Tu pyme necesita un responsable de ciberseguridad, aunque sea externo

Cuando todos ayudan, nadie es dueño

En muchas pymes, seguridad pertenece un poco al dueño, al contador, al técnico y a la persona que compró las computadoras. Cuando aparece una alerta, todos esperan que otro responda. El resultado no se debe siempre a falta de herramientas. Falta una persona con autoridad para preguntar, priorizar y cerrar tareas. Responsable no significa hacerlo todo. Significa asegurar que el trabajo tenga dueño, fecha, evidencia y una decisión.

Durante la Semana Nacional de la Pequeña Empresa de 2026, NIST volvió a reunir recursos de ciberseguridad dirigidos a negocios pequeños. Su material para construir un equipo explica que la solución puede ser interna, externa o una mezcla, según necesidades, riesgos y presupuesto. Una pyme no necesita contratar mañana a un director de seguridad. Sí necesita nombrar quién coordina el tema y a quién llama cuando no sabe.

Tres modelos posibles

NIST señala que contratar apoyo externo no transfiere la responsabilidad del negocio. El proveedor puede configurar respaldos, monitorear alertas o hacer pruebas. El dueño sigue decidiendo cuánto riesgo acepta, qué datos comparte y qué operaciones deben recuperarse primero. Si nadie dentro entiende el contrato o revisa resultados, la empresa solo cambió una dependencia informal por una factura mensual.

Las seis funciones del responsable

1. Mantener inventario de cuentas, equipos, sistemas y datos importantes.
2. Priorizar riesgos con dirección, no según la herramienta de moda.
3. Asignar tareas a responsables internos y proveedores.
4. Comprobar respaldos, accesos, parches y alertas con evidencia.
5. Coordinar la respuesta cuando ocurre un incidente.
6. Reportar avances, bloqueos y decisiones en lenguaje de negocio.

No conviertas el rol en castigo para la persona más joven o técnica. Debe tener horas reservadas y acceso a dirección. Tampoco puede aprobar todo sin controles. Cambios delicados, como borrar usuarios, modificar respaldos o abrir acceso remoto, requieren revisión. El responsable coordina, documenta y escala. Los dueños de cada proceso siguen participando porque conocen impacto, clientes y tiempos.

Elige a alguien ordenado, capaz de hacer preguntas y dispuesto a reportar malas noticias. No tiene que programar. Sí debe entender qué procesos sostienen ventas, pagos, servicio y cumplimiento. Escribe una descripción de una página con autoridad, límites y suplente. Define un presupuesto pequeño para emergencias y capacitación. Si el responsable depende de permiso para cada llamada, no podrá reaccionar a tiempo. Si actúa sin informar, puede detener sistemas innecesariamente. La claridad equilibra velocidad y control.

Caso práctico: una firma contable

La reunión mensual de treinta minutos

Usa una agenda corta: incidentes, cuentas nuevas y cerradas, actualizaciones vencidas, estado de respaldos, riesgos de proveedores y tres acciones siguientes. Cada punto necesita evidencia. “Todo bien” no es evidencia. Pide fecha de última copia, resultado de restauración, lista de cuentas administrativas o reporte de dispositivos pendientes. El tablero puede tener diez filas. Importa que termine con decisiones claras.

Asigna colores con criterio. Rojo significa riesgo que exige decisión, no tarea incómoda. Amarillo indica una fecha o dependencia. Verde necesita una prueba reciente. Si un control lleva meses verde sin revisión, no sabes si sigue funcionando. Anota riesgo aceptado, persona que lo aceptó y fecha de revisión. La seguridad nunca llega a cero; se administra con límites visibles.

Aprovecha recursos cercanos

El 15 de mayo de 2026, Nuevo León y Csoftmty presentaron Pymes Ciberseguras, una plataforma gratuita con autodiagnóstico para micro, pequeñas y medianas empresas. El anuncio indica que la información se usa de forma estadística y desagregada. Aunque tu empresa esté en otro estado, el recurso muestra una tendencia útil: evaluar primero y convertir resultados en acciones. Verifica alcance, privacidad y vigencia antes de cargar datos.

Un diagnóstico no sustituye al responsable. Produce una foto. Alguien debe decidir qué corregir, contratar apoyo y repetir la medición. Evita cuestionarios que piden secretos o detalles técnicos innecesarios. No compartas contraseñas, llaves, direcciones internas o listas de clientes. Si contratas apoyo por un resultado, pide alcance, entregables, fechas y cómo demostrarán que una corrección funciona.

Qué debe lograr el primer mes

No compres diez productos. Identifica sistemas importantes, confirma responsables, prueba un respaldo, cierra cuentas antiguas y activa doble factor en accesos críticos. Crea la agenda mensual y un teléfono de escalamiento. Al final, dirección debe saber qué puede detener el negocio y qué se hará primero. Nombrar a una persona no resuelve la seguridad. Crea el punto de coordinación que permite resolverla de forma constante y comprobar avances cada mes.