sin doble validación?
Filtración de datos de clientes	¿Cuántos afectados? ¿Hay datos sensibles? ¿Reputación?
Caída prolongada de un servicio	¿Qué proceso se para? ¿Hay alternativa manual?
Baja o marcha de la persona clave de IT	¿Alguien más sabe cómo funciona todo? ¿Está documentado?

Ese último escenario es el gran olvidado de las pymes y en muchas es el riesgo más alto de la lista.

Dos cifras que hay que decidir

Para cada sistema importante, la dirección tiene que responder:

• ¿Cuánto tiempo puede estar caído? Determina cómo tienen que ser tus copias y tu plan de recuperación.
• ¿Cuántos datos puedes permitirte perder? Si la respuesta es «un día», con copia diaria vale. Si es «una hora», necesitas otra cosa.

No son decisiones técnicas: son decisiones de negocio con consecuencias técnicas. Y casi nadie las plantea de forma explícita.

Cómo priorizar la inversión

1. Primero, lo gratis o casi. Doble factor, revisión de accesos, actualizaciones, procedimiento de verificación de pagos, formación. Es donde está el mejor retorno con diferencia.
2. Segundo, las copias de seguridad. Con restauración probada. Es tu seguro de vida frente al ransomware.
3. Tercero, la protección del correo, porque es la puerta de entrada principal.
4. Cuarto, detección y respuesta en los equipos, ya con herramientas que incorporan IA.
5. Quinto, todo lo demás, según tu análisis de riesgos.

Métricas que sí sirven

• Porcentaje de cuentas con doble factor. Objetivo: 100%.
• Días desde la última restauración probada de copia. Objetivo: menos de 90.
• Tiempo medio para aplicar parches críticos. Objetivo: menos de 15 días.
• Tasa de clic en simulaciones de phishing y su evolución.
• Cuentas activas de personas que ya no están. Objetivo: cero.
• Tiempo desde el último simulacro de incidente.

Media docena de indicadores revisados cada trimestre valen más que un cuadro de mando con cincuenta gráficos que nadie mira.

Cómo llevarlo a la dirección

Un error frecuente de los perfiles técnicos es hablar de vulnerabilidades. La dirección entiende otra cosa: días de parada, euros y responsabilidad. Traduce siempre. «Si nos cifran los sistemas, estimamos entre 5 y 10 días sin poder facturar» mueve presupuestos; «tenemos vulnerabilidades críticas sin parchear» no.

Ejercicio 6: tu matriz de riesgos

1. Coge los cinco escenarios de la tabla y puntúa probabilidad e impacto de 1 a 5.
2. Multiplica y ordena de mayor a menor.
3. Para los tres primeros, escribe qué medida concreta reduciría más el riesgo y cuánto costaría.
4. Responde las dos cifras: cuánto tiempo podéis estar parados y cuántos datos podéis perder.
5. Traduce el escenario más alto a días de parada y euros.

Qué deberías tener al acabar: una matriz de cinco filas y un argumento en euros. Con eso ya puedes tener una conversación seria sobre presupuesto, que es lo que suele faltar. En el módulo 2 empezamos a cerrar los huecos por orden.