Checklist de Seguridad Informática para Empresas

Todos los accesos a sistemas críticos (email, VPN, cloud, ERP) requieren un segundo factor de autenticación.

Cada empleado solo tiene acceso a los sistemas y datos estrictamente necesarios para su trabajo. Sin cuentas compartidas.

Se revisan y revocan los accesos de empleados que han cambiado de puesto o han salido de la empresa. Sin cuentas huérfanas.

Contraseñas de mínimo 12 caracteres, sin caducidad forzosa pero con verificación contra bases de datos de contraseñas filtradas (Pwned Passwords).

Uso obligatorio de un gestor de contraseñas (1Password, Bitwarden, Keeper) para todos los empleados. Prohibido reutilizar contraseñas.

Todos los ordenadores y servidores tienen un sistema de detección y respuesta en endpoints (EDR) activo y actualizado.

Todos los portátiles y dispositivos móviles corporativos tienen el disco cifrado (BitLocker, FileVault, LUKS).

Sistemas operativos y aplicaciones críticas se actualizan automáticamente. Los parches de seguridad críticos se despliegan en menos de 72 horas.

Todos los equipos se bloquean automáticamente tras 5 minutos de inactividad y requieren contraseña para desbloquear.

Los empleados solo pueden instalar software desde fuentes aprobadas. Bloqueo de ejecución de archivos no firmados.

Solo los puertos estrictamente necesarios están abiertos. El resto están cerrados por defecto. Las reglas se revisan trimestralmente.

Red de empleados, red de servidores y red de invitados están separadas en VLANs con reglas de acceso explícitas entre ellas.

Todo acceso remoto a la red corporativa requiere VPN con autenticación multifactor. Sin RDP directo desde internet.

Se monitoriza el tráfico de red en busca de patrones anómalos: conexiones a IPs sospechosas, transferencias de datos inusuales, escaneos de puertos internos.

La WiFi usa WPA3 o WPA2-Enterprise (802.1X) con autenticación individual por usuario. La red de invitados está completamente aislada.

3 copias de los datos en 2 medios diferentes con 1 copia offline/immutable fuera de la red corporativa. Los backups se prueban trimestralmente.

Documento escrito y probado que describe cómo restaurar los sistemas críticos en menos de 48 horas tras un incidente grave (ransomware, incendio, fallo de hardware).

Los datos están clasificados por nivel de sensibilidad (público, interno, confidencial, secreto) y cada nivel tiene controles de acceso y cifrado específicos.

Los datos se eliminan cuando ya no son necesarios según la política de retención documentada y aprobada por legal.

Todas las aplicaciones web y APIs expuestas a internet reciben un pentesting profesional al menos una vez al año y tras cada cambio mayor.

El pipeline de integración continua incluye SAST (análisis estático), SCA (análisis de dependencias) y detección de secretos antes de llegar a producción.

Todas las aplicaciones web expuestas a internet están protegidas por un Web Application Firewall (WAF) configurado con reglas actualizadas.

CSP, HSTS, X-Frame-Options, X-Content-Type-Options y Referrer-Policy configuradas correctamente en todas las aplicaciones web.

Todos los empleados reciben formación anual sobre cómo identificar emails de phishing, smishing y vishing. Simulaciones periódicas de phishing.

Documento escrito que detalla quién hace qué, cuándo y cómo ante un ciberataque. Se prueba con un simulacro al menos una vez al año.

Se evalúa la seguridad de los proveedores que acceden a datos o sistemas de la empresa. Contratos incluyen requisitos de seguridad y notificación de brechas.

El alta de un empleado incluye la asignación de accesos según su rol. La baja incluye la revocación inmediata de todos los accesos en menos de 4 horas.

La empresa tiene un registro de actividades de tratamiento, ha realizado una EIPD si es necesaria, y tiene un canal para ejercer los derechos ARCO.

La empresa cumple con las normativas de ciberseguridad aplicables a su sector y tamaño. Dispone de certificaciones si son exigibles.

Una empresa externa independiente audita la seguridad de la organización al menos una vez al año. Los hallazgos se priorizan y se corrigen.