Medidas de seguridad para pymes, por dónde empezar — Cómo recorrer la versión 4.0 de la «Guía de medidas de seguridad de la información para pymes» del IPA
· Actualizado el: · Go Komura · Seguridad de la información, Medidas de seguridad, Pequeñas y medianas empresas, IPA, SECURITY ACTION, Ransomware, Copia de seguridad, Mejora de procesos empresariales, B2B
«Un cliente nos envió una lista de verificación sobre medidas de seguridad, pero no sabemos qué hacer ni hasta dónde llegar».
«Sabemos que la seguridad es importante, pero no tenemos margen para tener un responsable dedicado».
«Nos hablan de tomar medidas, pero no tenemos idea de cuánto costará cada cosa, así que no hemos podido empezar».
Las consultas sobre medidas de seguridad de las pymes suelen empezar de esta manera.
En realidad, existe un manual público que responde a este «por dónde, hasta dónde». Se trata de la Guía de medidas de seguridad de la información para pymes, publicada por el IPA (Agencia de Promoción de Tecnología de la Información, por sus siglas en japonés). El 27 de marzo de 2026 se publicó la versión 4.0, una gran revisión que llega tras unos tres años.
En este artículo, a partir del contenido de la versión 4.0, organizamos en qué orden debe avanzar con las medidas de seguridad una empresa que no cuenta con un responsable dedicado.
1. Primero, la conclusión
Resumimos primero el enfoque que propone la versión 4.0 de la guía.
- Lo primero no es introducir productos costosos, sino aplicar los «seis principios básicos de seguridad de la información»: medidas básicas que toda empresa debe cumplir, sin importar su tamaño, y que no suponen grandes costos
- Después, conocer la situación actual de la empresa con la «autoevaluación de seguridad de la información en 5 minutos» del anexo (25 puntos) y mejorar comenzando por los puntos que no se cumplen
- Una vez iniciado el trabajo, hacer la autodeclaración en «SECURITY ACTION» del IPA (gratuita); sirve como material explicativo para los clientes y también es un requisito en algunos programas públicos de apoyo
- A partir de ahí, avanzar de forma gradual hacia la creación de la política básica, la preparación de reglamentos y la estructura de respuesta a incidentes
- La dirección tiene un rol que no debe delegar por completo en el encargado, como «llevar las medidas adelante con su propio liderazgo» o «tener en cuenta las medidas de los proveedores externos»
En una frase, la filosofía de diseño de esta guía es: «no buscar la perfección de una sola vez, sino avanzar de forma gradual, en un orden establecido, empezando por lo que se pueda hacer».
2. Qué es la «Guía de medidas de seguridad de la información para pymes»
Esta guía es un documento que reúne el enfoque y los procedimientos para que las pymes protejan su información importante frente a amenazas como la fuga, la alteración o la pérdida de datos, y eviten así impactos en la continuidad del negocio. La primera versión se publicó en noviembre de 2016 y, desde entonces, se ha usado como estándar de facto para las medidas de seguridad de las pymes. También incluye como destinatarios a los trabajadores autónomos y a las pequeñas empresas.
La estructura se divide en tres grandes partes.
| Parte | Público destinatario | Contenido |
|---|---|---|
| Parte 1: Para la dirección | Dirección/gerencia | Las desventajas de descuidar las medidas, la responsabilidad que asume la dirección, los 3 principios que debe reconocer y las 7 acciones importantes |
| Parte 2: Parte práctica | Responsables y encargados | Cómo avanzar de forma gradual, desde los seis principios básicos de seguridad de la información hasta las medidas más completas |
| Anexos 1 a 8 | Personal a cargo de la implementación | Hoja de autoevaluación, muestras de política básica, reglamentos y libro de gestión de activos, guías de uso de la nube y de respuesta a incidentes, entre otros |
El cuerpo principal tiene unas 70 páginas, pero, como se explica más adelante, no es necesario leerlo todo desde el principio. Está diseñado para que se pueda empezar a usar desde el punto que corresponda a la etapa de cada empresa.
Guía de lectura — quién debe leer qué
Según el rol de cada persona, el lugar por donde conviene empezar es distinto. Leyendo en el siguiente orden, se pueden saltar las partes que no correspondan.
| Rol | Qué leer primero | Qué abordar después |
|---|---|---|
| Dirección y directivos | Parte 1: Para la dirección (los 3 principios y las 7 acciones importantes) | Ordenar a toda la empresa que aplique los seis principios y decidir el presupuesto y los responsables |
| Personal de sistemas o administración general (incluso si lo hace de forma adicional) | «Empezar por lo que se pueda hacer», de la Parte 2: Parte práctica | Los 25 puntos de la autoevaluación del anexo 3. Mejorar comenzando por los puntos que no se cumplen |
| Encargados de preparar las normas internas | «Iniciar el trabajo organizativo», de la Parte 2: Parte práctica | Adaptar a la propia empresa las muestras del anexo 2 (política básica) y el anexo 5 (reglamentos relacionados) |
| Encargados que reciben consultas sobre la nube y el teletrabajo | Anexo 7 (guía de uso seguro de servicios en la nube) | «Medidas para reforzar aún más la seguridad» |
| Encargados a quienes se les pide responder la lista de verificación de un cliente | Conocer la situación actual con la autoevaluación del anexo 3 | La autodeclaración de SECURITY ACTION (capítulo 7) |
En resumen, la división básica es que la dirección lee solo la Parte 1, mientras que los encargados leen la parte práctica y los anexos. No es necesario que todos lean todo.
Qué cambió en la versión 4.0
En la revisión hacia la versión 4.0 se señalan los siguientes tres cambios del entorno ocurridos desde la versión 3.1 (abril de 2023).
- Los daños por ransomware ya no se limitan a la fuga de información, sino que se han extendido hasta la interrupción de la actividad empresarial
- Los daños a través de la cadena de suministro se han expandido tanto en Japón como en el extranjero, y ha aumentado la necesidad de avanzar con medidas en toda la red de comercio
- Dentro de las pymes hay una escasez notable de personal que impulse las medidas de seguridad
En respuesta a esto, se realizaron cambios como la ampliación de los «cinco principios de seguridad de la información» a seis, añadiendo «¡Haz copias de seguridad!»; la reorganización de las medidas organizativas y técnicas de defensa teniendo en cuenta el sistema de evaluación SCS (sistema de evaluación de medidas de seguridad para el fortalecimiento de la cadena de suministro) que están estudiando el Ministerio de Economía, Comercio e Industria y la Oficina Nacional de Ciberseguridad del Gabinete; y la incorporación de una guía práctica (anexo 1) para apoyar la captación y formación de personal de seguridad.
Este sistema de evaluación SCS, en marzo de 2026, cuando se publicó la versión 4.0, se encontraba en la etapa de estudio y diseño del sistema. No es un sistema de certificación que ya esté en funcionamiento ni que se pueda solicitar en la actualidad. Lo que hace la guía es «organizar de forma anticipada las medidas que probablemente exigirá el sistema», no «obtenga esta certificación». Para no sorprenderse cuando un cliente mencione este sistema de evaluación, confirme la situación más reciente en los documentos publicados por el Ministerio de Economía, Comercio e Industria.
Los dos pilares de la revisión, «copias de seguridad» y «cadena de suministro», reflejan directamente las amenazas que enfrentan hoy las pymes. El ransomware y los ataques a través de los clientes ocupan, en la edición 2026 de las «10 principales amenazas de seguridad de la información» que publica el IPA cada año en su versión para organizaciones, el primer lugar (11 años consecutivos) y el segundo lugar (8 años consecutivos), respectivamente (para más detalles, consulte el artículo sobre las 10 principales amenazas de seguridad de la información 2026).
3. Parte para la dirección — las medidas no son «trabajo del encargado»
La Parte 1, para la dirección, apenas trata temas técnicos. Lo que aborda es qué se pierde si se descuidan las medidas (interrupción del negocio, pérdida de confianza, indemnizaciones), qué responsabilidad legal asume la dirección (las medidas de gestión segura de la Ley de Protección de Información Personal, el deber de lealtad de la Ley de Sociedades, entre otras) y qué debe hacer la dirección.
Se enumeran los siguientes tres principios que la dirección debe reconocer.
- Las medidas de seguridad de la información se llevan adelante bajo el liderazgo de la dirección
- Se tienen en cuenta también las medidas de seguridad de la información de los proveedores externos
- Se mantiene siempre comunicación sobre seguridad de la información con las partes interesadas
Además, se indican como «7 acciones importantes» que la dirección debe llevar a cabo: definir la política de respuesta para toda la organización; asegurar el presupuesto y el personal necesarios; hacer que se estudien las medidas consideradas necesarias y ordenar su ejecución; ordenar la revisión periódica de las medidas; preparar la estructura de respuesta y recuperación para situaciones de emergencia; aclarar las responsabilidades de seguridad al subcontratar o usar servicios externos, y recopilar información sobre las últimas tendencias.
Desde el punto de vista de los empleados, las medidas de seguridad suelen percibirse como una tarea molesta que reduce la comodidad. Precisamente por eso, «que la dirección juzgue, decida y lidere» se coloca como el primer principio. La postura constante de esta guía es que no funciona simplemente dejarle al encargado un «encárgate de algo».
4. Parte práctica — avanzar en tres etapas
La Parte 2, la parte práctica, tiene una estructura por etapas: «empezar por lo que se pueda hacer» → «iniciar el trabajo organizativo» → «abordarlo de forma completa».
Etapa 1: Empezar por lo que se pueda hacer ── Casi sin costo adicional / se puede empezar hoy mismo
Ejecutar los seis principios básicos de seguridad de la información
↓
Etapa 2: Iniciar el trabajo organizativo ── Casi sin costo adicional / la autoevaluación son 25 puntos en 5 minutos
Crear la política básica de seguridad de la información y difundirla La política básica se crea adaptando la muestra del anexo 2
Conocer el estado de aplicación con la "autoevaluación en 5 minutos" (25 puntos)
Decidir las medidas pendientes y difundirlas
↓
Etapa 3: Abordarlo de forma completa ── A partir de aquí requiere esfuerzo / hace falta destinar personas y tiempo
Elaboración de reglamentos, gestión de activos, defensa y detección de ataques,
inspección y mejora, estructura de respuesta a incidentes, gestión de proveedores
↓
Además: Medidas para reforzar aún más la seguridad ── Según sea necesario. Implica costos de productos o servicios externos
Análisis de riesgos, medidas para el sitio web, la nube, el teletrabajo, etc.
Lo importante es que hasta la etapa 1 y la etapa 2 casi no se necesitan conocimientos especializados ni grandes costos. Los seis principios se pueden aplicar revisando las funciones estándar de Windows o de los servicios en la nube y la forma de operarlos; la autoevaluación consiste solo en responder una lista de verificación, y la política básica y los reglamentos se crean adaptando las muestras de los anexos. La respuesta a la pregunta inicial de “no tengo idea de cuánto costará” es, al menos hasta la etapa 2, “prácticamente cero yenes”. Los costos y el esfuerzo se vuelven realmente necesarios a partir de la etapa 3, y el diseño no es «no se puede hacer nada porque no hay presupuesto», sino «aunque no haya presupuesto, se puede empezar hoy mismo hasta este punto».
5. Los seis principios básicos de seguridad de la información — el contenido del primer paso
Los «seis principios básicos de seguridad de la información» de la etapa 1 son medidas básicas que toda empresa debe aplicar, sin importar su tamaño.
| Punto | Qué hacer | Primero esto (gratis, empezar hoy mismo) | |
|---|---|---|---|
| 1 | ¡Mantén siempre actualizados el sistema operativo y el software! | Aplica los parches o usa la versión más reciente. Si se deja desactualizado, se pueden explotar vulnerabilidades ya resueltas | Verifica en todos los equipos que las actualizaciones automáticas de Windows Update estén activadas. Comprueba también las actualizaciones automáticas de programas que se actualizan por separado, como el navegador, el lector de PDF o Office |
| 2 | ¡Instala un software antivirus! | Instálalo y mantén siempre actualizado el archivo de definiciones de virus | Verifica que Microsoft Defender Antivirus, incluido de forma estándar en Windows, esté activo. En los equipos con productos de otros fabricantes, comprueba que la actualización de definiciones no se haya detenido por vencimiento del contrato |
| 3 | ¡Refuerza las contraseñas! | «Largas», «complejas» y «sin reutilizar». Esto evita accesos no autorizados por el uso indebido de identificadores y contraseñas filtrados | Usa un gestor de contraseñas (puede ser la función estándar del navegador o del sistema operativo) para generar y guardar una contraseña larga distinta para cada servicio. Activa la autenticación multifactor en los servicios que la admitan |
| 4 | ¡Revisa la configuración de los recursos compartidos! | Revisa la configuración de los servicios en la nube y de los equipos multifunción en red, y elimina cualquier situación en la que personas ajenas puedan acceder a la información | Revisa uno por uno los enlaces compartidos del almacenamiento en la nube para comprobar que ninguno esté configurado como «cualquiera que tenga el enlace». Verifica que las carpetas compartidas del equipo multifunción o del NAS no tengan una configuración que permita el acceso a cualquiera |
| 5 | ¡Haz copias de seguridad! | Permite que la empresa pueda seguir funcionando aunque los datos se pierdan o se cifren por una avería, un error de manejo o una infección de virus | Haz una copia en un disco externo o en la nube y prueba a restaurar realmente un archivo. Una vez terminada la copia, desconecta del equipo el disco externo utilizado |
| 6 | ¡Conoce las amenazas y los métodos de ataque! | Los métodos de ataque cambian año tras año. Mantente al día con la información que difunden el IPA y otros organismos, y prepárate para no dejarte engañar | Suscríbete a la «Información de seguridad importante» del IPA y a las alertas de JPCERT/CC, y designa a una persona encargada de difundirlas internamente cuando lleguen |
La cuarta columna no forma parte del texto original de la guía; es un complemento con medidas concretas que se pueden emprender sin costo adicional.
Sobre el quinto punto, «copias de seguridad», añadido en la versión 4.0, se indica que debe gestionarse con un conjunto de tres elementos: obtención (decidir qué se respalda y con qué frecuencia), almacenamiento (decidir el lugar, la gestión de versiones y el período de conservación) y recuperación (elaborar un plan y confirmar que se puede restaurar correctamente). La medida solo se considera completa cuando se almacena de forma separada del entorno de producción para evitar que el ransomware cifre también los datos originales, y cuando se incluye la verificación de recuperación necesaria para evitar que «la copia que se suponía que existía» resulte, en realidad, imposible de restaurar.
Cada uno de estos puntos, una vez escrito, parece de sentido común. Sin embargo, gran parte de los daños reales se producen precisamente porque este sentido común no se aplica de forma rigurosa. El punto de partida es que la dirección, desde arriba, haga cumplir estos seis puntos en toda la empresa.
6. La autoevaluación de 5 minutos y el trabajo organizativo desde la segunda etapa
El eje de la etapa 2 es la «autoevaluación de seguridad de la información en 5 minutos» del anexo 3. Basta con responder a las 25 preguntas con «lo hacemos», «lo hacemos parcialmente», «no lo hacemos» o «no lo sé» para visualizar la situación actual y los puntos débiles de la empresa.
En la versión 4.0 se revisaron los ejemplos de medidas de la autoevaluación y se añadieron puntos que reflejan las vías de intrusión actuales, como «bloquear las comunicaciones innecesarias desde el exterior hacia la red interna» o «operar el sitio web de forma segura». La intrusión aprovechando vulnerabilidades de equipos VPN y la alteración de sitios web abandonados son vías por las que las pymes siguen sufriendo daños reales (las medidas del lado del sitio web se tratan en detalle en otro artículo: Cómo usar la guía del IPA «Cómo crear un sitio web seguro»).
El resultado de la autoevaluación no sirve para competir por una puntuación. Se utiliza como material para establecer prioridades: «entre los puntos que no se cumplen, corregir primero los que representan un mayor riesgo para el negocio de la empresa».
7. SECURITY ACTION — un sistema gratuito para «visibilizar» el trabajo realizado
Una vez iniciado el trabajo, conviene aprovechar también SECURITY ACTION. Es un sistema mediante el cual las pymes declaran por sí mismas que están trabajando en medidas de seguridad de la información, y permite usar de forma gratuita el logotipo de «una estrella» o «dos estrellas» según la etapa de avance.
| Contenido de la declaración | |
|---|---|
| ★ Una estrella | Declarar que se trabajará en los seis principios básicos de seguridad de la información |
| ★★ Dos estrellas | Declarar que, tras conocer la situación de la empresa con la «autoevaluación en 5 minutos», se ha definido una política básica de seguridad de la información (hay una muestra en el anexo 2), se ha publicado externamente y se está trabajando en las medidas |
Al tratarse de una autodeclaración, no hay ningún proceso de evaluación, lo que permite empezar de inmediato. Incluir el logotipo en las tarjetas de presentación o en el sitio web sirve como material explicativo ante los clientes, y en algunos programas de apoyo público, como el subsidio para la introducción de TI, la declaración se exige como requisito para la solicitud.
El procedimiento de declaración se describe en la página del IPA sobre cómo solicitar la autodeclaración, con el siguiente flujo.
- Decidir el objetivo del trabajo (una estrella o dos estrellas)
- Obtener un GビズID (GBizID) (las empresas y los trabajadores autónomos necesitan una cuenta Prime; se solicita desde el sitio de gBizID)
- Completar el formulario de solicitud (aceptación del tratamiento de datos personales, aceptación de las condiciones de uso del logotipo, información de la empresa y selección del contenido del compromiso)
- Recibir el correo de confirmación (se notifica el ID de autodeclaración y el modo de uso del logotipo)
- Descargar el logotipo (opcional; se inicia sesión con el GビズID en el sistema de gestión de SECURITY ACTION y se obtiene desde la página personal)
El IPA indica que, en el mejor de los casos, todo el proceso, desde la obtención del GビズID hasta el uso del logotipo, se puede completar en un solo día. Además, la ventanilla de solicitud se renovó por completo con el «Sistema de gestión de SECURITY ACTION», publicado el 1 de abril de 2026, por lo que quienes recuerden haber hecho una declaración anteriormente también deben confirmar el procedimiento actual en la página mencionada arriba. Como la una estrella declara que «a partir de ahora se trabajará en los seis principios», se puede solicitar aunque las medidas aún no estén completadas.
Para las empresas que se encuentran en la etapa de desconcierto al recibir una lista de verificación de seguridad de un cliente, un primer paso realista y honesto es llegar a poder responder: «Estamos trabajando siguiendo la guía, empezando por los seis principios y la autoevaluación, y también hemos hecho la declaración de SECURITY ACTION».
8. Los anexos se pueden usar como «colección de plantillas»
Podría decirse que el valor práctico de esta guía reside en sus anexos. La versión 4.0 incluye los siguientes ocho documentos, todos descargables gratuitamente desde la página del IPA.
- Anexo 1: Guía práctica para la captación y formación de personal de seguridad para pymes (nuevo en la versión 4.0)
- Anexo 2: Política básica de seguridad de la información (muestra)
- Anexo 3: Autoevaluación de seguridad de la información en 5 minutos
- Anexo 4: Manual de seguridad de la información (plantilla)
- Anexo 5: Reglamentos relacionados con la seguridad de la información (muestra)
- Anexo 6: Libro de gestión de activos (muestra)
- Anexo 7: Guía de uso seguro de servicios en la nube para pymes
- Anexo 8: Guía de respuesta a incidentes de seguridad para pymes
No es necesario redactar desde cero ni la política básica, ni los reglamentos, ni el libro de gestión de activos. Están diseñados para que se adapten las muestras a cada empresa. Las empresas que están estancadas en la preparación de las normas internas avanzarán más rápido si empiezan por el anexo 2 y el anexo 5.
Además, en el terreno más cercano a la operación diaria, temas específicos como la revisión de la práctica llamada PPAP, es decir, enviar archivos ZIP con contraseña por correo (Por qué el PPAP es una mala práctica), o las medidas contra la fuga de información al desechar un PC (Lista de verificación antes de desechar un PC con Windows), están directamente conectados con el enfoque de esta guía.
Resumen
Resumimos los puntos clave de la versión 4.0 de la «Guía de medidas de seguridad de la información para pymes» del IPA.
- Publicada el 27 de marzo de 2026. Una revisión que refleja cambios del entorno como la interrupción de la actividad por ransomware, los daños a través de la cadena de suministro y la escasez de personal
- El enfoque es gradual: primero los seis principios básicos de seguridad de la información, después la autoevaluación de 25 puntos y, a partir de ahí, la preparación de la política, los reglamentos y la estructura
- A los seis principios se añadió «¡Haz copias de seguridad!». Las copias de seguridad abarcan desde la obtención hasta el almacenamiento y la verificación de recuperación
- La dirección tiene 3 principios y 7 acciones importantes que cumplir, y no debe dejar todo en manos del encargado
- La autodeclaración de SECURITY ACTION (gratuita) permite visibilizar el trabajo realizado y también es un requisito en algunos programas públicos de apoyo
- Los 8 anexos se pueden usar directamente en la práctica como colección de plantillas
El mayor obstáculo para las medidas de seguridad es «no saber qué hacer», pero esa parte ya tiene una respuesta preparada en la guía pública. Lo que queda es la etapa de aplicarla al entorno de la propia empresa y ejecutarla.
Para quienes tienen dificultades al aplicar esto a su propio entorno
No son pocas las empresas que, al intentar aplicar el principio de «mantener actualizados el sistema operativo y el software», se topan con la barrera de que «una aplicación de negocio antigua no funciona en un sistema operativo nuevo, por lo que no se puede actualizar». Además, el orden en que conviene corregir los problemas detectados en la autoevaluación varía según la configuración del sistema de negocio.
En KomuraSoft LLC, con base en nuestra experiencia en el desarrollo y mantenimiento de aplicaciones de negocio para Windows y sistemas web, ofrecemos asesoría sobre la modificación del software existente que impide las actualizaciones y sobre cómo priorizar las medidas a tomar. Incluso si se encuentra en la etapa de «ya hice la autoevaluación, pero a partir de aquí se vuelve un tema técnico y no avanzo», puede consultarnos desde la confirmación de la situación actual.
Artículos relacionados
Artículos recientes con las mismas etiquetas para profundizar en temas cercanos.
Las 10 principales amenazas de seguridad de la información 2026 — cómo leer el ranking y qué deben abordar realmente las pymes
En el «Top 10 de amenazas de seguridad de la información 2026» de IPA, el ransomware repite en el 1.º puesto por 11.º año consecutivo, la...
Lo que también debe saber quien encarga un sitio web — cómo usar la guía «Cómo crear un sitio web seguro» de la IPA como checklist
¿Con qué criterio revisar la seguridad de su sitio web? Explicamos las 11 vulnerabilidades de la guía IPA «Cómo crear un sitio web seguro...
Análisis del examen de Especialista en Seguridad de la Información Registrado, primavera de Reiwa 6, tarde, pregunta 1 — el alg=none de JWT, la autorización de API y las medidas provisionales de WAF
A partir de la pregunta 1 de la tarde del examen de Especialista en Seguridad de la Información Registrado, primavera de Reiwa 6, se expl...
Especialista en Seguridad de la Información, otoño de Reiwa 5, pregunta 2 de la tarde — Archivos sustraídos por el Wi-Fi de invitados
A partir de la pregunta 2 de la tarde de R5 otoño, explica cómo se filtran archivos por el Wi-Fi de invitados pese a bloquear el USB, y r...
Análisis del examen de Especialista en Seguridad de la Información Registrado, otoño de Reiwa 5, tarde, pregunta 1 — el XSS almacenado donde 16 reseñas se muestran como solo 2
A partir de la pregunta 1 de la tarde del examen de Especialista en Seguridad de la Información Registrado, otoño de Reiwa 5, se explica ...
Temas relacionados
Estas páginas sitúan el tema en un contexto más amplio de servicios y decisiones.
Temas técnicos de Windows
Portal sobre desarrollo de Windows, investigación de fallos y aprovechamiento de activos existentes.
Servicios relacionados con este tema
El artículo está directamente relacionado con los siguientes servicios.
Consultoría técnica y revisión de diseño
Determinar en qué orden corregir los problemas detectados en la autoevaluación, y analizar en qué puntos del sistema de negocio o de la configuración de red se concentra el riesgo, forma parte de una consultoría técnica que incluye una revisión de diseño.
Mantenimiento y modernización de software Windows
Para poder «mantener siempre actualizados el sistema operativo y el software», en muchos casos es necesario modificar y mantener las aplicaciones de negocio que impiden actualizar versiones antiguas de Windows u otro software.
Preguntas frecuentes
Preguntas habituales en las consultas sobre el tema del artículo.
- ¿Qué son los seis principios básicos de seguridad de la información?
- Son las medidas básicas que, según la versión 4.0 de la «Guía de medidas de seguridad de la información para pymes» del IPA, toda empresa debe aplicar sin importar su tamaño. Los seis puntos son: ① mantener siempre actualizados el sistema operativo y el software, ② instalar un antivirus, ③ reforzar las contraseñas, ④ revisar la configuración de los recursos compartidos, ⑤ hacer copias de seguridad y ⑥ conocer las amenazas y los métodos de ataque. Hasta la versión 3.1 eran cinco principios, pero, ante el aumento de los daños causados por ransomware, se añadió «¡Haz copias de seguridad!» y pasaron a ser seis.
- ¿En qué se diferencian la una estrella y las dos estrellas de SECURITY ACTION?
- La una estrella es una autodeclaración de que la empresa trabajará en los seis principios básicos de seguridad de la información, y puede declararse de inmediato incluso si recién se está empezando. Las dos estrellas son una declaración de que, tras conocer la situación de la empresa mediante la «autoevaluación de seguridad de la información en 5 minutos» del anexo de la guía, se ha definido una «política básica de seguridad de la información», se ha publicado externamente y se está trabajando en las medidas correspondientes. Ambas son autodeclaraciones ante el IPA y no tienen ningún costo.
- ¿Por dónde debe empezar una empresa que no tiene un responsable de TI dedicado?
- La parte práctica de la guía está estructurada como «empezar por lo que se pueda hacer». Se indica el siguiente orden: primero, aplicar los seis principios básicos de seguridad de la información por iniciativa de la dirección; después, conocer la situación actual con los 25 puntos de la «autoevaluación de seguridad de la información en 5 minutos» del anexo 3, y mejorar comenzando por los puntos que no se cumplen. Tanto los seis principios como la autoevaluación son contenidos que no requieren conocimientos especializados ni grandes costos.
- ¿Qué cambió en la versión 4.0 respecto a la versión 3.1?
- La versión 4.0, publicada el 27 de marzo de 2026, se revisó teniendo en cuenta cambios del entorno como la interrupción de la actividad empresarial por daños de ransomware, la expansión de los daños a través de la cadena de suministro y la escasez de personal especializado en seguridad. En concreto, se amplió el número de «cinco principios de seguridad de la información» a seis añadiendo «¡Haz copias de seguridad!», se reorganizaron las medidas teniendo en cuenta el sistema de evaluación SCS (sistema de evaluación de medidas de seguridad para el fortalecimiento de la cadena de suministro) que están estudiando el Ministerio de Economía, Comercio e Industria y otros organismos, y se añadió un anexo con una guía práctica para apoyar la captación y formación de personal de seguridad.
Perfil del autor
Página de presentación del autor del artículo.
Go Komura
Representante de KomuraSoft LLC
Especializado en desarrollo de software para Windows, consultoría técnica e investigación de fallos, sobre todo en proyectos con sistemas existentes y errores difíciles de reproducir.