Recurso gratuito
La lista de verificación de preparación de TI para pymes
22 preguntas que toda pequeña empresa de Pittsburgh y Cleveland debería poder responder sobre su tecnología. Cada una tiene una respuesta Verde, Amarilla y Roja, y un siguiente paso. Calcule unos 20 minutos.
La lista de verificación completa está en esta página, y la hoja de puntuación imprimible tiene las mismas preguntas con casillas para marcar.
Unos 20 minpara completarla
22 preguntasen 6 áreas
Con puntuaciónpara saber qué corregir primero
Plataformas incluidas
Cómo funciona la rúbrica
Haga clic en la respuesta que corresponda a su negocio hoy. Su puntuación acumulada aparece en la sección Califíquese.
Verde: está en buen estadoAmarillo: conviene corregirlo prontoRojo: atiéndalo primero
1. Identidad y acceso
Una contraseña robada le abre a un atacante la puerta directa a su correo y sus archivos. Estas cuatro preguntas van primero porque las soluciones son baratas.
P1.¿Se exige la autenticación multifactor a todos los usuarios en todas las aplicaciones empresariales?
VerdeMFA obligatoria en Microsoft 365 / Google, VPN, acceso remoto, banca, aplicaciones del negocio y todas las cuentas de administrador. De preferencia resistente al phishing (passkeys, FIDO2 o coincidencia de números).
AmarilloMFA en el correo pero no en otras aplicaciones; o MFA solo por SMS (vulnerable al phishing).
RojoMFA opcional o desactivada.
Siguiente paso: Microsoft y Google incluyen MFA sin costo adicional. Actívela en todas partes en los próximos 30 días.
P2.¿Los empleados usan un administrador de contraseñas y la reutilización de contraseñas es nula?
VerdeAdministrador de contraseñas pagado por la empresa (1Password, Bitwarden, Keeper, Dashlane) con una bóveda compartida, y todos lo usan.
AmarilloAlgunas personas usan un administrador, otras reutilizan contraseñas o las guardan en una hoja de cálculo.
RojoSin administrador, y es común una contraseña de temporada como Verano2024.
Siguiente paso: Pague un plan empresarial. Los planes gratuitos y personales carecen de recuperación, uso compartido por roles y registros de auditoría. Presupueste de $4 a $8 por usuario al mes.
P3.¿Existe un proceso formal de baja que revoque los accesos en un día hábil?
VerdeUna lista de verificación que deshabilita inicios de sesión, revoca tokens, reenvía el correo, rota los secretos compartidos y recupera los dispositivos, siempre el mismo día.
AmarilloSe desactivan el correo y Microsoft 365, pero siguen activos SaaS compartidos, VPN o tokens antiguos.
RojoEs posible que exempleados sigan teniendo acceso.
Siguiente paso: Elabore esta semana una lista de verificación de baja de una página. Debe incluir cada aplicación en la que su equipo haya dado de alta a alguien.
P4.¿Las cuentas de administrador siguen el principio de mínimo privilegio y evitan ser la misma cuenta con la que una persona lee el correo?
VerdeCuentas de administrador separadas para el dominio, Microsoft 365, el firewall, etc. El correo y la navegación diarios usan una cuenta sin privilegios. Se usa PIM o acceso justo a tiempo donde es posible.
AmarilloDemasiadas personas son administradores globales, o una sola cuenta de administrador se usa para todo.
RojoTodos son administradores en su propia máquina, y el propietario usa el administrador global para leer el correo.
Siguiente paso: En Microsoft 365, abra Usuarios activos, luego Roles de administrador, y reduzca a un puñado de administradores globales. Cree cuentas de administrador dedicadas que no hagan nada más.
2. Respaldos y recuperación
Estas cinco preguntas muestran qué tan rápido volvería a trabajar si mañana por la mañana desapareciera un servidor, una laptop o sus datos de SaaS. Cuente un respaldo solo después de haber restaurado desde él.
P5.¿Respalda sus datos de SaaS (Microsoft 365, Google Workspace, QuickBooks Online)?
VerdeUn respaldo de terceros (Datto SaaS Protection, Afi, Dropsuite, Spanning) cubre todo el SaaS, con una política de retención que usted revisó.
AmarilloSupone que Microsoft o Google son su respaldo. Su retención integrada es limitada y no lo protege de un borrado deliberado.
RojoSin respaldo de SaaS de ningún tipo.
Siguiente paso: Elija cualquier respaldo de SaaS de buena reputación y actívelo esta semana. El precio suele ser de $3 a $6 por usuario al mes.
P6.¿Sus respaldos se guardan en al menos una ubicación a la que no pueda acceder con su inicio de sesión habitual?
VerdeSigue la regla 3-2-1: tres copias, dos tipos de medio, una externa o inmutable (S3 Object Lock, Wasabi Immutability, Datto).
AmarilloTiene respaldos externos, pero se puede acceder a ellos con las mismas credenciales de administrador que en producción.
RojoLos respaldos están en el mismo servidor, NAS o dominio que los datos que protegen.
Siguiente paso: Agregue un destino inmutable o aislado de la red. Un atacante que obtenga su inicio de sesión de administrador puede borrar cualquier respaldo al que ese inicio de sesión llegue.
P7.¿Cuándo fue su última prueba de restauración exitosa, no solo el último respaldo?
VerdeEn los últimos 90 días se restauró un archivo o una máquina virtual real para comprobar que el respaldo funciona.
AmarilloLos respaldos se ejecutan cada noche, pero nadie ha restaurado desde ellos en el último año.
RojoNo está seguro de cuándo, ni de si alguna vez, se han probado los respaldos.
Siguiente paso: Programe una prueba de restauración trimestral de un archivo crítico, una máquina completa y un conjunto de datos en la nube. Póngala en el calendario como tarea recurrente.
P8.¿Conoce su RTO (cuánto tiempo puede estar fuera de servicio) y su RPO (cuántos datos puede permitirse perder)?
VerdeCada sistema crítico tiene un RTO y un RPO por escrito, acordados con el dueño del negocio, y los respaldos están dimensionados para cumplir ambos.
AmarilloTiene una idea, pero nada escrito ni verificado.
RojoNunca se ha hablado. En una interrupción improvisaría.
Siguiente paso: Pregunte a cada jefe de área: si esto desapareciera a las 9 a. m., ¿cuál es lo más tarde que necesitaría tenerlo de vuelta? Las respuestas son su RTO. Luego verifique que sus respaldos se ejecuten con la frecuencia suficiente para cumplir cada RPO.
P9.Si su ubicación principal perdiera la energía y el internet durante 48 horas, ¿seguiría funcionando el negocio?
VerdePersonal capaz de trabajar de forma remota, sistema telefónico en la nube y pasos de conmutación por falla documentados.
AmarilloParte del personal podría trabajar de forma remota, pero los sistemas centrales (unidades compartidas, aplicación del negocio, teléfonos) quedarían fuera de línea.
RojoDejaría de operar hasta que volviera el sitio.
Siguiente paso: Redacte un plan de continuidad de una página: quién llama a quién, qué escuchan los clientes por teléfono y desde dónde trabaja el personal.
3. Seguridad de endpoints y correo
Cinco preguntas sobre los dispositivos que usa su equipo y el correo que les llega.
P10.¿Cada laptop, computadora de escritorio y servidor ejecuta algo más que el antivirus integrado?
VerdeEDR administrado (SentinelOne, CrowdStrike, Huntress o Defender for Business con una persona revisando las alertas) en el 100 % de los endpoints.
AmarilloDefender u otro antivirus está activo, pero nadie revisa las alertas.
RojoSolo el antivirus integrado, o algunas máquinas no tienen nada.
Siguiente paso: Haga un inventario de todos los endpoints y confirme que tengan un EDR moderno y una persona atendiendo las alertas. Revise los servidores y la laptop del propietario, que es fácil pasar por alto.
P11.¿Los sistemas operativos y las aplicaciones de terceros se actualizan dentro de un plazo definido?
VerdeUna herramienta de administración de parches con una política: parches críticos en 7 días, los demás en 30, y un informe mensual de cumplimiento.
AmarilloEl sistema operativo se actualiza automáticamente, pero las aplicaciones de terceros (Adobe, Java, navegadores) se desfasan.
RojoLos parches se aplican cuando alguien se da cuenta.
Siguiente paso: Elija una herramienta de administración de parches (NinjaOne, PDQ, Intune, Action1) y establezca una política. Incluya los navegadores y otras aplicaciones de terceros junto con el sistema operativo.
P12.¿El correo entrante pasa por un filtro que detecta phishing y suplantación de identidad, además del filtro nativo del proveedor?
VerdeMimecast, Proofpoint, Avanan, IRONSCALES o similar, con la protección contra suplantación activada.
AmarilloSolo el filtro predeterminado de Microsoft 365 o Gmail, y algunos phishing evidentes aún llegan a las bandejas de entrada.
RojoSin filtrado avanzado de correo; los correos que suplantan al director general logran pasar.
Siguiente paso: Active las políticas antiphishing avanzadas que su licencia ya incluye (Microsoft 365 Business Premium y superiores), o agregue una puerta de enlace de correo seguro dedicada. Presupueste de $3 a $5 por usuario al mes.
P13.¿Tiene configurados SPF, DKIM y DMARC en su dominio de envío?
VerdeLos tres configurados. DMARC está en p=reject o p=quarantine, y usted monitorea los informes agregados.
AmarilloSPF y DKIM están configurados, pero DMARC está en p=none (solo reportes).
RojoNinguno de los tres configurado, o SPF tiene el clásico error de +all o ?all.
Siguiente paso: Revise su dominio en mxtoolbox.com. Sin una política DMARC aplicada, otras personas pueden enviar correo que parece venir de su dominio.
P14.¿Todas las laptops tienen cifrado de disco completo?
VerdeBitLocker (Windows) o FileVault (Mac) habilitado en el 100 % de las laptops, con las claves de recuperación en custodia en Entra ID, Intune o Jamf.
AmarilloHabilitado en la mayoría de las laptops, pero sin una bóveda central de claves de recuperación.
RojoNo habilitado, o se desconoce.
Siguiente paso: Cualquiera que encuentre una laptop sin cifrar puede leer sus archivos. BitLocker y FileVault vienen integrados en Windows y macOS, y una sola política los activa.
4. Red y acceso remoto
Esta sección abarca el firewall, cómo se divide la red y cómo se conecta el personal desde fuera de la oficina.
P15.¿Su firewall es moderno, cuenta con soporte y se revisa al menos una vez al año?
VerdeUn firewall de generación actual (Fortinet, Palo Alto, SonicWall, Meraki, OPNsense) con licencia vigente, prevención de intrusiones activada y reglas revisadas cada año.
AmarilloHay un firewall, pero la licencia venció y las reglas no se han revisado.
RojoRouter de consumo, firewall al final de su vida útil, o reglas predeterminadas que nunca se configuraron.
Siguiente paso: Un firewall que llegó al final de su vida útil ya no recibe actualizaciones de seguridad. Confirme que el modelo siga con soporte y renueve las licencias.
P16.¿Los dispositivos de invitados, el IoT (cámaras, termostatos, impresoras) y las laptops de los empleados están en redes separadas?
VerdeSegmentado: una VLAN de producción, una VLAN de IoT y una red de invitados con aislamiento de clientes. Las impresoras están en su propia VLAN.
AmarilloExiste una red de invitados, pero los dispositivos IoT comparten la red principal.
RojoTodo en una sola red plana.
Siguiente paso: En una red plana, un termostato comprometido puede llegar a su servidor de archivos. Con puntos de acceso actuales y un conmutador administrable, segmentar una oficina pequeña lleva más o menos una tarde.
P17.¿Cómo se conectan los empleados al trabajo de forma remota y es seguro ese método?
VerdeInicio de sesión único más acceso de confianza cero (Cloudflare Access, Tailscale, Twingate) o una VPN moderna con MFA. Sin RDP abierto a internet.
AmarilloVPN heredada solo con usuario y contraseña.
RojoRDP o una herramienta remota expuestos a internet con credenciales compartidas.
Siguiente paso: Cierre hoy mismo cualquier puerto RDP abierto a internet y ponga el acceso remoto detrás de una VPN o una herramienta de confianza cero con MFA.
5. Respuesta a incidentes e inventario de equipos
Estas tres preguntas abarcan lo que hace en la primera media hora de un incidente, si el personal sabe detectar un phishing y si sabe qué equipos posee.
P18.¿Existe un plan de respuesta a incidentes por escrito que quepa en una sola página?
VerdeSí: contactos, un árbol de decisiones, quién llama a la aseguradora de ciberseguridad, quién habla con los clientes y dónde se guarda el plan. Se revisa cada año.
AmarilloExiste un plan, pero nadie lo ha leído en dos años.
RojoSin plan.
Siguiente paso: Redacte el plan en una sola página con los elementos enumerados en Verde, conserve una copia impresa y revíselo una vez al año.
P19.¿Los empleados han recibido capacitación de concientización sobre phishing en los últimos 12 meses?
VerdeSí, con una plataforma de buena reputación (KnowBe4, Hoxhunt, Wizer, Curricula), y la tasa de clics fallidos va a la baja.
AmarilloUna capacitación única al ingresar, y nada desde entonces.
RojoSin capacitación.
Siguiente paso: La capacitación no tiene que ser un curso de todo un día. Use videos mensuales de cinco minutos con una simulación de phishing calificada.
P20.¿Tiene un inventario de equipos completo y actualizado (quién tiene qué laptop, qué servidores existen, qué hay en la nube)?
VerdeUn inventario que se mantiene solo desde una herramienta RMM o MDM (Intune, NinjaOne, Jamf), actualizado en tiempo real.
AmarilloUna hoja de cálculo que alguien actualiza una vez al año.
RojoSe entera de qué equipos tiene mirando a su alrededor.
Siguiente paso: Elija una herramienta RMM o MDM y deje que ella arme el inventario por usted.
6. Proveedores y documentación
Dos preguntas: las empresas que guardan sus datos y el conocimiento que vive en la cabeza de una sola persona.
P21.Si un proveedor clave (plataforma de contabilidad, herramienta para compartir archivos, CRM) sufriera una brecha este fin de semana, ¿sabría qué datos suyos tiene?
VerdeTiene una lista corta de sus principales proveedores, qué datos guarda cada uno y una copia de su informe de seguridad más reciente.
AmarilloConfía en sus proveedores, pero nunca les ha preguntado nada por escrito.
RojoNo tiene una lista. Ocurre una brecha en un proveedor y usted se entera por las noticias.
Siguiente paso: Elija a sus tres proveedores con los datos más sensibles y pida a cada uno su informe de seguridad más reciente. Si un proveedor no puede presentarlo, anótelo como un riesgo.
P22.Si la única persona que sabe cómo funciona toda la TI faltara mañana, ¿podría alguien más resolverlo?
VerdeLo importante (dónde están los sistemas, cómo entrar, a quién llamar) está escrito en algún lugar que un compañero puede encontrar, y se actualiza cuando algo cambia.
AmarilloUn ingeniero o el propietario es el punto único de falla para saber cómo funciona todo.
RojoUna sola persona lo sabe y nada está escrito.
Siguiente paso: Reserve una hora al mes para escribir lo que solo una persona sabe sobre la TI.
Califíquese
Sus respuestas Verde, Amarilla y Roja de las 22 preguntas se cuentan aquí a medida que hace clic.
Ha respondido 0 de 22. Haga clic en la respuesta que le corresponda en cada pregunta anterior.
0Verde
0Amarillo
0Rojo
0/22Respondidas
18 o más Verdes: está en buena forma. Manténgase así con pruebas de restauración trimestrales, actualizaciones mensuales y una revisión anual de políticas.
De 11 a 17 Verdes: lo básico está casi completo. Elija sus tres Amarillos más serios y ciérrelos en 90 días.
Menos de 11 Verdes, o algún Rojo en P1, P5, P6, P10 o P14: corrija primero cualquier Rojo en esas cinco preguntas, luego el resto de sus Rojos y después los Amarillos.
Obtenga una segunda opinión
KawaConnect ofrece una llamada gratuita de preparación de TI a pequeñas empresas del oeste de Pensilvania y el noreste de Ohio. Repase con nosotros sus respuestas y le diremos qué corregiríamos primero y más o menos cuánto cuesta. Para ayuda continua, consulte nuestro servicio de TI administrada.
Reservar una llamada de preparación gratuitaDescargar la hoja de puntuación0 / 22 respondidasVer mi puntuación
