El ordenador deja de abrir los archivos de clientes, una cuenta de correo parece comprometida o aparece una transferencia que nadie reconoce. En un negocio pequeño, el primer problema es saber a quién llamar. Un ciberseguro debe revisarse tanto por la ayuda que activa como por las pérdidas que puede cubrir.
Esta guía te ayuda a comparar una propuesta y a ordenar la comunicación inicial de un incidente. No necesitas vender por internet para tener exposición digital: basta con depender de correo, programas, archivos o servicios en la nube. La protección concreta depende de la actividad y los sistemas aceptados en el contrato.
Qué protege un ciberseguro para un pequeño negocio
Separa recuperación de datos y sistemas, responsabilidad frente a terceros e interrupción del negocio. Comprueba la garantía de cada perjuicio y sus límites: recuperar archivos y compensar una paralización no son una única prestación.
Para comparar, pide que la propuesta separe estos apartados:
- Respuesta técnica: investigación, contención y recuperación de sistemas y datos.
- Gastos de gestión: asesoramiento y comunicaciones que puedan necesitarse por el incidente.
- Responsabilidad frente a terceros: defensa e indemnizaciones por reclamaciones comprendidas en la garantía.
- Interrupción: pérdidas económicas según el hecho cubierto y la modalidad contratada.
- Fraude: supuestos concretos de movimientos de fondos o engaños que admita la póliza.
Un límite general elevado no explica por sí solo cuánto queda disponible para cada apartado. Pide los sublímites, las franquicias y si ciertos gastos consumen el capital compartido de otras coberturas.
Asistencia informática y ciberseguro no son equivalentes
Que un servicio ayude con una aplicación o un equipo no demuestra que incluya peritación del ataque, reclamaciones de clientes o pérdidas del negocio. Del mismo modo, contratar un ciberseguro no sustituye el mantenimiento de sistemas ni garantiza recuperar cualquier archivo.
Haz una comprobación práctica: «Si mañana no puedo acceder al programa de facturación, ¿a qué canal llamo, quién determina lo ocurrido y qué gastos se estudian?». Solicita también si puedes utilizar tu proveedor habitual y qué intervenciones necesitan coordinación o autorización.
Pide la documentación vigente de prevención y respuesta a incidentes y comprueba los requisitos de seguridad exigidos. Anota servicios incluidos, activación y autorizaciones; una oferta o guía antigua puede no coincidir con la propuesta actual.
Phishing y pagos fraudulentos: pregunta por el supuesto exacto
El phishing utiliza mensajes o páginas que imitan a interlocutores de confianza. Puede intentar obtener contraseñas o inducir a un pago. La actualización citada anuncia una cobertura de phishing, pero esa mención no permite concluir que cualquier transferencia derivada de un engaño vaya a indemnizarse.
Describe a la compañía casos distintos y pide su tratamiento: una cuenta intervenida, una transferencia no autorizada y una orden de pago que una persona ejecutó engañada por un supuesto proveedor. Pregunta por exclusiones, verificación de pagos, límites y documentación exigida, sin dar por equivalentes situaciones técnicamente diferentes.
Como prevención cotidiana, confirma los cambios de cuenta por un canal conocido e independiente del correo que los solicita. Si ya ha salido dinero, contacta cuanto antes con tu banco para comunicar el fraude y conocer las medidas disponibles, sin esperar a que el seguro determine la cobertura.
Qué hacer si detectas un incidente
- Detén la actividad sospechosa y activa el protocolo. Contacta con el responsable técnico y el canal de incidentes del seguro desde un medio que consideréis seguro.
- Coordina la contención. Si hay sospecha de infección, el equipo técnico debe aislar los sistemas afectados para limitar la propagación. Evita improvisar una restauración o conectar copias al equipo comprometido.
- Registra lo que conoces. Hora de detección, síntomas, equipos, usuarios y acciones realizadas. Conserva mensajes y avisos sin reenviar archivos sospechosos de forma indiscriminada.
- Preserva las evidencias. Consulta antes de borrar, formatear o alterar los sistemas; el equipo de respuesta debe coordinar investigación y recuperación.
- Comunica efectos relevantes. Datos posiblemente afectados, pagos y servicios interrumpidos. Actualiza la información si cambia el alcance.
La guía de ransomware de INCIBE desarrolla aislamiento, recuperación y planificación de la respuesta. No necesitas ejecutar por tu cuenta operaciones forenses para avisar. El orden de las actuaciones técnicas debe decidirlo personal preparado según el incidente.
Ransomware: pedir ayuda no equivale a pagar un rescate
Si te exigen dinero para recuperar archivos, INCIBE recomienda no pagar el rescate: hacerlo no garantiza recuperar la información. No interpretes una garantía denominada «extorsión» como una instrucción de pago ni como promesa de reembolso de cualquier cantidad.
Puedes acudir al 017, servicio gratuito y confidencial de ayuda en ciberseguridad de INCIBE, dirigido también a empresas y profesionales. Su orientación es diferente de la comunicación a tu aseguradora o de una denuncia; pregunta por cada actuación que corresponda sin dar una por cumplida al realizar otra.
Si hay datos de clientes, revisa las obligaciones de privacidad
No todo incidente informático es una brecha de datos personales, y no todas las brechas requieren la misma comunicación. La AEPD explica cuándo notificar a la autoridad de control: debe valorarse el riesgo para los derechos y libertades de las personas. Cuando procede, el plazo es de 72 horas desde que se tiene constancia de la brecha.
Si el riesgo es alto, puede ser necesaria además la comunicación a las personas afectadas. Incluso cuando no proceda notificar a la autoridad, la brecha debe documentarse. Coordina la evaluación con el responsable de protección de datos o el asesoramiento que corresponda; avisar al seguro no cumple por sí solo esas obligaciones.
Qué preparar antes de contratar
Un presupuesto útil necesita describir cómo trabajas, además de la facturación. Contesta con datos reales y aclara las preguntas que no entiendas:
- Actividad, personas que acceden a los sistemas y servicios digitales esenciales.
- Tipos de datos tratados y proveedores que los alojan o gestionan.
- Equipos, cuentas, aplicaciones y servicios que la propuesta considera asegurados.
- Copias de seguridad y pruebas realizadas para comprobar su recuperación.
- Control de accesos, autenticación y mantenimiento exigidos por el contrato.
- Incidentes conocidos y circunstancias preguntadas en la solicitud.
Pide que identifiquen qué medidas son requisitos, cómo acreditarlas y qué cambios debes comunicar. No marques una respuesta afirmativa porque la medida «se hará después». Si trabajas con proveedores externos, confirma cómo trata la póliza los incidentes originados en sus servicios.
Interrupción del negocio: el tiempo caído no basta para calcular
Necesitas documentar qué servicios fallaron, cuánto duró el efecto y qué ingresos o gastos se vieron afectados. Pregunta por periodo máximo, espera o franquicia, límite y fórmula económica. No multipliques todas las horas de caída por la facturación media como si fuera una indemnización pactada.
La actualización oficial citada presenta la pérdida de beneficio bruto y gastos generales permanentes como garantías que pueden incorporarse de forma opcional. Comprueba su inclusión. Para distinguir protección de actividad y reclamaciones de terceros, puedes consultar también la guía de responsabilidad civil para autónomos.
Si el parón se debe a daños en el local, consulta la guía de pérdida de beneficios en el seguro de comercio. No traslades sus causas cubiertas a una interrupción informática sin comprobar qué contrato corresponde.
Preguntas frecuentes
¿Sirve si no tengo tienda online?
La necesidad no depende solo de vender en una web. Revisa qué ocurriría sin correo, agenda, archivos o programa de gestión y solicita una propuesta para tu actividad.
¿Cubre automáticamente multas o cualquier dinero perdido?
No lo presupongas. Identifica el concepto, si es asegurable y está incluido, sus límites y exclusiones. Defensa, gastos de comunicación, sanciones e indemnizaciones no son lo mismo.
¿Puedo contratar después de descubrir el ataque?
No des por cubierto un incidente ya conocido por emitir una póliza nueva. Comunica la situación real al solicitarla y pide su alcance por escrito.
¿Tener copia de seguridad hace innecesaria la revisión?
No resuelve por sí sola todas las consecuencias. Además de probar la recuperación, revisa posibles accesos a datos, reclamaciones y efectos en la actividad.