En 2026, la seguridad de los datos empresariales ya no es un tema que se pueda posponer para cuando «haya tiempo». En Italia, el primer semestre de 2025 registró 2.755 incidentes cibernéticos, la cifra más alta jamás registrada, con un aumento del 36 % respecto a finales de 2024; además, aproximadamente una quinta parte de todos los ataques registrados desde 2020 se concentraron solo en los primeros seis meses de 2025, según la actualización de Clusit citada en 2025 (fuente). Para muchas pymes, esto cambia la perspectiva: no se trata solo de disponer de antivirus y copias de seguridad, sino de saber detectar señales débiles, anomalías y accesos fuera de lo habitual antes de que el daño se materialice.
La buena noticia es que muchas empresas ya cuentan con una base de partida. En 2022, el 74,4 % de las empresas italianas con al menos 10 empleados utilizaba al menos tres medidas de seguridad informática, un nivel en línea con la media de la UE (74,0 %) (ISTAT). El problema es que una base generalizada no equivale a una defensa completa. Si los controles siguen estando aislados, los datos se escapan entre archivos locales, la nube, el correo electrónico, los dispositivos personales y los permisos olvidados. Aquí entra en juego un enfoque más práctico, orientado al ciclo de vida de los datos y a la supervisión continua, y no solo a la prevención.
El dato más relevante que hay que tener en cuenta es este: 2.755 incidentes cibernéticos en Italia durante el primer semestre de 2025, la cifra más alta registrada, con un aumento del 36 % respecto a finales de 2024. Para una pyme, el mensaje no es dejarse llevar por el pánico. La clave está en considerar el riesgo cibernético como una parte integral de la actividad empresarial, al mismo nivel que la continuidad de los sistemas de gestión o la disponibilidad del correo electrónico.
Muchas empresas italianas ya cuentan con medidas de seguridad básicas, pero a menudo las distribuyen de forma desorganizada. Un cortafuegos no protege un archivo compartido de forma inadecuada, una copia de seguridad no protege una cuenta con permisos excesivos y un antivirus no corrige un error de configuración en la nube. El resultado es una defensa que, sobre el papel, parece completa, pero que deja abiertos puntos de acceso muy concretos.
La seguridad suele fallar, no por falta de herramientas, sino por falta de coordinación entre las herramientas, las personas y los procesos.
Las pymes son especialmente vulnerables cuando el trabajo se distribuye entre la oficina, el hogar, los consultores externos y los dispositivos personales. En estos contextos, no hace falta que el ataque sea sofisticado para que surta efecto. Basta con un acceso mal gestionado, una sesión que se haya dejado abierta o un archivo compartido por descuido en una carpeta en la nube.
La idea de proteger únicamente el perímetro de la red ya no es válida. Los datos se mueven, se duplican y se reutilizan en varios sistemas. Por eso, la seguridad de los datos empresariales debe entenderse como la capacidad de reducir la superficie de ataque y de detectar de inmediato cualquier desviación de la norma.
Una referencia útil, incluso para quienes están valorando opciones de arquitectura y cumplimiento normativo, es el análisis sobre si la NIS 2 supone una oportunidad o un obstáculo. La lección práctica es que el cumplimiento normativo por sí solo no basta, ya que los datos deben protegerse de forma continua, no solo documentada.
Una parte importante de los incidentes se debe a un error básico, no a un ataque sofisticado. Los datos no se almacenan todos en el mismo lugar, y no se protegen de la misma manera. Un archivo guardado en un servidor, una factura enviada por correo electrónico y un informe abierto en un programa de gestión requieren controles diferentes, ya que varían la superficie expuesta, las modalidades de acceso y las posibilidades de copia. La distinción entre datos archivados, datos en tránsito y datos en uso sigue siendo el punto de partida más útil para evitar controles genéricos que parecen sólidos pero que ofrecen poca cobertura.
Los datos archivados son aquellos que se encuentran almacenados en servidores locales, en repositorios en la nube o en copias de seguridad. En este contexto, son importantes el cifrado, los controles de acceso y, cuando sea necesario, técnicas como la desidentificación y la tokenización (Agenda Digital). La pregunta adecuada no es solo «¿tenemos los archivos guardados?», sino «¿quién puede abrirlos, copiarlos o moverlos sin que nos demos cuenta?».
Para una pyme, esto se traduce en medidas muy concretas, y a menudo la verdadera disyuntiva se plantea entre la simplicidad operativa y el control riguroso:
Si un archivo contiene también versiones antiguas, exportaciones o archivos adjuntos olvidados, el riesgo aumenta sin que nadie se dé cuenta. En este caso, la gestión de los «dark data» es tan importante como la protección del archivo actual.
Los datos en tránsito son aquellos que circulan entre usuarios, aplicaciones y sedes. En este caso, se necesitan protocolos seguros como SFTP, HTTPS, SSH y TLS (Agenda Digital). Si una empresa envía listas de precios, fichas de clientes o documentos de RR. HH., la protección no puede limitarse al servidor de destino. Debe abarcar también el trayecto, ya que es precisamente ahí donde se concentran las interceptaciones, los errores de configuración y los reenvíos indebidos.
Los datos en uso son aquellos abiertos en aplicaciones, navegadores y sistemas de gestión. En este contexto, el principio del «mínimo privilegio» resulta decisivo, ya que limita el acceso únicamente a los usuarios autorizados y reduce el impacto de una cuenta comprometida (Agenda Digital). Si un comercial ve más datos de los necesarios, el riesgo no es teórico, sino operativo, ya que cada dato adicional visible se convierte en una posible copia, exportación o compartición.
Regla práctica: si no sabes en qué estado se encuentra un dato, realmente no sabes cómo protegerlo.
Un buen control inicial consiste en identificar tres aspectos: dónde se encuentran los datos, quién los accede y qué sistemas los transfieren. A partir de ahí, las deficiencias salen a la luz de inmediato, a menudo más en los permisos y los flujos que en el software. Para una pyme, el resultado útil es sencillo: menor exposición de los datos que permanecen estáticos, menos pasos innecesarios en los que se transfieren y menos privilegios sobre los que se utilizan a diario.
Los «dark data» son datos olvidados, duplicados o sin utilizar que se acumulan sin un valor operativo claro. Muchas guías hablan de copias de seguridad y cifrado, pero dejan este aspecto en un segundo plano, ya que la superficie de riesgo suele aumentar incluso antes de que se aplique la protección. Las antiguas exportaciones, los archivos adjuntos, las copias locales y los archivos de proyectos acaban dispersos en distintos lugares, y ya nadie sabe con exactitud dónde están ni quién los está utilizando. TechRadar Italia recuerda que estos datos pueden incluir también propiedad intelectual e información confidencial sensible, y que su gestión requiere comprender el origen, el tratamiento y el uso de los datos.
El error más habitual es acumularlo todo «por seguridad». En la práctica, cuantos más datos guardes, más aumentan los posibles accesos, los puntos de error y los costes de gestión. La seguridad de los datos de la empresa suele mejorar cuando se elimina lo que ya no sirve, en lugar de limitarse a añadir más controles.
Para una pyme, no se trata solo de poner orden. Se trata de decidir qué datos merecen realmente permanecer en línea, cuáles deben trasladarse al archivo y cuáles deben desaparecer de los sistemas activos antes de que se conviertan en un problema de exposición o de cumplimiento normativo.
La guía del EDPB para las pequeñas empresas hace hincapié en la minimización de datos, la seudonimización o la anonimización, la revisión periódica de las autorizaciones y el cifrado (EDPB). El paso que a menudo se pasa por alto en las empresas es transformar estos principios en un proceso de gestión del ciclo de vida de los datos para aquellos datos poco utilizados u olvidados, con normas claras sobre su conservación, archivo y supresión.
Un criterio sencillo funciona mejor que una norma abstracta. Si un dato no es necesario para un proceso activo, una obligación legal o una recuperación operativa definida, debe eliminarse o archivarse de forma controlada. Si, por el contrario, es realmente necesario para el negocio, debe mantenerse activo con una responsabilidad clara y una revisión periódica.
En los proyectos que coordino, este enfoque práctico evita discusiones interminables sobre los archivos «que podrían servir». Cuando una carpeta permanece abierta solo por costumbre, el riesgo no es teórico. Cada copia adicional aumenta el número de personas que pueden verla, exportarla o reenviarla, y cada archivo no controlado dificulta saber dónde ha acabado un dato sensible.
Puedes utilizar esta secuencia:
Aquí la ventaja es doble. Se reduce el riesgo de exposición y se simplifica la protección de lo que realmente importa. Las pymes que dan este paso suelen descubrir que parte del problema no era la falta de protección, sino la cantidad de datos que se dejaban en circulación sin un motivo concreto.
Una defensa eficaz no se basa en herramientas aisladas, sino en controles que se complementan entre sí. En las pymes a las que presto asesoramiento, las medidas más útiles siguen siendo aquellas que se centran en el cierre automático de sesión, cortafuegos y antivirus actualizados, copias de seguridad seguras, identificadores únicos, la revocación de autorizaciones obsoletas y la verificación periódica de los accesos. El principio es sencillo. Cada medida, por sí sola, ayuda, pero el verdadero avance se produce cuando una cubre el punto ciego de la otra.
La lógica de la «defensa en profundidad» funciona cuando cada nivel compensa las limitaciones del anterior. El cifrado protege el contenido aunque un archivo salga del perímetro previsto; la copia de seguridad permite reanudar el funcionamiento sin interrumpir la actividad; la DLP reduce las fugas no autorizadas; la autenticación multifactorial (MFA) dificulta el uso indebido de las credenciales; la gestión de accesos limita los privilegios; yel endurecimiento de sistemas reduce las superficies de exposición. Si falta una de estas capas, la defensa resulta más frágil de lo que parece.
La parte práctica radica en la integración, no en la lista. La documentación a la que se hace referencia en la fuente insiste en que la protección de los datos sensibles debe extenderse desde el entorno de Microsoft 365 a los servicios SaaS, la nube y los repositorios locales mediante la clasificación y la prevención de la pérdida de datos (DNCSRL). Para una pyme, esto es un aspecto concreto, ya que hoy en día los datos útiles para el trabajo no se encuentran en un único sistema y, a menudo, se transfieren entre aplicaciones que no están diseñadas para comunicarse entre sí de forma segura.
La protección empresarial Zero Trust resulta útil precisamente en este sentido. Cada acceso debe verificarse en el contexto adecuado, teniendo en cuenta la identidad, el dispositivo, la ubicación y el nivel de riesgo, de modo que el permiso no siga siendo válido simplemente porque alguien ya se encuentre dentro de la red.
En el trabajo híbrido, el problema no es solo el acceso remoto, sino la cantidad de dispositivos que entran en juego. La guía del EDPB para las pymes sugiere políticas sobre teletrabajo, protección de dispositivos personales, VPN, cierre automático de sesión y eliminación de accesos obsoletos. Para muchas empresas, el problema es cultural antes que técnico. Se aplican normas pensadas para el ordenador de la oficina a un contexto distribuido y luego se sorprenden de que los controles no funcionen.
Un ordenador portátil personal no debe tratarse como una extensión implícita de la red de la empresa. Debe gestionarse como un punto de acceso, con criterios claros sobre cifrado, actualizaciones, accesos y separación de perfiles.
Para quienes tienen que decidir por dónde empezar, la prioridad no es acumular herramientas. Una copia de seguridad bien hecha sigue siendo útil, pero no compensa los permisos desordenados ni las credenciales que permanecen activas durante demasiado tiempo. La seguridad de los datos empresariales es realmente sólida cuando los controles se comunican entre sí y cuando el perímetro incluye también los datos olvidados, aquellos que a menudo quedan fuera del radar y suponen el riesgo más difícil de detectar.
La inteligencia artificial cambia la forma en que se analizan los datos, ya que desplaza el enfoque de las reglas fijas hacia el comportamiento. En una pyme, esto resulta muy valioso, ya que los patrones anómalos suelen pasar desapercibidos en medio de la actividad habitual de usuarios, proveedores y asesores. ELECTE, una plataforma de análisis de datos basada en IA para pymes, se centra precisamente en el análisis automatizado y la detección de anomalías, un enfoque que encaja perfectamente en un contexto de supervisión continua.
La seguridad tradicional suele basarse en umbrales, firmas y reglas ya conocidas. Funciona bien en muchas situaciones, pero tiene dificultades cuando el comportamiento cambia de forma sutil. Por el contrario, un sistema de inteligencia artificial puede detectar accesos inusuales, horarios anómalos, un volumen de actividad fuera de lo habitual o combinaciones de eventos que, tomados por separado, parecen inofensivos.
El valor práctico no consiste en sustituir al equipo de TI, sino en ayudarle a anticiparse a los problemas. Cuando los datos proceden de distintas fuentes, como CRM, ERP, la nube y los registros de acceso, la supervisión manual tiende fácilmente a ser reactiva. La IA facilita la transición hacia un análisis continuo de las señales.
Para una pyme, los usos prácticos son muy sencillos:
Un análisis similar también encaja bien con el tema de la gestión de picos y caídas en los datos, ya que la misma lógica que ayuda a detectar una anomalía empresarial puede ayudar a reconocer una anomalía de seguridad. La clave está en contar con una plataforma que no se limite a almacenar datos, sino que los observe de forma activa.
Cuando la supervisión es continua, la seguridad de los datos de la empresa deja de ser una carrera para ponerse al día tras los incidentes. Se convierte en la capacidad de detectar pequeñas desviaciones antes de que se conviertan en problemas de acceso o en pérdidas de información.
Un plan eficaz para las pymes debe ser secuencial, no ideal. Las empresas que logran mejorar de verdad empiezan por unas pocas medidas de alto rendimiento y, a continuación, consolidan el resto. La prioridad es poner orden antes incluso de incorporar nuevas herramientas, porque la protección funciona mejor cuando las funciones, los datos y los accesos ya están bien definidos.
En el plazo de una semana, centra el trabajo en lo que elimina la exposición inmediata.
Durante el mes siguiente, trabaja en la estructura y el control.
En un plazo de tres meses, su objetivo es lograr que la seguridad sea reproducible.
El control más útil no es el perfecto, sino aquel que alguien pueda mantener realmente cada semana.
Si quieres un indicador sencillo, mide el número de accesos no justificados eliminados, el éxito de las restauraciones y la rapidez con la que una anomalía llega a conocimiento de quien debe intervenir. Son indicadores mucho más útiles que una lista de comprobación que solo se rellena una vez.
La seguridad de los datos empresariales funciona cuando no interrumpe el trabajo, sino que lo acompaña. En una oficina comercial, por ejemplo, el equipo puede compartir ofertas y listas de precios en entornos clasificados, con accesos que se revoca cuando finaliza la colaboración. En administración, los documentos confidenciales solo son accesibles para quienes realmente deben gestionarlos, mientras que en operaciones los datos de producción o logística se supervisan sin necesidad de controles manuales continuos.
La diferencia la marca la cultura interna. Si los empleados perciben la seguridad como un obstáculo, eludirán las normas. Si, por el contrario, la ven como una forma de evitar atascos, errores y pérdidas de tiempo, la adoptarán más fácilmente. Para ello se necesita un lenguaje sencillo, ejemplos concretos y responsabilidades repartidas, no solo procedimientos archivados.
El objetivo no es que el departamento de TI lo vea todo, sino que todo sea gestionable. Las empresas que obtienen mejores resultados tratan los datos como un activo operativo, con controles que protegen sin ralentizar el ciclo de ventas, la facturación o la atención al cliente.
ELECTE ayuda a las pymes a transformar los datos sin procesar en señales interpretables, mediante análisis automatizados y la detección de anomalías, lo que también resulta útil para la supervisión continua de la seguridad. Si quieres tener un mayor control sobre tus flujos de información y ver cómo un enfoque basado en la inteligencia artificial puede contribuir a la gobernanza y a la detección de anomalías, visita ELECTE y evalúa cómo integrarlo en tus procesos.
.svg)
.svg)
.svg)
