Tu equipo directivo acaba de preguntarte si el software con el que opera la empresa está realmente protegido. No sabes con certeza dónde están los respaldos de ayer, quién tiene acceso a los datos de clientes o qué pasaría si el sistema dejara de funcionar mañana. Esa falta de respuesta es exactamente el problema que este checklist ayuda a resolver.
Evaluar la seguridad y los backups de tu software empresarial no es una tarea técnica para el departamento de TI. Es una revisión de continuidad: si un atacante bloquea el sistema, si una base de datos se corrompe o si un respaldo no se puede restaurar, la operación se detiene. Puede ser por horas o por días. El objetivo de este checklist es que identifiques vacíos antes de que se conviertan en crisis.
Riesgos de seguridad que debes revisar en tu software empresarial
Empieza por lo básico: el acceso. Un riesgo grave puede empezar no con un ataque sofisticado, sino con una cuenta activa, una contraseña débil o un permiso excesivo que nadie revisó. Responde estas preguntas con evidencia, no de memoria.
- ¿Quién tiene acceso al software y qué puede hacer cada persona? ¿Hay roles definidos o todos entran como administradores?
- ¿Qué pasa cuando alguien cambia de puesto o sale de la empresa? ¿Se revoca el acceso el mismo día?
- ¿El acceso requiere autenticación en dos pasos, al menos para usuarios con permisos administrativos?
- ¿Hay cuentas compartidas o contraseñas que se conocen entre varias personas?
- ¿El software registra quién entra, qué cambia y cuándo? Si no hay registro, no hay forma de saber qué ocurrió después de un incidente.
También revisa cómo se protegen los datos. Pregunta si la información viaja cifrada entre los usuarios y el sistema, y si los datos almacenados están cifrados. Si no tienes control sobre el cifrado, no puedes afirmar que tus datos estén protegidos.
Copias de seguridad: qué revisar antes de confiar en ellas
Una copia de seguridad que nunca se prueba restauración no es una copia de seguridad: es una esperanza. La revisión no termina cuando se genera el respaldo. Termina cuando puedes demostrar que, a partir de ese respaldo, el sistema vuelve a funcionar con los datos casi completos.
- ¿Con qué frecuencia se hacen las copias? ¿Esa frecuencia coincide con la cantidad de datos que tu operación puede permitirse perder?
- ¿Dónde se almacenan los respaldos? ¿Están en un lugar distinto al del sistema principal, para que un problema en un servidor no destruya ambas copias?
- ¿Los respaldos están cifrados? Un backup sin cifrar es un riesgo de filtración tan serio como un sistema expuesto.
- ¿Quién verifica que los respaldos se completan correctamente y qué se hace cuando fallan?
- ¿Cuánto tiempo se conservan las copias y quién decide esa política? La retención debe responder a necesidades operativas y de cumplimiento, no a la capacidad disponible.
Un error que conviene evitar es asumir que la nube hace todo esto automáticamente. Algunos proveedores ofrecen respaldo, pero el alcance varía. Si no tienes un documento que diga qué se respalda, con qué frecuencia y cómo se restaura, esa responsabilidad puede estar en un vacío.
Recuperación y continuidad operativa: define cuánto tiempo puedes estar sin el sistema
La seguridad y los backups existen para un propósito: que el negocio pueda seguir operando después de un incidente. Para evaluar esto necesitas definir dos valores: cuánto tiempo puedes estar sin el sistema y cuántos datos puedes permitirte perder. Sin esos valores, no puedes saber si tu plan actual es suficiente.
- Si el sistema se cae hoy, ¿quién decide cuándo poner en marcha la recuperación? ¿Esa persona sabe cómo hacerlo?
- ¿El plan de recuperación está documentado o vive en la memoria de una sola persona?
- ¿Cuándo fue la última vez que se practicó una restauración completa en un entorno de prueba? Si no puedes recordarlo, asume que podría fallar.
Un plan de recuperación que no se prueba regularmente es un documento de intenciones, no una capacidad operativa.
Cumplimiento y gobernanza: qué documentos y evidencias necesitas
Más allá de la operación, el software empresarial suele estar sujeto a políticas internas y normativas del sector. Si tu empresa maneja datos de clientes, datos financieros o información de salud, la pregunta no es si aplica una norma, sino cómo demuestras que la cumples.
- ¿Existe una política interna de seguridad y backups aprobada por la dirección? ¿La conocen las personas responsables?
- ¿Hay alguien asignado formalmente a custodiar los respaldos y los accesos? Si todos asumen que alguien más lo hace, no hay un responsable claro.
- ¿Puedes mostrar evidencia de cuándo se realizaron las últimas copias y de cuándo se probó la restauración?
- ¿El software y sus respaldos están incluidos en los contratos con proveedores? ¿Sabes qué pasa con tus datos si cancelas el servicio?
Si alguna de estas preguntas no tiene respuesta, la decisión no es reemplazar el software de inmediato. Primero necesitas entender si el problema es una configuración, un proceso o una herramienta que ya no da abasto.
Cómo interpretar los resultados y decidir el siguiente paso
Una vez que recorres el checklist, clasifica los hallazgos en tres grupos: lo que puedes corregir hoy con una configuración, lo que requiere un cambio de proceso y lo que exige una decisión de compra. Los accesos sin revisión, por ejemplo, suelen resolverse con una limpieza de cuentas. Un backup que nunca se restaura exige un cambio de práctica antes de pensar en otra herramienta.
Cuando debas decidir entre corregir lo actual o cambiar de software, compara con cuidado. Si la herramienta actual no permite cifrado, autenticación de dos pasos o respaldos confiables, puede que necesites otra opción. Pero si el problema es que nadie prueba los respaldos, cambiar de software no resolverá la práctica por sí solo.
Este checklist no es un certificado de seguridad. Es un punto de partida para conversar con datos concretos y priorizar las acciones que protegen la operación.
Siguiente paso
Si al aplicar el checklist aparecen vacíos que no puedes resolver internamente, agenda una sesión para revisar la seguridad y el plan de backups de tu software empresarial con un especialista Kodium. Lleva las respuestas que hayas podido completar; con eso basta para empezar.
