Seguridad en la nube: cómo proteger los archivos de tu negocio
La seguridad en la nube de un negocio pequeño se reparte entre el proveedor, que protege sus centros de datos y cifra los archivos, y la empresa, que sigue siendo responsable de sus cuentas, permisos, enlaces compartidos, dispositivos y copias. Las medidas básicas son sencillas y muchas no cuestan nada: verificación en dos pasos en todas las cuentas, enlaces con caducidad, un procedimiento para las bajas, dispositivos cifrados y un plan para recuperar los archivos tras un ransomware o el robo de una cuenta.
Seguridad en la nube para un negocio pequeño
Si ya trabajas con Google Drive, OneDrive o Dropbox, la pregunta no es si la nube es segura, sino qué parte de esa seguridad depende de ti. Esta sección del almacenamiento en la nube de un negocio pequeño responde a eso con medidas concretas, ordenadas por lo que cuestan y por lo que evitan. Parte de la misma base que las recomendaciones del INCIBE para servicios de almacenamiento cloud, pensadas para empresas españolas pero útiles en cualquier país.
El reparto es sencillo de enunciar. El proveedor protege sus edificios, sus servidores y su red, y cifra lo que guardas. Tú proteges las cuentas, los permisos, los enlaces, los dispositivos y las copias. Microsoft lo resume en su descripción del modelo de responsabilidad compartida: sea cual sea el servicio, los datos, las cuentas, la gestión de accesos y los dispositivos siguen siendo del cliente.
Ocho medidas prioritarias
La tabla ordena las medidas de la columna derecha por la relación entre lo que cuestan y lo que evitan. Ninguna exige un técnico a tiempo completo.
| Medida | Contra qué protege | Coste | Esfuerzo |
|---|---|---|---|
| 1. Verificación en dos pasos en todas las cuentas | Contraseñas robadas | Gratis | Una tarde para todo el equipo |
| 2. Cuentas de empresa, nunca personales, para los archivos del negocio | Archivos que se van con quien se va | Licencias por usuario | Una migración inicial |
| 3. Disco cifrado y bloqueo de pantalla en portátiles (laptops) y móviles (celulares) | Pérdida o robo de un dispositivo | Incluido en el sistema operativo | Unos minutos por equipo |
| 4. Procedimiento escrito para las bajas | Accesos de antiguos empleados | Gratis | Una hoja de pasos |
| 5. Enlaces con caducidad y revisión trimestral | Archivos abiertos a cualquiera | Según el plan | Un recordatorio en la agenda |
| 6. Copia independiente, fuera de la cuenta | Ransomware, borrados, cuenta perdida | Variable | Configuración inicial y pruebas |
| 7. Cifrado propio para la carpeta más delicada | Acceso a esos archivos en los servidores del proveedor | Gratis en el ordenador (computadora) | Una configuración inicial |
| 8. Plan para el día malo: a quién llamar y qué hacer | Decisiones precipitadas | Gratis | Una página |
Si no sabes por dónde empezar, haz las medidas 1, 3 y 4 esta semana: son gratuitas y cubren tres de los riesgos de la columna derecha del esquema. Las demás pueden esperar a la siguiente revisión mensual. Para el plan del día malo, en España conviene apuntar el 017, la línea de ayuda en ciberseguridad del INCIBE, gratuita y abierta todos los días.
Antes de nada: el riesgo real de la nube
Tener los archivos en un centro de datos protege frente al incendio, la avería y el portátil robado, pero traslada el riesgo a la cuenta. Comparar riesgo por riesgo qué tan seguro es el almacenamiento en la nube frente a un disco ayuda a dejar de preguntarse si la nube es segura y a empezar a revisar la propia configuración.
Lo que significa de verdad «cifrado»
Todos los grandes servicios cifran tus archivos, pero las claves las guarda el proveedor. Distinguir los tres tipos de cifrado de una nube, en tránsito, en reposo y de extremo a extremo, permite saber si alguien más podría leer tus documentos y qué pierdes si eliges el nivel más alto.
Una carpeta que ni el proveedor puede leer
Para las nóminas, los documentos de identidad o los expedientes, no hace falta cambiar de servicio. Puedes cifrar tú mismo los archivos delicados con una herramienta gratuita, antes de que la aplicación de la nube los suba.
La medida más barata de la lista
Con un segundo factor, una contraseña filtrada deja de bastar para entrar. Los menús para activar el doble factor en Google, Microsoft, Dropbox o Apple, y la forma de exigirlo a todo el equipo desde la consola de administración, caben en una tarde.
Cuando la sincronización reparte el daño
Un ransomware en un solo ordenador puede llegar a toda la nube en un minuto, porque la sincronización no distingue un ataque de un cambio. Saber recuperarte de un ransomware en la nube, con las herramientas de restauración de cada servicio y sus plazos, convierte un desastre en un mal día.
Los enlaces que nadie recuerda haber enviado
Un enlace abierto a cualquiera puede circular durante años. Aprender a configurar enlaces con contraseña y caducidad, y a revocarlos, reduce ese riesgo sin renunciar a la comodidad de compartir.
El día que alguien se va
Una baja mal cerrada deja sesiones abiertas, dispositivos sincronizados y archivos que nadie hereda. Para cerrar los accesos de un exempleado sin perder sus documentos, el orden de los pasos cuenta tanto como los pasos.
Si alguien entra en tu cuenta
Avisos de inicio de sesión extraños, una contraseña que ya no funciona, carpetas compartidas que no creaste: son señales para actuar en minutos. Los pasos para recuperar una cuenta robada recogen las páginas oficiales de cada proveedor y a quién avisar en España y en América Latina.
Un portátil olvidado en un tren
Los archivos siguen en la nube, pero el equipo perdido conserva copias y sesiones abiertas. Para proteger los archivos de un dispositivo perdido, basta con bloquear, cerrar sesiones y borrar a distancia, siempre que la búsqueda y el cifrado estuvieran activados antes. En España, la AEPD considera además que un dispositivo perdido con un cifrado sólido no obliga, en principio, a notificar una brecha de datos.
Más allá de la seguridad: el resto de la nube de tu negocio
Proteger los archivos es una de las decisiones. Las demás partes de esta guía tratan el resto:
- qué ocurre con un archivo cuando lo subes a la nube;
- los criterios para comparar proveedores de nube;
- qué aporta cada gran servicio de almacenamiento;
- las opciones europeas y de código abierto;
- el coste real de la nube para un negocio;
- lo que exige la ley si guardas datos de clientes en la nube;
- trabajar en equipo sobre archivos compartidos;
- montar una copia de seguridad que puedas restaurar;
- combinar un NAS con la nube o cambiar de sistema.