En mi empresa, la estrategia de ciberseguridad y protección de datos debería enfocarse en tres pilares: prevención, detección/respuesta y cumplimiento. En términos generales, normalmente se ve reflejada en prácticas como control de accesos, contraseñas seguras y autenticación, respaldos, segmentación de permisos por roles, políticas de uso de información y capacitación básica al personal. También suele incluir protección de endpoints (antivirus/EDR), firewalls, y medidas para proteger correos contra phishing.

¿Son suficientes esos esfuerzos? Depende del nivel de madurez y de qué tan consistentemente se apliquen. En mi opinión, casi nunca basta con “tener políticas”; lo que marca la diferencia es:

·         Que se cumplan de forma constante,

·         Que haya monitoreo real,

·         Que existan controles medibles (auditorías, evidencias, pruebas).

Qué mantendría (lo que sí funciona)

·         Principio de mínimo privilegio: cada persona accede solo a lo que necesita para su trabajo.

·         Backups y recuperación probados (no solo “tener” backups, sino probar restauración).

·         Capacitación continua contra phishing e ingeniería social.

·         Actualizaciones y parches regulares en equipos y sistemas.

Qué cambiaría o reforzaría

·         MFA obligatorio (autenticación multifactor) en correo, VPN, sistemas críticos y herramientas en la nube.

·         Revisión periódica de accesos (quién tiene permisos, por qué y desde cuándo).

·         Clasificación de datos (público, interno, confidencial, sensible) y reglas claras por nivel.

·         Seguridad por diseño: que cualquier proyecto nuevo (apps, analítica, IA) incluya protección desde el inicio y no al final.

Qué incluiría (para subir el nivel)

·         Plan de respuesta a incidentes con roles, pasos y simulacros (tabletop exercises).

·         Monitoreo centralizado (SIEM/logs) para detectar actividad anómala y responder rápido.

·         Cifrado de datos en tránsito y en reposo, especialmente si hay datos de clientes.

·         Evaluación de proveedores/terceros (muchas fugas vienen por terceros).

·         Pruebas de seguridad: escaneos de vulnerabilidades y pentesting en sistemas críticos.

·         Privacidad y cumplimiento: retención de datos mínima necesaria, anonimización cuando aplique y transparencia sobre el uso de datos del consumidor.