Noviembre es el mes en que muchas empresas cierran números y planean el siguiente año. Se discute cuánto invertir en ventas, en personal, en equipo y en crecimiento. Y casi siempre, el presupuesto de ciberseguridad aparece al final de la lista, como una cifra que se copia del año anterior o como una partida para “lo que se ofrezca”.
En OCD Tech México vemos dos extremos igual de costosos: empresas que no destinan nada hasta que tienen un incidente, y empresas que compran herramientas caras que nadie configura ni revisa. La buena noticia es que no se necesita un presupuesto enorme para avanzar mucho. Se necesita un presupuesto pensado.
Empieza por los riesgos, no por las herramientas
El error más común es arrancar con una lista de productos: un antivirus nuevo, un firewall más grande, una plataforma que vio alguien en una presentación. Antes de eso, la dirección debería poder contestar tres preguntas:
- ¿Qué es lo que no podemos perder? Información de clientes, facturación, la operación de la tienda en línea, la nómina.
- ¿Qué nos podría detener? Un ransomware, un fraude por correo, la caída de un proveedor clave, una falla de respaldos.
- ¿Qué nos están pidiendo? Clientes que solicitan SOC 2 o ISO 27001, bancos que piden PCI DSS, obligaciones de la LFPDPPP.
Con esas respuestas, el presupuesto deja de ser una lista de compras y se convierte en un plan para reducir riesgos concretos.
Lo que ya pagaste y no estás usando
Antes de agregar gastos, revisa lo que ya tienes. Es muy común que las licencias de correo, de nube o de antivirus incluyan funciones de seguridad que nunca se activaron: verificación en dos pasos, alertas de inicio de sesión sospechoso, protección contra borrado de respaldos o políticas para bloquear el reenvío externo.
Activar y configurar bien lo que ya pagas suele ser la inversión con mejor retorno de todo el año, porque el costo es tiempo, no licencias nuevas.
Las 6 partidas que no deberían faltar
1. Higiene básica
Verificación en dos pasos en todos lados, actualizaciones al día, un buen antivirus o protección de equipos y control de quién tiene acceso a qué. Es la base sin la cual lo demás pierde valor.
2. Respaldos que se prueban
Almacenamiento para cumplir la regla 3-2-1 y tiempo del equipo para probar restauraciones al menos cada trimestre.
3. Personas
Concientización de seguridad durante todo el año, no una sola plática. Incluye sesiones cortas, simulaciones de phishing y la inducción del personal nuevo.
4. Saber dónde estás
Una evaluación de riesgos o una prueba de penetración al año te dice qué está abierto y en qué orden cerrarlo. Sin esta partida, el resto del presupuesto se asigna a ciegas.
5. Preparación para incidentes
Un plan de respuesta escrito, un simulacro anual y, si aplica, un seguro de riesgos cibernéticos. También conviene reservar una cantidad para atender un incidente sin tener que improvisar el dinero.
6. Cumplimiento y liderazgo
Si tus clientes piden SOC 2, ISO 27001 o PCI DSS, inclúyelo con tiempo: estos proyectos tienen etapas de preparación que no se resuelven en un mes. Y alguien tiene que dirigir todo esto, ya sea una persona interna o un vCISO.
Recurrente o de una vez: no los mezcles
Una parte del presupuesto es recurrente: licencias, almacenamiento de respaldos, concientización y acompañamiento mensual. Otra es de proyecto: una prueba de penetración, la preparación para una certificación o la renovación de equipos. Separarlas ayuda a que la dirección entienda qué se queda fijo cada año y qué es una inversión puntual que no se repetirá igual.
Repártelo en el año
No todo tiene que pasar en enero. Una distribución sencilla puede verse así:
- Primer trimestre: evaluación de riesgos o prueba de penetración, para definir prioridades.
- Segundo trimestre: correcciones de lo que salió en la evaluación y simulacro de respuesta.
- Tercer trimestre: avance en cumplimiento y revisión de proveedores.
- Cuarto trimestre: preparación para la temporada alta, revisión de resultados y planeación del siguiente año.
A lo largo de todo el año: concientización, pruebas de respaldos y revisión de accesos.
Si el presupuesto es muy limitado
No todas las MiPyMEs pueden cubrir las seis partidas el mismo año, y está bien. Si hay que priorizar, este es el orden que solemos recomendar, porque cada paso reduce mucho riesgo con relativamente poca inversión:
- Verificación en dos pasos en correo, banca y sistemas críticos, usando lo que ya incluyen tus licencias.
- Respaldos con al menos una copia fuera de la red, y una prueba de restauración.
- Una sesión de concientización para todo el equipo sobre fraudes por correo y teléfono.
- Una regla escrita para validar pagos y cambios de cuenta por un segundo canal.
- Una evaluación de riesgos para decidir con datos qué sigue.
Con estos cinco pasos, una empresa pequeña ya está mejor protegida que muchas con presupuestos más grandes pero mal distribuidos.
Cómo presentarlo a la dirección
Un presupuesto de seguridad se aprueba más fácil cuando se explica en el idioma del negocio. En lugar de hablar de herramientas, habla de lo que protegen:
- “Con esta partida reducimos el riesgo de que un fraude por correo nos cueste una transferencia.”
- “Con esta evaluación sabremos en qué invertir el resto del año.”
- “Con este proyecto podremos responder el cuestionario de seguridad de nuestro cliente más grande.”
Acompáñalo de dos o tres indicadores que se puedan revisar cada trimestre: porcentaje de usuarios con verificación en dos pasos, pruebas de restauración exitosas, hallazgos críticos cerrados.
Errores que hacen que el dinero no rinda
- Comprar una herramienta sin asignar a alguien que la configure y revise sus alertas.
- Poner todo en un solo proyecto grande y dejar en cero las partidas de personas y respaldos.
- Olvidar las renovaciones de licencias que ya se tienen.
- No reservar nada para responder a un incidente.
- Decidir sin una evaluación previa, basándose solo en lo que hizo otra empresa.
Un presupuesto de ciberseguridad que sea plan, no lista de compras
Un buen presupuesto de ciberseguridad no es el más grande, es el que sabe exactamente qué riesgo reduce cada peso. Y armarlo en noviembre te da la ventaja de arrancar enero con prioridades claras en lugar de reaccionar al primer susto del año.
En OCD Tech México ayudamos a las empresas a definir y priorizar su inversión en seguridad como parte de nuestro servicio de vCISO: partimos de una evaluación de riesgos, armamos la hoja de ruta del año y acompañamos su ejecución.
Si estás armando tu presupuesto 2027 y no sabes cuánto destinar a ciberseguridad ni en qué, platiquemos.
Conoce nuestro servicio de vCISO: https://ocd-tech.com.mx/2022/09/asesoriati/
Leave a Reply
Your email is safe with us.