Empezar por la actividad
El NCSC recomienda a las pequeñas empresas identificar los sistemas y la información esenciales y considerar las consecuencias de su indisponibilidad. Esto también ayuda a preparar un análisis de seguridad externo.
Anote primero qué actividades se detendrían sin la informática: recibir pedidos, concertar citas o enviar facturas. Marque los procesos más importantes. Esto ayudará a establecer prioridades, aunque un servicio técnico parezca poco relevante a primera vista. [1]
Los primeros quince minutos: recopilar los servicios
La guía del NIST para pequeñas empresas recomienda mantener un inventario de hardware, software, sistemas y servicios. Su plantilla también contempla las responsabilidades y la importancia para el negocio.
Para esta preparación, proponemos una tabla sencilla. Consulte sus contratos o pregunte a su proveedor informático. Marque expresamente lo que desconozca; una lista inicial puede estar incompleta. [2]
- Dominios: anotar el dominio principal, los de otras marcas o tiendas y las direcciones antiguas conocidas.
- Proveedores: vincular el registrador de dominios, el alojamiento web, el correo y el soporte informático con los servicios correspondientes.
- Función en el negocio: indicar qué proceso sostiene cada servicio importante y qué se interrumpiría si fallase.
- Cambios: añadir las fechas previstas para migraciones web, cambios de proveedor o nuevos servicios accesibles públicamente.
Los siguientes quince minutos: aclarar responsabilidades
Un dominio suele implicar a varios interlocutores. La agencia mantiene la web, la empresa de alojamiento administra el servidor y alguien de su empresa gestiona la cuenta de cliente. Anote quién puede responder a consultas técnicas y quién puede encargar una modificación.
- Titularidad y administración: registrar a nombre de quién están el dominio y la cuenta del servicio, y quién puede confirmar esos datos.
- Autorización del análisis: aclarar quién autoriza el alcance acordado; documentar la coordinación necesaria con los proveedores que gestionan los servicios.
- Disponibilidad: designar a una persona responsable y a una suplente localizables para consultas o interrupciones imprevistas del servicio.
Preparar la entrega por escrito
Para un análisis remoto, quien lo realiza necesita una relación clara de los sistemas externos acordados. Defina por escrito qué información se necesita previamente, quién recibirá el informe y por qué canal seguro se entregará. La lista preparatoria no autoriza por sí sola a comprobar todos los sistemas que contiene.
No incluya contraseñas, códigos de recuperación ni datos de clientes en la primera solicitud. Los nombres y las direcciones técnicas bastan para empezar a delimitar el alcance. Marque las asociaciones sin confirmar: un servicio con un nombre parecido no es necesariamente un sistema de su empresa.
Tres decisiones a partir del resultado
Para la dirección, una lista de resultados es útil cuando permite asignar tareas. Solicite un breve documento de apoyo a la decisión junto con las evidencias técnicas. Proponemos asociar cada punto relevante a una de estas decisiones.
- Actuar: ¿qué debe cambiar su equipo informático o un proveedor concreto y por qué debe tener prioridad?
- Aclarar: ¿qué información que falta u observación sin confirmar necesita una respuesta primero, y quién la obtendrá?
- Volver a comprobar: tras una modificación, ¿qué permitiría confirmar que se ha resuelto el hallazgo concreto?
Revisar después de los cambios
Actualice la relación tras cambios importantes. Una migración de alojamiento, un dominio nuevo o una nueva tienda justifican volver a evaluar las partes afectadas. Una cita periódica no basta por sí sola para tener en cuenta esos cambios.
Un análisis externo describe la perspectiva acordada en el momento de la comprobación. No valida toda la informática interna ni demuestra automáticamente el cumplimiento de requisitos legales o contractuales. Conserve la fecha, los límites y las cuestiones pendientes junto con el seguimiento de las medidas.
Lecturas relacionadas
Fuentes y lecturas
Publicado el:
Fuentes primarias verificadas el 29.09.2026.
Las fuentes y los límites se indican en el artículo.