La lista de verificación de TI gestionada para pequeñas empresas de Miami

La mayoría de las pequeñas empresas no necesita un departamento de TI corporativo. Necesita que lo fundamental se haga de forma constante, quede documentado y se pruebe. En el sur de Florida, esa lista tiene un elemento adicional en el que gran parte del país no piensa: la temporada de huracanes.

Use esta lista para evaluar en qué situación está su empresa. Si no puede marcar un punto con seguridad, ahí es donde conviene empezar.

1. Respaldos que siguen la regla 3-2-1

La regla 3-2-1 es sencilla:

• 3 copias de sus datos
• en 2 tipos distintos de medios o sistemas
• con 1 copia fuera de la oficina

En la práctica, eso puede ser su servidor de producción, un equipo de respaldo local o NAS, y una copia cifrada en la nube o en una segunda ubicación fuera de la región.

Lista de verificación:

• Todos los sistemas críticos tienen respaldo, incluidos los buzones y archivos de Microsoft 365 o Google Workspace
• Al menos una copia es inmutable o está desconectada, para que un ransomware no pueda cifrarla
• Las restauraciones se prueban de forma periódica, no se asume que funcionan
• Alguien recibe y revisa las alertas de fallas de respaldo

Un respaldo que nunca se ha restaurado es una esperanza, no un plan.

2. Preparación para la temporada de huracanes

De junio a noviembre, las empresas de Miami-Dade deben asumir que la electricidad, el internet o el acceso físico a la oficina podrían no estar disponibles durante varios días.

• Equipos UPS en servidores, firewalls y switches de red, con baterías reemplazadas según lo programado
• Servidores configurados para apagarse de forma ordenada cuando la batería del UPS esté baja
• Respaldos externos almacenados fuera del sur de Florida, no solo al otro lado de la ciudad
• Sistemas clave accesibles de forma remota: correo en la nube, VPN o acceso de confianza cero, telefonía en la nube
• Equipos elevados del piso en zonas propensas a inundaciones
• Un plan escrito que indique quién apaga qué y cuándo antes de una tormenta
• Una lista de contactos del personal, proveedores y su proveedor de internet que no esté guardada solo en el servidor de la oficina

Después de la tormenta, la electricidad suele volver con picos y caídas de tensión. Encienda los equipos de forma gradual y verifique que los respaldos se hayan ejecutado antes de retomar las operaciones normales.

3. Autenticación multifactor en todas partes

Las contraseñas robadas siguen siendo una de las vías de entrada más comunes para los atacantes. La autenticación multifactor (MFA) bloquea la gran mayoría de esos intentos.

• MFA en el correo y en las cuentas de productividad en la nube de cada usuario
• MFA en el acceso remoto, la VPN y las cuentas de administrador
• MFA en las cuentas bancarias, de nómina y del registrador de dominios
• Preferencia por aplicaciones de autenticación o llaves físicas en lugar de códigos por SMS cuando sea posible

4. Parches y actualizaciones

• Los sistemas operativos se actualizan automáticamente o según un calendario gestionado
• Las aplicaciones de terceros (navegadores, lectores de PDF, software contable) también se actualizan
• El firmware de firewalls, switches y equipos Wi-Fi se revisa al menos cada trimestre
• Los equipos con sistemas operativos sin soporte están identificados y se reemplazan

5. Gestión de equipos

• Un inventario actualizado de laptops, computadoras de escritorio, teléfonos y quién los tiene
• Cifrado completo del disco en todas las laptops
• Protección de endpoints (EDR) instalada y monitoreada, no solo instalada
• La capacidad de bloquear o borrar de forma remota un equipo perdido
• Un proceso de salida claro: cuentas deshabilitadas y equipos recuperados el mismo día en que un empleado se retira

6. Proveedores y cuentas documentados

Cuando algo falla, el peor momento para buscar una contraseña es durante la interrupción.

• Una lista de todos los proveedores de TI: internet, telefonía, software, hosting del sitio web, registrador de dominios
• Números de cuenta, contactos de soporte y fechas de renovación
• Credenciales administrativas guardadas en un gestor de contraseñas empresarial, no en una hoja de cálculo ni en la memoria de una sola persona
• Dominios registrados a nombre de la empresa, con renovación automática activada

7. Ciberseguridad básica

• Un firewall de nivel empresarial con firmware y suscripciones vigentes
• Redes Wi-Fi separadas para el personal y los visitantes
• Filtrado de correo, además de SPF, DKIM y DMARC configurados para su dominio
• Capacitación breve y práctica en seguridad para el personal, incluido cómo reconocer el phishing
• Un plan sencillo de respuesta a incidentes: a quién llamar y qué hacer primero
• Acceso con privilegios mínimos, para que cada usuario tenga solo los permisos que su trabajo requiere

Cómo usar esta lista

No intente resolver todo en una semana. Comience con los respaldos y la autenticación multifactor, ya que atienden los problemas más comunes y costosos. Luego trabaje en la preparación para huracanes antes de junio y programe el resto durante los meses siguientes. Lo importante es que cada punto esté hecho, documentado y se revise periódicamente.

Una segunda opinión

Si al revisar esta lista encontró más casillas vacías que marcadas, no es el único, y tiene solución. Agende una evaluación de TI gratuita y revisaremos su entorno con base en esta lista para entregarle un plan claro y priorizado. Atendemos empresas en todo Miami-Dade y el sur de Florida, con soporte remoto en todo Estados Unidos.