Octubre, mes de la ciberseguridad: 8 controles que toda pyme debería tener antes de fin de año

Octubre es el Mes de la Concienciación sobre la Ciberseguridad, y en República Dominicana se nota. El Banco Popular lanzó una campaña con un concepto fácil de recordar, «2FA: Doble Factor de Atención»: antes de cualquier acción digital importante, tomarse unos segundos extra para verificar que la solicitud o la transacción es legítima. Y del 14 al 16 de octubre, en el marco del ITLA Security Fest 2026, se juega la final del CTF Interuniversitario, con más de 500 estudiantes inscritos.

Es una buena noticia que el tema esté en la conversación. Pero los ataques que más daño hacen a una pyme rara vez son sofisticados: una contraseña reutilizada, un correo que pide cambiar la cuenta de un proveedor, una computadora sin actualizar. Por eso, esta es la lista mínima que recomendamos tener resuelta antes de diciembre.

Los 8 controles

1. Doble factor en todo lo que lo permita. Correo, banca en línea, redes sociales, hosting y dominio. Si alguien consigue tu contraseña, el segundo factor es lo que lo detiene.

2. Una contraseña distinta para cada servicio. Con un gestor de contraseñas para todo el equipo. Reutilizar contraseñas es la forma más común en que una filtración en otro sitio termina en tu cuenta.

3. Respaldos que se puedan restaurar. La regla 3-2-1: tres copias, en dos medios distintos, una fuera de la oficina. Y prueba a restaurar al menos una vez: un respaldo que nunca se probó no es un respaldo.

4. Actualizaciones automáticas. Sistema operativo, navegador, plugins del sitio web y el software del punto de venta. Buena parte de los ataques aprovechan fallas que ya tenían solución.

5. Verifica antes de pagar. Si un proveedor «cambia de cuenta bancaria» por correo o WhatsApp, confirma por teléfono a un número que ya tenías. Es exactamente el doble factor de atención aplicado a tu negocio.

6. Accesos mínimos y bajas el mismo día. Cada persona con acceso solo a lo que necesita. Cuando alguien sale del equipo, se le quitan los accesos ese día, no la semana siguiente.

7. Wi-Fi separado y cuidado con el público. Una red para el negocio y otra para visitas. Y nada de transacciones bancarias desde redes Wi-Fi públicas.

8. Un plan para el día malo. Una página con a quién llamar, dónde están los respaldos y cómo avisar a clientes. El Centro Nacional de Ciberseguridad (CNCS) publica una guía para identificar y reportar incidentes que sirve como punto de partida.

Además: los datos de tus clientes

Si guardas datos personales de clientes —nombres, cédulas, teléfonos, historiales— la Ley 172-13 sobre protección de datos establece que deben protegerse con medidas técnicas y organizativas que eviten accesos no autorizados. La seguridad no es solo un tema técnico: también es una obligación.

Y con la facturación electrónica, más todavía

Con la facturación electrónica obligatoria, más operaciones de tu negocio dependen de credenciales digitales, certificados y sistemas conectados. Vale la pena incluir esos accesos en los puntos 1, 2 y 6.

Si quieres ayuda

En Hekonix revisamos la seguridad de sitios web, servidores y sistemas internos, configuramos respaldos y monitoreo, y lo dejamos documentado para tu equipo. Escríbenos y empezamos por un diagnóstico.