Ejemplo de Plan Director de Seguridad para una PYME: de los riesgos a las prioridades

Una gestoría tiene antivirus, copias de seguridad y un proveedor informático. Sin embargo, sus socios no saben si podrían recuperar los expedientes antes de un vencimiento, qué accesos conservan antiguos colaboradores o quién debe comprobar una petición de cambio de cuenta bancaria.

Este ejemplo de Plan Director de Seguridad muestra cómo convertir esas dudas en decisiones: qué revisar, qué mejorar primero, quién debe impulsar cada medida y cómo comprobar que se ha completado.

El caso es ficticio. Las situaciones, prioridades y fases se han creado para explicar el proceso; no describen un cliente de LockSphere ni sustituyen el análisis de una empresa concreta.

Qué vas a encontrar en este ejemplo de Plan Director de Seguridad

Un Plan Director de Seguridad, o PDS, organiza las mejoras de seguridad a partir de la situación y las necesidades del negocio. La documentación de INCIBE sobre el PDS recoge el análisis inicial, la definición y priorización de proyectos, su aprobación y la puesta en marcha.

Si buscas una explicación de su alcance, puedes consultar qué es un Plan Director de Seguridad y cuándo tiene sentido para una PYME. Aquí veremos cómo podría tomar forma en una gestoría: del problema detectado a la medida, el responsable y la evidencia que permite darla por terminada.

El punto de partida: una gestoría de 20 personas

Imaginemos una gestoría con dos socios y una plantilla de 20 personas. Trabaja con documentación fiscal, laboral y contable de sus clientes. Utiliza correo corporativo, una aplicación de gestión y carpetas compartidas; algunos colaboradores necesitan acceso a determinados expedientes.

El mantenimiento de equipos y la administración del correo están contratados a un proveedor IT. La aplicación de gestión depende de otro proveedor. Existen copias de seguridad, pero dirección desconoce qué información cubren y cuándo se probó su recuperación.

La preocupación de los socios es concreta: poder seguir atendiendo a los clientes y cumplir sus plazos si una cuenta, un equipo o una aplicación deja de estar disponible.

Para este ejemplo, el alcance inicial incluye correo, expedientes, accesos, recuperación de información y coordinación con esos proveedores. Se acuerda quién aporta la información y quién puede autorizar cambios. Si durante la revisión aparece una dependencia importante fuera de ese alcance, habrá que decidir cómo incorporarla.

1. Comprobar la situación antes de proponer medidas

La revisión empieza con preguntas que se puedan contrastar con documentos, configuraciones o comprobaciones acordadas. «Tenemos copias» aporta menos información que conocer qué se copia, con qué frecuencia y qué se ha podido recuperar.

En nuestra gestoría ficticia se obtiene esta información:

• Correo: la autenticación multifactor está activada para parte del equipo, pero quedan cuentas pendientes y no está claro cómo recuperar el acceso si se pierde el segundo factor.
• Expedientes: algunos colaboradores conservan permisos sobre carpetas que ya no necesitan.
• Copias: se revisan avisos de ejecución correcta, pero no hay constancia de una prueba reciente de recuperación de los expedientes seleccionados.
• Pagos: los cambios de cuenta bancaria se tramitan por correo y cada persona los verifica a su manera.
• Incidencias: los contactos del proveedor están guardados en el propio correo; no existe una alternativa acordada si ese servicio falla.

Estas observaciones tienen distinto significado. Un permiso innecesario es una exposición identificada. La falta de una prueba de recuperación deja una incertidumbre que hay que resolver: todavía no demuestra que las copias sean inutilizables.

El diagnóstico debe conservar esa diferencia para que dirección decida con información precisa.

2. Relacionar cada problema con una consecuencia para el negocio

El siguiente paso es explicar qué podría ocurrir y qué medidas existen para evitarlo o limitar sus consecuencias.

Por ejemplo, el acceso indebido a una cuenta de correo podría permitir consultar documentación o enviar mensajes en nombre de la gestoría. La indisponibilidad de los expedientes podría interrumpir el trabajo cerca de un vencimiento. Una instrucción de pago falsa podría provocar una transferencia a una cuenta fraudulenta.

Para priorizar, se valora la gravedad de esas consecuencias, la exposición, las medidas existentes y las incertidumbres pendientes. También cuentan el esfuerzo de la mejora, sus dependencias y la capacidad para ejecutarla.

En este caso se decide empezar por aclarar la recuperación de información y cerrar exposiciones conocidas en correo y permisos. La verificación de pagos y los contactos alternativos se trabajan en paralelo, porque requieren sobre todo acuerdos internos y pueden comenzar mientras se preparan los cambios técnicos.

Ese orden responde a los supuestos del ejemplo. Si se detectase una cuenta comprometida o un incidente activo, habría que atenderlo de inmediato y adaptar el plan.

3. Convertir el diagnóstico en un plan de acción

Una recomendación como «mejorar los accesos» necesita concretarse. ¿Qué cuentas abarca? ¿Quién confirma los permisos necesarios? ¿Quién aplica los cambios? ¿Qué se comprobará después?

Esta tabla resume las primeras iniciativas del ejemplo de PDS. El responsable impulsa la acción y responde de su avance; puede necesitar a otras personas para ejecutarla.

La tabla muestra las primeras actuaciones. Un plan director de ciberseguridad puede incluir otras iniciativas según su alcance: cambios de herramientas, revisión de proveedores, procedimientos o preparación de evidencias para requisitos de clientes.

Antes de aprobar cada iniciativa también deben quedar claros los recursos necesarios. Una acción puede requerir tiempo interno, presupuesto, licencias, una intervención del proveedor o una ventana de mantenimiento. Cuando falte una estimación, se registra quién debe obtenerla antes de comprometer su ejecución.

4. Organizar una hoja de ruta que se pueda ejecutar

La lista de medidas se convierte en una hoja de ruta cuando se ordenan las dependencias y se reserva capacidad para llevarlas a cabo.

En esta gestoría se proponen tres fases. Las fechas concretas se acordarían con dirección y proveedores después de estimar el trabajo.

Primera fase: resolver las incertidumbres y exposiciones prioritarias

Se confirma qué información cubren las copias, se prepara la prueba de recuperación y se revisan las cuentas y permisos pendientes. Administración acuerda cómo verificar cambios bancarios y dirección confirma los contactos alternativos.

Hay dependencias que condicionan el orden: para retirar permisos, alguien debe confirmar qué colaboradores siguen trabajando en cada expediente. Para completar el MFA, hace falta preparar los métodos de acceso y recuperación de las personas afectadas.

Segunda fase: convertir las correcciones en procedimientos

Una vez revisados los accesos actuales, se acuerda cómo comunicar futuras incorporaciones, cambios de función y salidas. Se identifica quién autoriza, quién ejecuta y quién comprueba que se han cubierto las aplicaciones incluidas.

También se practica con el equipo cómo compartir documentación y verificar peticiones. La formación en ciberseguridad para empleados debe enseñar los procedimientos y las herramientas que la gestoría ha decidido utilizar.

Tercera fase: verificar resultados y decidir los siguientes cambios

Se revisan las evidencias, las acciones pendientes y las limitaciones detectadas. Si la recuperación tarda más de lo que el negocio puede asumir, dirección tendrá que valorar alternativas con el proveedor. Si aparecen aplicaciones fuera del circuito de bajas, habrá que ampliar el procedimiento.

Cada fase deja decisiones para continuar. Los cambios de mayor esfuerzo se presupuestan y planifican con ese contexto.

5. Definir cuándo una mejora está realmente terminada

En el ejemplo de las copias, recibir un mensaje de «prueba realizada» sería insuficiente. Dirección necesita conocer qué se recuperó, si pudo utilizarse, cuánto tardó y qué problemas quedaron abiertos.

Una prueba satisfactoria de una carpeta tampoco demuestra que toda la empresa pueda recuperarse. Su resultado vale para la información, el entorno y las condiciones que se hayan probado.

Con los accesos sucede algo parecido: enviar una solicitud de baja inicia el trabajo. Para cerrarlo hay que comprobar su ejecución en los sistemas incluidos y registrar cualquier excepción pendiente.

Una revisión breve puede recoger cuatro datos: estado, responsable, evidencia y siguiente decisión. Si una medida se aplaza, conviene dejar el motivo, las protecciones temporales que correspondan y el momento o la condición para revisarla.

Cuando esa coordinación requiere continuidad, la guía sobre CISO virtual para PYMEs y soporte IT explica cómo repartir las funciones de dirección, seguimiento y ejecución técnica.

Qué documento recibiría dirección en este ejemplo

Los socios deberían poder consultar un resumen de la situación, los riesgos prioritarios, las iniciativas aprobadas y la hoja de ruta. El detalle debe permitir entender el alcance de las comprobaciones y las incertidumbres que siguen abiertas.

Para cada iniciativa, tendrían que poder responder:

• ¿Qué problema queremos resolver y por qué merece atención?
• ¿Quién debe impulsarlo y quién ejecutará el trabajo?
• ¿Qué recursos y decisiones hacen falta?
• ¿De qué otras acciones depende?
• ¿Cómo comprobaremos el resultado y qué quedará pendiente?

Si la gestoría necesita prepararse para una certificación, el diagnóstico y la priorización pueden contribuir a identificar carencias y organizar mejoras dentro del alcance acordado. Ese objetivo requiere revisar sus requisitos específicos; el ejemplo no acredita conformidad ni representa una preparación completa.

Cómo utilizar este ejemplo en tu empresa

Puedes utilizar la tabla como estructura de conversación con dirección y vuestro proveedor IT. Empieza por un proceso importante: la atención a clientes, la preparación de nóminas o el acceso a expedientes. Identifica de qué información y servicios depende y qué conocéis realmente sobre su protección y recuperación.

Después concreta una medida con responsable, recursos y criterio de cierre. Si faltan datos, la primera acción puede consistir en obtenerlos. Copiar las prioridades de otra organización sin comprobar esas dependencias podría llevar a invertir esfuerzo en el lugar equivocado.

El resultado que buscamos en esta gestoría ficticia es que los socios sepan qué decisiones tomar y que el equipo y los proveedores puedan ejecutar el trabajo acordado.

Un siguiente paso para ordenar las prioridades

En LockSphere, el Plan Director de Seguridad para PYMEs combina el diagnóstico dentro del alcance acordado con la identificación de riesgos, la priorización de medidas y una hoja de ruta. El proyecto termina con un informe y una sesión para explicar las decisiones y los primeros pasos. La implantación técnica se acuerda por separado con quienes deban ejecutarla.