Cada 39 segundos ocurre un ciberataque en el mundo. En Perú, los reportes de incidentes de seguridad se han triplicado desde 2020, y las PYMES son el blanco preferido — precisamente porque muchas creen que “somos muy pequeños para que nos ataquen”. La realidad es que los atacantes buscan el camino de menor resistencia, y una PYME sin controles de seguridad es exactamente eso.
Esta guía presenta las medidas esenciales de seguridad de datos que toda empresa peruana debería implementar, organizadas por prioridad y presupuesto.
Anatomía de una Brecha de Datos
Cómo Ocurren las Brechas
flowchart TB
A[Vectores de Ataque<br/>Más Comunes] --> B[Phishing<br/>43% de brechas]
A --> C[Credenciales robadas<br/>25% de brechas]
A --> D[Vulnerabilidades<br/>sin parchear 15%]
A --> E[Error humano<br/>interno 12%]
A --> F[Dispositivo perdido<br/>o robado 5%]
B --> G[Acceso a sistemas<br/>internos]
C --> G
D --> G
G --> H[Robo o cifrado<br/>de datos]
H --> I[Impacto: multas<br/>+ daño reputacional<br/>+ pérdida de clientes]
Costos de una Brecha en Perú
| Concepto |
Costo Estimado |
| Investigación forense |
USD 5,000-20,000 |
| Recuperación de sistemas |
USD 10,000-50,000 |
| Notificación a afectados |
USD 2,000-10,000 |
| Multas regulatorias (Ley 29733) |
Hasta 100 UIT (S/ 515,000) |
| Pérdida de clientes (15-25%) |
Variable — potencialmente catastrófica |
| Daño reputacional |
Incalculable |
| Total típico PYME |
USD 50,000-200,000 |
Las 5 Capas de Seguridad de Datos
Marco de Defensa en Profundidad
| Capa |
Qué Protege |
Herramientas |
Prioridad |
| 1. Control de acceso |
Quién entra a los sistemas |
MFA, RBAC, Single Sign-On |
Crítica |
| 2. Cifrado |
Datos en reposo y tránsito |
BitLocker, TLS, VPN |
Crítica |
| 3. DLP |
Datos que salen de la empresa |
DLP policies, email filters |
Alta |
| 4. Backup |
Recuperación ante desastres |
Cloud backup, 3-2-1 rule |
Crítica |
| 5. Monitoreo |
Detección de amenazas |
Antivirus, SIEM, logs |
Alta |
Capa 1: Control de Acceso
| Control |
Descripción |
Costo |
Impacto |
| MFA (Multi-Factor Authentication) |
Segundo factor para login (SMS, app, biometría) |
S/ 0-5/usuario/mes |
Bloquea 99% de ataques de credenciales |
| RBAC (Role-Based Access) |
Permisos por rol, no por persona |
S/ 0 (configuración) |
Solo ves lo que necesitas |
| Política de contraseñas |
Mínimo 12 caracteres, no reutilizar |
S/ 0 |
Reduce contraseñas débiles |
| Gestión de ex-empleados |
Desactivar accesos el mismo día de la baja |
S/ 0 (proceso) |
Elimina riesgo de acceso no autorizado |
| SSO (Single Sign-On) |
Un login para todos los sistemas |
S/ 5-15/usuario/mes |
Menos contraseñas, más control |
Capa 2: Cifrado
| Qué Cifrar |
Herramienta |
Costo |
Prioridad |
| Disco de laptops |
BitLocker (Windows) / FileVault (Mac) |
S/ 0 |
Crítica |
| Tráfico web |
HTTPS/TLS en todos los sitios |
S/ 0 (Let’s Encrypt) |
Crítica |
| Emails sensibles |
TLS automático (Gmail, M365) |
Incluido |
Alta |
| Bases de datos |
Transparent Data Encryption (TDE) |
Incluido en la mayoría |
Alta |
| Backups |
Cifrado AES-256 |
Incluido en software |
Alta |
| VPN para acceso remoto |
OpenVPN, WireGuard |
S/ 0-500/mes |
Alta |
Capa 3: DLP (Data Loss Prevention)
| Regla DLP |
Qué Detecta |
Acción |
| DNI/RUC en emails salientes |
Datos personales enviados fuera |
Alerta + bloqueo |
| Archivos confidenciales en USB |
Copia no autorizada |
Bloqueo |
| Documentos sensibles en cloud personal |
Fuga a Dropbox/Drive personal |
Alerta |
| Adjuntos grandes a emails externos |
Posible exfiltración |
Revisión |
Cumplimiento: Ley 29733
Requisitos de Seguridad
| Requisito |
Medida de Seguridad |
Evidencia |
| Confidencialidad |
Control de acceso, cifrado |
Políticas, logs de acceso |
| Integridad |
Checksums, control de versiones |
Registros de cambios |
| Disponibilidad |
Backups, redundancia, DRP |
Plan de continuidad |
| Consentimiento documentado |
Formularios firmados/digitales |
Registro de consentimientos |
| Registro de bancos de datos |
Inscripción ante ANPDP |
Constancia de registro |
| Notificación de brechas |
Plan de respuesta a incidentes |
Procedimiento documentado |
Plan de Implementación por Presupuesto
Presupuesto Mínimo (< S/ 500/mes)
| Acción |
Costo |
Semana |
| Activar MFA en todos los sistemas |
S/ 0 |
1 |
| Activar cifrado de disco en todas las laptops |
S/ 0 |
1 |
| Política de contraseñas + gestión de accesos |
S/ 0 |
2 |
| Backup cloud automático (Google Drive/OneDrive) |
S/ 0-100/mes |
2 |
| Antivirus empresarial |
S/ 150-450/mes |
3 |
| Capacitación básica de seguridad al equipo |
S/ 0 (videos gratuitos) |
4 |
Presupuesto Estándar (S/ 1,000-3,000/mes)
Todo lo anterior más:
| Acción |
Costo |
Semana |
| VPN para acceso remoto |
S/ 200-500/mes |
1-2 |
| DLP básico (M365 / Workspace) |
Incluido en plan enterprise |
3-4 |
| Monitoreo de logs y alertas |
S/ 300-800/mes |
4-6 |
| Capacitación profesional anti-phishing |
S/ 2,000-5,000/año |
6-8 |
| Pen-test anual |
S/ 5,000-15,000/año |
8-12 |
Conclusión
La seguridad de datos no es un proyecto de TI — es una responsabilidad de toda la empresa. Las medidas más efectivas (MFA, cifrado de disco, backups, capacitación) son las más baratas de implementar. No esperes a sufrir una brecha para actuar: el costo de la prevención es una fracción del costo de la recuperación.
¿Necesitas proteger los documentos de tu empresa? En AyP Digital implementamos soluciones de gestión documental con controles de acceso, cifrado y auditoría. Contáctanos.
