La mayoría de los incidentes no son sofisticados
Los pequeños negocios rara vez son atacados de forma elaborada y dirigida — los golpea el mismo puñado de problemas comunes, una y otra vez: una contraseña reutilizada que se filtró en otro lugar, un correo de phishing que se ve suficientemente convincente, un excontratista que todavía tiene acceso, un plugin del sitio web que nunca se actualizó. Nada de eso requiere un atacante sofisticado. Solo requiere que se haya saltado uno de los básicos.
Los fundamentos que vale la pena hacer primero
Configura una autenticación de correo adecuada (SPF, DKIM, DMARC) para que sea más difícil que alguien suplante tu dominio en un correo de phishing. Usa un gestor de contraseñas y contraseñas únicas en lugar de variaciones de la misma. Activa la autenticación de dos factores en todo lo que la ofrezca, especialmente correo, registrador de dominio y cuentas de hosting — esas tres son las llaves de todo lo demás. Mantén respaldos reales y funcionales de todo lo que no puedas darte el lujo de perder, y prueba de verdad que se puedan restaurar. Elimina el acceso de cualquiera que ya no lo necesite, de forma programada, no solo cuando te acuerdes.
Nada de esto es costoso. Es principalmente unas horas de configuración y el hábito de revisar accesos periódicamente — el tipo de cosa fácil de posponer hasta que es la razón de que algo salió mal.
Cómo se ve esto en la práctica
Una revisión de seguridad real de una aplicación en producción encontró que la navegación basada en roles ocultaba páginas a los usuarios sin realmente restringir el acceso a nivel de ruta — el tipo de vacío que es invisible hasta que alguien lo revisa directamente. Lo que mantiene seguro a un pequeño negocio casi nunca es dramático. Es una lista corta de fundamentos, aplicados de forma consistente y revisados de vez en cuando por alguien que sabe qué buscar.