La ciberseguridad, el escudo imprescindible para las pymes en una digitalización acelerada

La digitalización avanza a una velocidad nunca vista y ha transformado —para bien— el tejido empresarial español. Gracias a ella, miles de pequeñas y medianas empresas han podido modernizar procesos, llegar a nuevos clientes y adaptar sus modelos de negocio a las exigencias del mercado. Pero esa misma evolución tecnológica también ha multiplicado los riesgos. Nuevas vulnerabilidades, un incremento constante de los ataques y criminales cada vez más sofisticados obligan a las pymes a reforzar su protección.

Con este punto de partida, Madridiario ha reunido en Casa Club a cuatro expertos en una mesa de debate dedicada a los retos de la ciberseguridad para las empresas: Diego Alejandro Palomino, jefe de Seguridad Lógica de la Unidad Central de Ciberdelincuencia de la Policía Nacional; Guillermo Obispo, responsable de Coordinación del Centro de Ciberseguridad del Ayuntamiento de Madrid; Laura del Pino Jiménez, responsable de Seguridad de la Información de BBVA España; y Juan José Nombela, miembro de la junta directiva de Isaca Madrid.

Juan José Nombela abrió el debate contextualizando la función de Isaca, una organización internacional con más de 180.000 asociados que trabaja en la formación, auditoría y gobernanza de la ciberseguridad. Desde esa experiencia, el especialista fue rotundo al señalar cuáles son los principales desafíos actuales. Según explicó, el primero de todos es la concienciación interna: “La ciberseguridad tiene que empezar desde arriba”, advirtió. Para Nombela, es imprescindible que directivos, consejeros y órganos de gobierno comprendan la magnitud de los riesgos, sobre todo en empresas que no están sujetas a estrictas normativas como las grandes corporaciones. Solo así, añadió, la cultura de la seguridad puede “bajar a todos los empleados, desde el primero hasta el último”.

Respecto a la evolución de las amenazas, el representante de Isaca fue claro: “Estamos viendo una línea creciente de ataques”. Ransomware, phishing, secuestro de información o extorsiones son incidentes cada vez más habituales. Y un nuevo elemento complica aún más el panorama: la inteligencia artificial. “Los ciberdelincuentes la utilizan cada vez más, y trabaja para ellos 24/7 sin descanso y sin cobrar”, afirmó. La conclusión es evidente: las empresas deben apoyarse también en la IA para defenderse.

La Policía Nacional alerta: el factor humano es clave

Diego Alejandro Palomino, desde la experiencia directa de la Unidad Central de Ciberdelincuencia, situó la lupa en un aspecto tantas veces señalado como difícil de corregir: el factor humano. “Somos todos parte de la ciberseguridad de la propia empresa”, insistió. La ingeniería social, los descuidos y la falta de formación convierten al empleado en la puerta de entrada más habitual.

El agente profundizó en un fenómeno preocupante: la industrialización del cibercrimen. El llamado crime as a service ha democratizado el delito. "Ya no es necesario tener especiales conocimientos técnicos para perpetrar un ataque", explicó. Menores de edad, usuarios con conocimientos básicos o grupos amateurs pueden adquirir kits de ransomware, herramientas de phishing o generadores de voces mediante IA para construir fraudes sofisticados.

Esa profesionalización hace aún más compleja la labor policial. Por ello, Palomino enfatizó la necesidad de denunciar cada incidente y proporcionar informes técnicos exhaustivos: “Necesitamos saber cómo han entrado” para poder investigar, trazando rutas digitales que, por la naturaleza transnacional del cibercrimen, requieren cooperación internacional. “Sin cooperación internacional es imposible avanzar”, remarcó.

El Ayuntamiento de Madrid como objetivo constante

Guillermo Obispo aportó la perspectiva institucional. A pesar de que el Centro de Ciberseguridad del Ayuntamiento no da servicio directo a ciudadanos o pymes, su propia estructura —relativamente pequeña— se enfrenta a un aluvión constante de amenazas. La cifra es llamativa: “Recibimos entre 20.000 y 23.000 alertas por segundo, unos 2.000 millones al día”, detalló.

No todas esas alertas son incidentes reales, pero sí suponen una carga enorme de análisis. Entre las amenazas más frecuentes, Obispo mencionó ransomware, ataques a la cadena de suministro y un phishing cada vez más sofisticado.

El representante municipal aprovechó para introducir un matiz esencial sobre la concienciación interna: “Si un empleado recibe un mensaje que dice ‘pinche aquí para destruir el Ayuntamiento’ y lo hace, el problema no es la persona; somos nosotros, que lo hemos permitido”. Una reflexión que resume la idea de que la responsabilidad última es organizativa y técnica, y que la concienciación debe entenderse como complemento y no como culpabilización.

El Ayuntamiento aplica protocolos para intervenir de inmediato cuando un empleado comete un error, notificándole lo ocurrido y ofreciéndole formación breve y específica. El objetivo: convertir cada fallo en un aprendizaje.

El sector financiero: tecnología y acompañamiento a las pymes

Desde BBVA España, Laura del Pino subrayó que la digitalización ha llegado con fuerza especialmente al universo pyme y que esto exige un cambio de mentalidad. “En el mundo físico todos asumimos que hay que proteger la casa; en el mundo digital debe ser igual”, señaló.

La experta desmontó la creencia de que una pyme no es interesante para un ciberdelincuente: “En realidad, sí lo es. Tienen datos, tienen dinero y pueden ser víctimas de un secuestro de información”. Por eso, defendió la necesidad de empezar por lo básico: proteger dispositivos, actualizar software, usar programas legales, formar a los empleados, realizar copias de seguridad o implantar el doble factor de autenticación.

Del Pino destacó también un riesgo cada vez más habitual para empresas de menor tamaño: el fraude del cambio de cuenta de proveedor. Un ataque basado en ingeniería social que puede frenarse con algo tan simple como una llamada telefónica previa a validar un pago. “Con un doble chequeo se puede evitar un fraude millonario”, recordó.

BBVA, sin embargo, no se limita a proteger sus propios sistemas. El banco ha destinado más de mil millones de euros en tecnología solo en España y ha creado programas específicos de formación para pymes, incluyendo cursos gratuitos en plataformas como Coursera.

Una realidad inevitable: todas las empresas están en riesgo

La mesa coincidió en un mensaje contundente: ninguna organización está a salvo. Tal y como expresó el portavoz de la Policía Nacional, “solo hay dos tipos de empresas: las que han sido atacadas y las que aún no lo saben”. Las amenazas persistentes avanzadas, los ataques recurrentes durante meses y el acceso continuado de los delincuentes a los sistemas son una realidad creciente.

Por eso, la formación emerge como elemento vertebrador. Tanto para empleados como para directivos y especialistas. Y no solo formación técnica: también cultura, hábitos y criterios básicos de prudencia digital.

Pero la formación debe extenderse más allá del ámbito empresarial. La Policía Nacional recordó que su Plan Director acude a colegios e institutos para enseñar a los menores un uso seguro de las redes sociales. La educación temprana será clave para que las nuevas generaciones anticipen riesgos y tengan herramientas para gestionarlos.

En la valoración final sobre el nivel de preparación de las empresas, el contraste es evidente: mientras las grandes compañías están altamente reguladas y protegidas, la vulnerabilidad aumenta conforme disminuye el tamaño de la organización. “Lo primero es formar arriba”, insistió Nombela. La alta dirección de una pyme debe comprender tanto los riesgos como el impacto económico que puede tener una brecha de seguridad.

A todo ello se suma un reto estructural: la falta de talento. El sector necesita más profesionales especializados y es necesario impulsarlo desde colegios, institutos y universidades.

La cadena de suministro se ha convertido en otro vector crítico. Los ciberdelincuentes ya no atacan directamente a las grandes empresas, sino a sus proveedores más pequeños, con menores recursos y medidas de seguridad insuficientes. De ahí la importancia de que todos los eslabones adopten, al menos, soluciones básicas como un EDR, herramientas de monitorización continua o buenas prácticas de seguridad.

Para las pequeñas y medianas empresas, integrar la ciberseguridad ya no es una recomendación: es un requisito para sobrevivir en el mercado digital. La formación práctica —adaptada a cada área de la compañía—, la actualización constante, la monitorización de riesgos y la existencia de protocolos claros para actuar ante incidentes son hoy tan importantes como tener un buen producto o un buen servicio.

El mensaje final de los expertos fue unánime: la transformación digital es imparable, pero debe ser segura. La tecnología ofrece infinitas oportunidades, pero solo si se acompaña de prudencia, cultura y prevención.