¿Cómo está la informática
de su empresa? Compruébelo.
Veinte preguntas, cinco minutos y un resultado inmediato en pantalla. Sin dejar ningún dato. Si después quiere el informe en PDF y el análisis técnico de su dominio, se lo enviamos por correo.
La escala mide tres cosas: que funcione, que esté protegido y que las copias se puedan recuperar. Es una foto de la situación a partir de lo que usted responda, no una auditoría.
Red y perímetro
El equipo que separa su red de internet decide qué entra y qué sale. El router que instala el operador cumple su función de dar conexión, pero no está pensado para vigilar el tráfico ni para avisar de nada. Lo que marca la diferencia no es tener un cortafuegos, sino que alguien lo esté mirando: un cortafuegos que nadie revisa envejece y deja de proteger. Si no sabe qué hay, eso ya es en sí mismo un hallazgo: significa que hoy nadie vigila la puerta de entrada.
- Un cortafuegos gestionado por alguien
- Hay un equipo de seguridad dedicado y alguien responsable de su configuración, que lo revisa y lo actualiza con regularidad.
- Solo el router del operador
- Da conexión, pero no filtra ni registra: si algo entra, nadie se entera. Escoja también esta opción si hay un cortafuegos sin gestión activa por nadie (por ejemplo, si no se ha revisado en el último mes): un equipo desatendido no aporta protección real.
- No lo sé
- Que nadie en la empresa sepa qué protege la entrada a la red ya indica que no hay nadie al cargo de ella.
No se trata de quién lo instaló, sino de quién lo mantiene hoy: quién actualizaría el aparato si se publica un fallo de seguridad, quién cambiaría una clave o quién sabría decir cómo está configurado. Un equipo de red sin dueño se queda con la configuración del primer día durante años, y los fallos que aparecen entretanto no los corrige nadie.
- Un proveedor o persona identificada
- Hay alguien que se ocupa de manera proactiva de actualizar el equipo cuando sale un parche, conoce la configuración y responde de ella.
- Nadie desde la instalación
- Sigue funcionando, que es lo que despista: por dentro no ha recibido ni una actualización ni una revisión.
- No lo sé
- Si nadie en la empresa sabe quién lo lleva, en la práctica no lo lleva nadie.
La clave de la wifi es una llave del edificio: quien la tiene puede entrar en su red desde el aparcamiento, sin pasar por recepción y sin dejar rastro. Si nunca se cambia, la siguen teniendo antiguos empleados, proveedores que vinieron un día y visitas de hace años. Una forma sencilla de evitar el problema es tener una wifi aparte para invitados, separada de la red de trabajo, y reservar la clave principal para los equipos de la empresa.
- Sí, hay control de la clave
- Se cambia cuando alguien deja la empresa y se sabe quién la tiene. Escoja también esta opción si la clave es personalizada por cada usuario (802.1x) o si está bajo control exclusivo del administrador de TI de la empresa y nadie más la conoce.
- Tiene contraseña, pero nunca se cambia
- Protege del vecino, no de quien ya pasó por aquí: la lista de gente que la conoce solo crece.
- Es la de fábrica o se comparte con cualquiera
- Equivale a tener la red abierta; la clave de fábrica suele estar impresa en el propio aparato.
Puestos de trabajo
La mayoría de los ataques aprovechan fallos ya conocidos y con solución publicada desde hace meses. Lo que marca la diferencia no es que la actualización exista, sino que alguien se asegure de que llega a todos los equipos: basta uno rezagado para abrir la puerta. Cuenta también el software de terceros (navegadores, lectores de PDF, Java, aplicaciones de gestión), que suele quedar fuera de las actualizaciones automáticas de Windows.
- Hay parcheo automatizado o supervisado
- Se aplican solas y alguien comprueba que ningún equipo se queda atrás.
- Cada usuario, cuando le sale el aviso
- El aviso se pospone «para mañana» indefinidamente; siempre queda alguno sin actualizar.
- No se actualizan o no lo sé
- Los fallos conocidos siguen abiertos, con las instrucciones para aprovecharlos publicadas.
Lo importante no es que haya antivirus, sino que alguien mire sus alertas. Un aviso de detección a las tres de la madrugada no sirve de nada si nadie lo ve hasta el lunes. Un EDR es un antivirus que además registra lo que pasó y permite reconstruir el incidente; un antivirus tradicional solo bloquea lo que reconoce.
- Antivirus/EDR gestionado, con alertas que alguien revisa
- Hay detección y, sobre todo, alguien que responde cuando salta.
- Antivirus instalado, pero nadie lo mira
- Detecta, avisa… y el aviso se queda en la pantalla del usuario.
- El que trae de serie, o ninguno
- Protección básica, sin visibilidad de lo que ocurre en el parque.
La edad importa por dos motivos distintos: los equipos viejos fallan más (y su avería para a una persona un día entero), y pasado cierto punto su sistema deja de recibir actualizaciones de seguridad. Un Windows sin soporte ya no se arregla, aunque el equipo encienda y funcione con normalidad.
- La mayoría, menos de 5 años
- Dentro de vida útil y con soporte del fabricante.
- Mezcla de edades
- Conviene tener localizados cuáles son los que están al límite, antes de que fallen.
- Más de 6–7 años o Windows sin soporte
- Riesgo doble: avería probable y fallos de seguridad que ya no se van a corregir.
Servidor, nube y datos
No se puede proteger lo que no se sabe que está. La pregunta es si alguien podría decir, sin ponerse a buscar, qué información hay en el servidor y cuál sería grave perder. Es la base de todo lo demás: las copias de seguridad se hacen sobre carpetas concretas, y lo que nadie recuerda que existía suele ser justo lo que no está copiado.
- Sí, está claro y ordenado
- Se sabe qué hay, dónde está y quién lo usa. Escoja esta opción solo si la información está bien centralizada y guardada, no desperdigada en cada equipo de usuario.
- Más o menos
- Casi todo está en el servidor o servidores, pero hay mucha información desperdigada en equipos de usuario que no está gestionada ni guardada por TI.
- No está claro
- No contamos con un sitio central para guardar la información: cada usuario guarda las cosas como entiende mejor.
Lo decisivo es de quién es la cuenta. Si los archivos de la empresa viven en cuentas personales, se van con la persona el día que se marcha: la empresa no puede recuperarlos, ni retirarle el acceso, ni saber con quién los compartió. Con cuentas corporativas, el dueño de los datos es la empresa y el acceso se da y se quita.
- Sí, con cuentas de empresa controladas
- La empresa es dueña de los datos y administra quién entra y quién sale.
- Sí, con cuentas personales de cada uno
- Información de la empresa fuera de su control, y compartida con quien cada uno decidiera.
- No se usa nube para archivos
- Conviene asegurarse de que los usuarios no han tomado por su cuenta la decisión de usar la nube, sin control por parte de TI. Si eso está controlado, es aceptable.
- No lo sé
- En la práctica suele significar que sí se usa, y sin control.
Casi todas las empresas tienen copia; muchas menos tienen una copia que funcione. La diferencia está en si alguien comprueba que se hizo y que terminó bien. Conviene además que haya una copia fuera de la oficina o desconectada: un ransomware cifra también el disco de copias si está enchufado y accesible desde la red.
- Sí, automática y alguien la supervisa
- Se hace sola y hay quien vigila los fallos el día que aparecen.
- Sí, pero nadie la revisa
- El día que lleve meses fallando, se descubrirá tarde y de la peor manera.
- No, o se hace a mano de vez en cuando
- Se perderá todo el trabajo que haya entre una copia y la siguiente.
Una copia solo está confirmada cuando se ha restaurado de verdad. Es en la prueba donde aparecen los problemas: carpetas que nunca entraron en la copia, ficheros abiertos que se copiaron a medias, copias cifradas cuya clave nadie recuerda, o restauraciones que tardan tres días cuando se necesitaban en tres horas.
- Sí, recientemente
- Se sabe que funciona y, casi más importante, cuánto tarda.
- Hace mucho tiempo
- Desde entonces han cambiado sistemas, volúmenes y datos.
- Nunca
- Se sabrá si la copia sirve justo el día en que no hay alternativa.
Correo, identidad y fraude
Aquí no se valora la tecnología, sino que haya gestión profesional: alguien que administre buzones y accesos, que revise las reglas de reenvío y que sepa qué pasa cuando una cuenta se comporta de forma rara. Un correo bien gestionado es correcto sea cual sea la plataforma; uno abandonado es un problema aunque esté en la plataforma más moderna del mercado.
- Plataforma gestionada (M365, Workspace o correo profesional con gestión)
- Con administración real: alguien controla altas, bajas, accesos y reglas.
- Gestionado por otro proveedor
- Igual de válido, siempre que ese proveedor se ocupe de verdad y no solo aloje los buzones.
- En el hosting de la web, sin gestión específica
- Funciona, pero nadie vigila los accesos ni detectaría una cuenta comprometida.
- No lo sabemos
- El correo es el activo más atacado de una pyme: conviene saber quién lo controla.
Este es el fraude más caro que sufren las pymes y no requiere ningún ataque sofisticado: basta un correo creíble, a veces enviado desde el buzón realmente comprometido del proveedor, con la factura de siempre y un número de cuenta distinto. Verificar por teléfono, llamando al número que ya se tenía —nunca al que aparece en ese correo—, cuesta cero y lo evita.
- Se verifica siempre por teléfono u otra vía
- El control más rentable que existe: coste cero, evita el fraude más caro.
- Depende de quién lo mande
- La confianza en el remitente habitual es justo lo que explota el estafador.
- Se cambia y se paga
- Una sola vez puede costar el importe íntegro de una factura, y recuperarlo es muy difícil.
Los recibe todo el mundo, sin excepción; lo que cambia de una empresa a otra es si el personal sabe reconocerlos y, sobre todo, si tiene claro a quién avisar cuando aparece uno. Que nadie los comente no significa que no lleguen.
- Sí, y la gente sabe identificarlos
- Hay hábito de desconfiar y reflejo de consultar antes de pinchar.
- No, que sepamos
- Lo más probable es que sí lleguen y que nadie los reporte.
- Sí, y alguna vez ha colado o casi
- Ya se conoce el riesgo de primera mano; conviene convertir el susto en formación.
Un móvil con el correo de la empresa es una copia de información corporativa que sale por la puerta todos los días. La pregunta real es qué ocurre el día que se pierde, lo roban, o se va en el bolsillo de quien deja la empresa: si se puede retirar ese acceso a distancia o no.
- Sí, en móviles gestionados con borrado remoto
- Se puede retirar el acceso y borrar los datos de empresa a distancia.
- No hay correo en móviles
- Imprescindible asegurarse, porque los usuarios suelen recurrir a soluciones propias fuera del control de TI.
- Hay correo en móviles personales, sin control
- Si se pierde uno, no hay forma de borrarlo ni de saber qué contenía.
Continuidad
No hace falta un plan extenso ni un documento formal: basta con saber a quién se llama, en qué orden se recupera y cómo se sigue facturando o atendiendo a clientes mientras tanto. Improvisar el día del incidente multiplica las horas de parada, porque se pierde la mañana entera solo en decidir quién hace qué.
- Hay un plan claro
- Se sabe quién hace qué, en qué orden y con qué medios.
- Improvisaríamos
- Se acabaría resolviendo, pero perdiendo tiempo y dinero por el camino.
- Sería un problema serio
- Conviene abordarlo antes de que ocurra, no después.
Poner una cifra ordena las decisiones: permite comparar lo que cuesta protegerse con lo que cuesta pararse, y deja de ser una discusión de opiniones. No hace falta precisión contable, basta un orden de magnitud: nóminas de ese día, pedidos que no salen, entregas que se retrasan y el tiempo de recuperar el trabajo perdido.
- Sí, hay una cifra aproximada
- Se decide con datos y no por intuición.
- Por intuición
- Suele quedarse corta: se olvidan los pedidos que no se sirven y el coste de rehacer el trabajo.
- Nunca lo hemos pensado
- Sin esa cifra, cualquier inversión en TI parece cara.
Si una sola persona conoce las contraseñas y cómo está montado todo, su baja, sus vacaciones o su marcha son un riesgo directo para la empresa. No es cuestión de desconfianza: es no tener plan B. También es injusto para esa persona, que no puede desconectar ni ponerse enferma tranquila.
- No, hay alternativas
- Más de una persona puede intervenir, y la documentación no vive solo en una cabeza.
- En parte
- Hay tareas concretas que solo sabe hacer una persona.
- Sí, todo pasa por una persona
- Riesgo alto de parada prolongada el día que no esté disponible.
Gestión y soporte
La diferencia está en si hay alguien comprometido a atender en un plazo, o se depende de que quien ayuda tenga un hueco. Con un acuerdo de servicio se sabe a quién llamar, en cuánto tiempo responde y quién cubre cuando esa persona está de vacaciones o de baja.
- Un proveedor con acuerdo de servicio
- Hay compromiso de atención, plazos y continuidad aunque falte alguien.
- Un conocido o ayuda puntual
- Funciona hasta el día que no está disponible, que suele ser el día que más urge.
- Nadie fijo
- Cada avería empieza por buscar quién la mira, y ese tiempo también es parada.
El tiempo real de resolución dice más del soporte que cualquier contrato. Piense en las tres últimas incidencias y en cuánto tiempo estuvo alguien sin poder trabajar. Cuente desde que se avisa, no desde que alguien empieza a mirarlo.
- En el mismo día
- Soporte que responde: la parada se mide en horas.
- Varios días
- Se acumulan horas de trabajo perdidas y se normaliza el apaño.
- Semanas, o quedan sin resolver
- Se acaba trabajando con cosas rotas como si fuera lo normal.
Lo crítico son las salidas. Las altas se hacen siempre, porque la persona nueva no puede trabajar sin sus accesos; las bajas se olvidan, porque nadie las reclama. El resultado son cuentas de correo, accesos al servidor, a aplicaciones y a la nube que siguen activos meses después de que la persona se haya ido.
- Hay un proceso claro
- Las altas y las bajas se hacen completas y a tiempo, con una lista de lo que hay que revisar.
- Se hace cuando alguien se acuerda
- Quedan accesos abiertos sin control durante semanas o meses.
- No se hace
- Antiguos empleados o proveedores con acceso vivo a la información de la empresa.
Solo puntúan las preguntas que responda. Si una no aplica a su empresa, déjela en blanco.
Valoración global
¿Quiere este resultado en PDF, con el análisis de su dominio?
Le enviamos por correo el informe completo en PDF (valoración por área y prioridades) y un análisis técnico de la configuración pública de su dominio: si su correo puede ser suplantado (SPF, DKIM, DMARC), quién lo gestiona y dónde está. Sin coste y sin llamadas si usted no las pide.
No hace falta rellenarlo: su resultado ya está arriba.
Gracias. En unos minutos recibirá el informe en . Referencia .
Como ha pedido el boletín, le llegará además un correo para confirmar la suscripción; sin esa confirmación no le enviaremos nada.
El análisis del dominio no se ha podido incluir en esta ocasión; el informe indica el motivo.
Si no aparece en unos minutos, revise la carpeta de correo no deseado o escríbanos a info@ultreia.es.
¿Prefiere hablar directamente? Llámenos o escríbanos. Y si quiere ir más allá del cuestionario, la Visita de Diagnóstico revisa in situ lo que aquí es solo declarativo.