Colombia ocupa el tercer lugar entre los países más atacados de Latinoamérica, con más de 10,9 billones de intentos de ciberataque registrados en 2025 según FortiGuard Labs, y las pymes concentran cerca del 70% de las víctimas locales de acuerdo con un informe reciente de Mapfre. La buena noticia es que la mayoría de estos ataques explota fallas básicas y evitables: contraseñas débiles, sistemas sin actualizar, un backup que nunca se probó.
Este checklist te permite evaluar, en menos de 15 minutos, qué tan expuesta está tu empresa hoy y qué deberías corregir primero. No necesitas ser experto en TI para usarlo: solo ser honesto con las respuestas.
Identidad y control de accesos
- ¿Cada empleado tiene su propio usuario, sin cuentas compartidas ni genéricas (“admin”, “ventas”)?
- ¿Usan autenticación multifactor (MFA) en correo, banca en línea y sistemas críticos?
- ¿Existe una política de contraseñas mínimas (longitud, complejidad, cambio ante sospecha de compromiso)?
- ¿Se desactivan los accesos el mismo día en que alguien deja de trabajar en la empresa?
Si respondiste “no” a alguna de estas, este es el punto de partida: la mayoría de las brechas en pymes colombianas siguen empezando por una credencial débil o un acceso que nadie revocó a tiempo.
Respaldo y continuidad del negocio
- ¿Tienes copias de seguridad automáticas, no manuales ni dependientes de que alguien “se acuerde”?
- ¿Sigues la regla 3-2-1 (tres copias, dos medios distintos, una fuera del sitio)?
- ¿Has restaurado un backup de prueba en los últimos seis meses para confirmar que realmente funciona?
- ¿Sabes cuánto tiempo tardaría tu empresa en volver a operar si perdieras el acceso a tus sistemas hoy mismo?
Un backup que nunca se prueba es, en la práctica, un backup que no existe. Si quieres profundizar en cómo estructurar el tuyo, revisa nuestra guía sobre backup en la nube vs. backup local.
Actualizaciones, parches y protección de endpoints
- ¿Los sistemas operativos y aplicaciones se actualizan de forma centralizada, o cada equipo “a su ritmo”?
- ¿Todos los equipos (incluidos los portátiles que salen de la oficina) tienen antivirus o EDR activo y actualizado?
- ¿Sabes cuántos equipos de tu empresa siguen corriendo software sin soporte del fabricante?
Las vulnerabilidades sin parchear siguen siendo, junto con el phishing, el vector de entrada más usado por los atacantes en la región. Un parque de equipos obsoleto no solo es un riesgo de seguridad: también afecta la productividad. Si no has revisado esto en un tiempo, te puede interesar nuestra guía para saber cada cuánto renovar los equipos de cómputo de tu empresa.
Red, conexión y accesos remotos
- ¿Tu red separa el tráfico administrativo del de invitados o del público (portal cautivo)?
- ¿El acceso remoto a sistemas internos se hace por VPN, no por puertos expuestos directamente a internet?
- ¿El wifi de la oficina usa cifrado moderno (WPA2/WPA3) y una contraseña que no lleva años sin cambiarse?
Capacitación del equipo
- ¿Tu equipo sabe identificar un correo de phishing antes de hacer clic?
- ¿Existe un canal claro para reportar algo sospechoso, sin miedo a “meterse en problemas”?
- ¿La capacitación en seguridad es un evento único (inducción) o un hábito que se refuerza periódicamente?
Según el más reciente estudio de ESET sobre pymes colombianas, el 73% de las empresas ya usa herramientas de inteligencia artificial en sus procesos, y el uso no autorizado de IA por parte de empleados (“shadow AI”) empieza a sumarse a los riesgos tradicionales. La tecnología ayuda, pero el eslabón humano sigue siendo decisivo.
Políticas, cumplimiento y plan de respuesta
- ¿Tienes una política escrita de tratamiento de datos personales, alineada con la Ley 1581 de 2012?
- ¿Sabes qué harías en las primeras 24 horas después de detectar un incidente: a quién avisar, qué aislar, qué comunicar?
- ¿Alguna vez un tercero (auditor, cliente, aliado) ha revisado formalmente tus controles de seguridad?
El estudio de ESET también encontró una mejora notable: el 87% de las pymes colombianas dice sentirse preparada frente a amenazas en 2026, frente a apenas el 48% en 2022. La tendencia es positiva, pero “sentirse preparado” y estar realmente preparado no siempre son lo mismo — y la única forma de saberlo con certeza es con una evaluación objetiva.
¿Y ahora qué? De la autoevaluación al plan de acción
Este checklist te da una fotografía inicial, pero no reemplaza una auditoría profesional. Si marcaste varios “no”, lo más importante es priorizar: empieza por accesos y backups (el mayor impacto con el menor esfuerzo), sigue con parches y red, y deja la capacitación como un proceso continuo, no como una tarea de una sola vez.
En Ecolcomputo realizamos auditorías de ciberseguridad para empresas en Bogotá, alineadas a marcos como ITIL, BASC e ISO 9001, con un informe claro y un plan de acción priorizado — no solo un diagnóstico técnico difícil de interpretar. Si quieres entender primero en qué consiste ese proceso, puedes leer nuestro artículo sobre qué es una auditoría de ciberseguridad y por qué la necesitas.
