Checklist de ciberseguridad para PyMEs en México 2026

Las PyMEs en México no son un blanco menor: son el segmento que más rápido crece en incidentes porque combinan datos valiosos con presupuestos ajustados y equipos pequeños. La buena noticia es que no necesitas un SOC de 24/7 para levantar una base sólida. Necesitas orden, prioridades y hábitos repetibles.

Este checklist está pensado para empresas de 10 a 200 personas que operan con ERP, CRM, correo corporativo, nómina y algún sistema propio o SaaS crítico. No es teoría: es lo que revisamos cuando una PyME nos pide un diagnóstico antes de escalar operaciones o cumplir con clientes enterprise.

1. Inventario de lo que está expuesto

Antes de comprar herramientas, responde: ¿qué sistemas son alcanzables desde internet? Incluye sitio web, portal de clientes, VPN, acceso RDP, APIs, correo y cualquier panel de administración. Si no tienes el mapa, no puedes priorizar.

• Lista de dominios, subdominios y IPs públicas.
• Usuarios con acceso remoto y desde qué dispositivos entran.
• Integraciones con terceros (pagos, facturación, logística).
• Datos sensibles por sistema: clientes, nómina, contratos, credenciales.

2. Identidad y accesos (IAM básico)

El error más común en PyMEs mexicanas: cuentas compartidas, ex empleados con acceso activo y permisos de administrador para casi todos. Corregir esto reduce riesgo de forma desproporcionada respecto al esfuerzo.

• Autenticación multifactor (MFA) en correo, VPN y paneles críticos.
• Un usuario = una persona; prohibir credenciales compartidas.
• Revisión trimestral de altas, bajas y permisos excesivos.
• Principio de mínimo privilegio: admin solo quien lo necesite para operar.

3. Parches y configuración segura

Muchas brechas en PyMEs no son ataques sofisticados: son equipos sin parchear, firewalls con reglas por defecto o servicios expuestos que nadie recuerda haber abierto. Establece una ventana mensual de actualización y un responsable claro.

1. Inventariar servidores, laptops y dispositivos de red.
2. Activar actualizaciones automáticas donde sea seguro hacerlo.
3. Cerrar puertos innecesarios y deshabilitar servicios no usados.
4. Documentar excepciones (legacy) con fecha de revisión.

4. Respaldos que de verdad se pueden restaurar

Tener backup no es lo mismo que poder recuperarse. Prueba restauraciones al menos trimestralmente. Para ransomware, necesitas copias aisladas o inmutables y un procedimiento que no dependa de la misma red comprometida.

El respaldo que nunca restauraste es una apuesta, no un plan.

5. Correo, phishing y capacitación mínima

El vector inicial más frecuente sigue siendo el engaño humano: facturas falsas, suplantación del CEO, enlaces a portales clonados. No hace falta un curso anual de ocho horas; sí alertas internas, reporte sencillo de correos sospechosos y reglas claras para transferencias y cambios de cuenta bancaria.

6. Proveedores y cumplimiento

Si manejas datos personales de clientes o empleados, la LFPDPPP exige medidas de seguridad administrativas, técnicas y físicas proporcionales al riesgo. Además, clientes grandes cada vez piden cuestionarios de seguridad antes de firmar. Tener políticas básicas documentadas acelera ventas y reduce sanciones.

7. Plan de respuesta en 24 horas

Define quién decide, quién comunica y quién apaga fuegos si detectan actividad anómala un viernes por la noche. Incluye contactos de soporte, abogado, aseguradora y un canal interno sin depender del correo corporativo (por si ese canal está comprometido).

• Playbook de 1 página: aislar, preservar evidencia, notificar, restaurar.
• Lista de contactos externa (legal, forense, hosting).
• Plantilla de comunicación a clientes si hay exposición de datos.

Contexto mexicano: por qué importa en 2026

En México conviven PyMEs que digitalizaron en meses durante la pandemia con proveedores que aún facturan por correo y Excel. Esa mezcla crea brechas de madurez: el portal de clientes tiene HTTPS, pero la carpeta compartida de contratos sigue abierta a toda la oficina. El checklist funciona cuando lo adaptas a tu realidad: una empresa de logística prioriza GPS y facturación electrónica; una fintech, accesos a API y logs de transacciones.

Tampoco necesitas certificarte ISO 27001 el primer año. Necesitas evidencia de que mejoras mes a mes: capturas de MFA activo, reporte de parches, acta de prueba de backup. Eso ya responde muchos cuestionarios de clientes corporativos y reduce fricción comercial.

Prioriza por impacto, no por moda

No intentes hacer todo en una semana. Semana 1: inventario + MFA + bajas de ex empleados. Semana 2–3: parches críticos y respaldos probados. Mes 2: políticas, proveedores y simulacro de incidente. La consistencia gana a la herramienta cara sin proceso.

En Devson Labs ayudamos a PyMEs mexicanas a convertir este checklist en un plan ejecutable: diagnóstico, endurecimiento y acompañamiento sin frenar la operación. Si quieres una radiografía rápida de tu exposición actual, empieza con nuestra Radiografía de sistemas o revisa el servicio de ciberseguridad para empresas.