Riesgos Cibernéticos · Sancor Seguros · Funciona como una primera auditoría de tu pyme

Las 13 cosas que te piden para asegurarte, y cómo cumplir cada una

El reasegurador del seguro de ciberseguridad, o seguro cibernético, pide todas las respuestas en SI. Cada pregunta es un control contra una forma real de ataque: acá está qué significa, por qué la piden, con el dato y la fuente, y cómo cumplirla paso a paso en Mac, Windows, el router, Google Workspace y Microsoft 365. Son 13 controles: los 8 del formulario corto y 5 más del largo. La mayoría no cuesta nada: cuesta ordenarse.

Pedir mi cotización ahora

›Por Marcos Farello · Productor Asesor de Seguros · Mat. SSN N° 71141 · Actualizado el

› Cada dato con su fuente › Rutas de menú de la ayuda oficial › Un modelo de política para copiar

Empezá por el chequeo. El chequeo de ciberseguridad de la página del seguro te hace las mismas preguntas del formulario de Sancor y te marca cuáles te quedan en NO, con el enlace directo a la sección de esta guía que la resuelve. Es sin costo y sin registro. Después, si querés, mandás desde ahí el pedido de cotización formal.

Respondé SI sólo si hoy lo hacés. El formulario es una declaración jurada: lo firma alguien de la empresa, con su cargo y la fecha, debajo de la frase Declaro que todas las declaraciones incluidas en el presente formulario son verdaderas. Y la Ley de Seguros (Ley 17.418, art. 5) dice: «Toda declaración falsa o toda reticencia de circunstancias conocidas por el asegurado, aun hechas de buena fe, que a juicio de peritos hubiese impedido el contrato o modificado sus condiciones si el asegurador hubiese sido cerciorado del verdadero estado del riesgo, hace nulo el contrato». Si algo todavía no está, hacelo primero y contestás después, o mandá el pedido con ese NO: a nosotros nos pasó con las contraseñas, y lo contamos en la pregunta 6.

El índice

Nueve preguntas para todas las pymes, cinco más para tres rubros

El formulario corto tiene 9 preguntas: la primera define el rubro y las otras 8 son controles. Si la empresa es una institución financiera, de tecnología o manufacturera, pasa al formulario largo, que suma 5 controles. Por eso hablamos de 13 controles: 8 del corto más 5 del largo. El formulario largo de Sancor tiene 13 preguntas; en nuestra web ves 14 porque la primera es la del rubro. La numeración es la de nuestra web; la de Sancor en el largo es otra.

El formulario como auditoría

Por qué el reasegurador pregunta justo esto

Quien paga los siniestros es quien más sabe cómo ocurren. Cada pregunta apunta a una puerta de entrada medida en los informes de incidentes. Cuatro datos para dimensionarlo:

88 %de las brechas en pymes incluyó ransomware, contra 39 % en las grandes organizaciones.Verizon DBIR 2025, informe para pymes
31 %de las brechas empezó explotando una vulnerabilidad: por primera vez en 19 años, la puerta de entrada número uno.Verizon DBIR 2026
+ de la mitadde los incidentes de ransomware atendidos entró por un acceso remoto comprometido.Coveware, 3.er trimestre de 2025
99,9 %de los ataques de identidad comunes se frenan con segundo factor y bloqueando la autenticación heredada.Microsoft Learn, Security defaults, consultado el 19/10/2026

Por eso decimos que el formulario funciona como una primera auditoría de ciberseguridad de una pyme. Ningún control evita un ataque: reduce el riesgo. Y cumplirlos tampoco te asegura solo: la contratación, el precio y las condiciones las decide Sancor con su reasegurador. Lo que el seguro cubre y lo que no, explicado con la cotización real, está en qué cubre y qué no.

Una por una

Las preguntas, con su paso a paso

Cada tarjeta trae la pregunta como la escribe Sancor, qué significa, por qué la pide el reasegurador y, plegado, cómo cumplirla. Las rutas de menú son las de la ayuda oficial de cada fabricante al 19/10/2026; los nombres cambian seguido, así que cada paso lleva el enlace a la fuente.

P1

El rubro: financiera, tecnología o manufactura

La actividad de la compañía encuadra en alguno de los siguientes rubros: Instituciones Financieras (Bancos, Cooperativas de Crédito, Compañías de Seguros, Procesadores de Pagos, Fintech y Bolsa de Valores), Tecnología, Industria manufacturera.Formulario de Riesgos Cibernéticos de Sancor, pregunta 1.

No es un control: es la puerta al formulario largo. Si respondés SI, en lugar de los 8 controles del corto contestás el largo, que tiene 13 preguntas de Sancor: repite esos 8 controles y suma cinco: filtro web, filtro de correo, contraseñas complejas, 2FA en las cuentas de administración y concientización y phishing. Una consultora de software, un taller metalúrgico o una cooperativa de crédito pueden caer en el largo, según cómo encuadre tu actividad; si dudás, lo consultamos con Sancor.

Costo: ninguno
P2

Firewall que proteja la red interna

La empresa cuenta con un firewall para proteger la red interna de las amenazas de Internet.Formulario de Sancor, pregunta 2 del corto y 1 del largo.
Qué significa

El firewall es el portero: decide qué conexiones pueden entrar a la red de la oficina y a cada computadora. La regla de oro es que nada de adentro quede accesible desde Internet salvo lo estrictamente necesario. Hay dos capas y conviene tener las dos: el firewall del router y el de cada computadora.

Por qué lo pide el reasegurador

Routers, firewalls y VPN son hoy una de las puertas favoritas: en el informe de Verizon de 2025 pasaron a ser el 22 % de los ataques que explotan vulnerabilidades (eran el 3 %), y sólo cerca del 54 % de esas fallas se corrigió en el año, con una mediana de 32 días (Verizon DBIR 2025 para pymes). La agencia de ciberseguridad de Estados Unidos (CISA) advierte que algunas funciones del firewall del router pueden venir apagadas de fábrica (CISA).

Cómo cumplirlo, paso a paso

El router (recomendaciones de CISA)

  1. Entrá a la página de administración del router; la dirección suele estar en la etiqueta del equipo.
  2. Cambiá la contraseña de administrador de fábrica.
  3. Buscá la sección de firewall o seguridad y confirmá que esté activada.
  4. Apagá UPnP, salvo una necesidad concreta: el malware que ya está adentro puede usarlo para abrir puertos y saltarse el firewall.
  5. Apagá la administración remota del router (el panel accesible desde Internet).
  6. Revisá el reenvío de puertos («port forwarding», «servidor virtual», «DMZ») y borrá todo lo que no tenga dueño y motivo: cada regla es una puerta abierta.
  7. Wi-Fi con WPA3 (o WPA2 si el equipo no admite WPA3) y firmware actualizado.

Fuente: CISA, Home Network Security. Si el router lo administra tu proveedor de Internet y no te deja ver esas opciones, pedíselo por escrito.

Mac

Menú Apple › Ajustes del Sistema › Red › Firewall › activarlo. El botón Opciones queda deshabilitado hasta que se enciende (ayuda de Apple).

Windows 11

App Seguridad de Windows › Firewall y protección de red › elegí el perfil activo (Dominio, Privada o Pública) › Firewall de Microsoft Defender: Activado. Si el equipo lo administra una política de la empresa, puede estar bloqueado (ayuda de Microsoft).

Respondé SI cuando: el firewall del router está activo, sin reenvíos de puertos innecesarios, con UPnP apagado y firmware al día, y el firewall de cada computadora está encendido. Un firewall dedicado de marca suma, pero no es necesario para responder SI.
Costo: sin costo con el router y el sistema que ya tenés
P3

Antivirus en computadoras y laptops

Las computadoras y laptops de la empresa tienen instalado software antivirus.Formulario de Sancor, pregunta 3 del corto y 4 del largo.
Qué significa

Un programa que revisa archivos y programas y bloquea los que reconoce como maliciosos. Es la primera barrera contra el malware conocido y el ransomware. Hoy el antivirus «de firmas» ya no frena todo (para eso existe el EDR, detección y respuesta en el equipo; ver el glosario), pero sigue siendo el piso.

Por qué lo pide el reasegurador

CISA pone la protección de cada equipo entre las medidas básicas contra el ransomware y recomienda sumar controles de ejecución de aplicaciones o EDR en todos los equipos (guía #StopRansomware). En pymes, el ransomware estuvo en el 88 % de las brechas (Verizon DBIR 2025).

Cómo cumplirlo, paso a paso

Windows 11

Ya trae Microsoft Defender Antivirus, activo de fábrica; si instalás otro antivirus, Defender se apaga solo y vuelve si el otro vence o se desinstala. Para comprobarlo: Seguridad de Windows › Protección antivirus y contra amenazas › Administrar proveedores: tiene que figurar un antivirus activado (Microsoft Learn). La protección en tiempo real se maneja en Protección antivirus y contra amenazas › Administrar la configuración (ayuda de Microsoft).

Mac

macOS trae XProtect, que Apple describe como tecnología antivirus integrada basada en firmas: revisa las apps al abrirlas por primera vez y cuando cambian, bloquea el malware conocido y avisa; las firmas se actualizan solas (Apple Platform Security).

Lo que todavía no sabemos

Si Sancor acepta los antivirus integrados (Defender en Windows, XProtect en Mac) como «software antivirus» es una consulta que tenemos pendiente. Mientras tanto, para las Mac conviene sumar un producto aparte, por ejemplo Microsoft Defender para Mac, que existe dentro de los planes de Defender para empresas (Microsoft Learn).

Respondé SI cuando: cada computadora y laptop de la empresa tiene un antivirus activo y actualizado. Si en tu empresa hay Mac, contanos qué usan y lo vemos con Sancor.
Costo: sin costo con Defender y XProtect; un producto aparte, según el proveedor
P4

Actualización semanal del sistema y las aplicaciones

Se actualizan semanalmente el Sistema Operativo y las aplicaciones de las computadoras y laptops de la empresa.Formulario de Sancor, pregunta 4 del corto y 5 del largo.
Qué significa

Cada semana, instalar las actualizaciones pendientes del sistema (Windows o macOS) y de los programas (navegador, Office, lector de PDF, videollamadas). La palabra clave es semanal: el reasegurador quiere un ritmo, no «cuando salga».

Por qué lo pide el reasegurador

Explotar fallas conocidas pasó a ser la puerta de entrada número uno: el 31 % de las brechas del informe de Verizon de 2026, por primera vez en 19 años (Verizon DBIR 2026). Una actualización pendiente es una puerta que el atacante ya conoce.

Cómo cumplirlo, paso a paso

Mac

Menú Apple › Ajustes del Sistema › General › Actualización de software › botón (i) junto a «Actualizaciones automáticas» › activá descargar nuevas actualizaciones, instalar actualizaciones de macOS e instalar respuestas de seguridad y archivos del sistema › Listo. En las portátiles, con el cargador enchufado. Las apps de la App Store se actualizan desde la App Store (ayuda de Apple).

Windows 11

Configuración › Windows Update › Buscar actualizaciones. Windows 11 descarga e instala las actualizaciones solo; podés programar el reinicio y fijar horas activas (ayuda de Microsoft).

Cómo demostrar que es semanal

  1. Actualizaciones automáticas activadas en cada equipo.
  2. Un recordatorio fijo en el calendario, por ejemplo los lunes a las 9: «revisar actualizaciones pendientes y reiniciar».
  3. Una captura mensual del historial de actualizaciones (en Windows: Windows Update › Historial de actualizaciones).

El router y los equipos de red también se actualizan: son los dispositivos de borde que señalan Verizon y CISA.

Respondé SI cuando: las actualizaciones automáticas están activas y hay un momento fijo por semana para revisar lo pendiente y reiniciar.
Costo: sin costo; un rato por semana
P5

Copias de seguridad de los datos importantes

La empresa realiza copias de seguridad de los datos importantes para el negocio.Formulario de Sancor, pregunta 5 del corto y 6 del largo.
Qué significa

Una copia aparte, que sobrevive si el original se pierde, se borra o se cifra. Si hay ransomware, la copia es la diferencia entre restaurar y pagar o cerrar. Y una copia que nunca se probó es una esperanza, no una copia.

Por qué lo pide el reasegurador

CISA lo dice así: mantener copias cifradas y fuera de línea de los datos críticos y probarlas con regularidad, porque muchas variantes de ransomware buscan las copias accesibles para borrarlas o cifrarlas (guía #StopRansomware).

Por qué tener todo en la nube no es tener una copia
  • Sincronizar no es copiar: si se borra o se cifra un archivo en la computadora, la sincronización lleva el borrado a la nube. La restauración de OneDrive existe justamente para eso, y retrocede 30 días (Microsoft (consultado el 19/10/2026)).
  • Microsoft lo recomienda en su contrato: hacer copias de seguridad periódicas del contenido que guardás en sus servicios (Contrato de Servicios de Microsoft, sección 6.b (consultado el 19/10/2026)). La papelera de SharePoint conserva lo borrado 93 días (Microsoft (consultado el 19/10/2026)).
  • Google Vault no es una copia: Google lo define como un servicio de retención y búsqueda, y aclara que Vault no es un archivo de datos (Google Workspace).
  • Exportar no es restaurar: la exportación de datos de Google Workspace normalmente tarda 72 horas y puede tardar hasta 14 días (Google Workspace (consultado el 19/10/2026)). Volver a operar «desde Google» después de un desastre puede llevar semanas.
Cómo cumplirlo, paso a paso
  1. La lista de lo importante: facturación o sistema de gestión, planillas, contratos, correo, planos, bases de datos. Pregunta guía: si esto se pierde, se puede seguir trabajando.
  2. Copia 1, local y automática. En Mac, Time Machine: conectá un disco externo › Menú Apple › Ajustes del Sistema › General › Time Machine › Agregar disco de copia. Hace copias horarias, diarias y semanales solas (ayuda de Apple). En Windows, con el programa de copias que uses o el del fabricante del disco.
  3. Copia 2, fuera de la oficina: un servicio de copias en la nube. Como referencia de precio, Backblaze Personal Backup cuesta USD 9 por mes por computadora, o USD 8,25 por mes pagando el año (Backblaze, sin impuestos, consultado el 19/10/2026).
  4. Copia 3, fuera de línea, la que el ransomware no ve: un disco que se desconecta después de copiar, o dos discos que se rotan por semana y uno vive en otro lugar. Un disco siempre enchufado se puede cifrar junto con la computadora.
  5. Si el correo y los archivos viven sólo en Google Workspace o Microsoft 365, sumá una copia de esas cuentas con un servicio aparte.
  6. Probá la restauración una vez por trimestre: restaurá un archivo y una carpeta en otra computadora y anotá la fecha. CISA pide probar las copias.

El tiempo de restauración depende de cuánto pesan tus datos y de dónde está la copia: por eso se prueba antes del problema. Es lo que se suele llamar «regla 3-2-1»: tres copias, en dos soportes distintos, una fuera del lugar.

Respondé SI cuando: lo importante se copia solo, hay al menos una copia fuera de línea o fuera de la oficina, y tenés anotada la fecha de la última restauración de prueba.
Costo: un disco externo y, si querés copia en la nube, desde USD 8,25 por mes por computadora
P6

Cambio de contraseña al menos mensual

La empresa aplica una política de cambio de contraseña al menos mensualmente para sus usuarios.Formulario de Sancor, pregunta 6 del corto y 8 del largo.
Qué significa

Que exista una política: una regla escrita, con un plazo, que se cumple y se puede mostrar. El reasegurador quiere que una contraseña robada deje de servir sola con el tiempo.

A nosotros esta pregunta nos quedó en NO. Sancor nos cotizó igual, el 19/10/2026, pero sujeto a confirmar si aplica una política de cambio de contraseñas de todos los usuarios de la organización, y en caso favorable, indicar el plazo. No nos vendieron un seguro: nos hicieron ordenar la casa.

La tensión, dicha de frente

La guía del NIST dice lo contrario. El NIST es el instituto de estándares de Estados Unidos, y su guía, en la versión final de 2025, establece que no se debe exigir el cambio periódico de contraseñas, sólo cuando hay evidencia de que una fue comprometida; pide mínimo 15 caracteres si la contraseña es el único factor y 8 si va con segundo factor (NIST SP 800-63B-4). Microsoft desaconseja el vencimiento y recomienda 14 caracteres (Microsoft); Google trae el vencimiento apagado y lo sugiere sólo si lo exige el cumplimiento (Google). El FBI, en cambio, todavía sugiere cambiarlas periódicamente (IC3). No hay consenso total.

Cómo la estamos resolviendo nosotros

Lo que Sancor nos pidió confirmar es si aplicamos una política de cambio y con qué plazo. La respuesta que estamos preparando es una política escrita con plazo definido (el modelo de abajo), gestor de contraseñas y 2FA; todavía no la adoptamos ni se la respondimos a Sancor, y cuando esté confirmada lo actualizamos acá. La idea: cambio cada 30 días para cumplir el «al menos mensual», hecho con un gestor de contraseñas que genera claves largas y distintas para cada servicio. Así el cambio mensual no empuja a la clave previsible que critican NIST y Microsoft («Verano2026» que pasa a «Otoño2026»). El segundo factor y el gestor son los controles principales; la rotación es la capa que pide el seguro. Y además del plazo: cambio inmediato ante sospecha, baja de accesos el mismo día que alguien se va, y un registro mensual. Sin registro, no hay política. Abajo está el modelo, para que lo adoptes vos también.

Cómo aplicarlo en Google Workspace y Microsoft 365

Gestor de contraseñas

Por ejemplo Bitwarden: tiene un plan sin costo, y el plan Teams cuesta USD 4 por usuario y por mes pagando el año, con credenciales compartidas y registro de eventos (Bitwarden (consultado el 19/10/2026)). Cargá todas las cuentas de la empresa y generá claves aleatorias de 14 caracteres o más, una por servicio.

Google Workspace

Menú › Seguridad › Autenticación › Administración de contraseñas › elegí la unidad organizativa de nivel superior › marcá exigir contraseña segura › fijá el largo mínimo › en Vencimiento, elegí cuándo vencen › Guardar. El vencimiento sólo se aplica a los inicios de sesión desde el navegador. La ayuda de Google da ejemplos de 90 y 180 días: si tu consola no ofrece 30, el registro mensual de la política es lo que demuestra el plazo (Google Workspace (consultado el 19/10/2026)).

Microsoft 365

Centro de administración de Microsoft 365 › Configuración › Configuración de la organización › Seguridad y privacidad › Política de vencimiento de contraseñas › desmarcá «Establecer que las contraseñas nunca expiren» › en días antes de que expiren poné un número entre 14 y 730 (30 es válido) › Guardar. Hace falta ser administrador de usuarios (Microsoft Learn).

Respondé SI cuando: hay una política escrita con plazo de 30 días, aceptada por los usuarios, y un registro de cada cambio mensual. Si respondés SI de palabra, sin documento ni práctica, no estás cumpliendo.
Costo: sin costo con un gestor gratuito; USD 4 por usuario y mes con Bitwarden Teams
Modelo: Política de contraseñas y accesos (una página)
Pegala en un documento, completá lo que está entre corchetes y hacela firmar.

POLÍTICA DE CONTRASEÑAS Y ACCESOS · [Nombre de la empresa]
Versión [1.0] · Vigente desde [fecha] · Responsable: [nombre y cargo] · Revisión: cada [12] meses o después de un incidente.

1. Alcance. Aplica a todas las personas con acceso a sistemas, cuentas, equipos o datos de la empresa: socios, empleados, pasantes y terceros (contador, proveedores de tecnología, sistema de gestión).

2. Gestor de contraseñas. Toda contraseña de trabajo se guarda en el gestor de contraseñas de la empresa ([nombre del gestor]). No se anotan en papeles, planillas, mails ni chats. Las claves compartidas viven en el gestor, nunca en mensajes.

3. Una clave distinta para cada servicio. Está prohibido reutilizar una contraseña en dos servicios y usar claves de trabajo en servicios personales, o al revés. Está prohibido compartir cuentas personales.

4. Largo y calidad. Mínimo [14] caracteres, generadas por el gestor de forma aleatoria, o frases largas únicas. Se rechazan las contraseñas comunes, previsibles o aparecidas en filtraciones. Se admite pegar desde el gestor.

5. Segundo factor. Obligatorio en: correo y herramientas de oficina ([Google Workspace / Microsoft 365]), acceso remoto y VPN, sistemas de gestión ([sistema]) y todas las cuentas de administración. Método preferido: llave de seguridad; aceptado: aplicación autenticadora. Evitar SMS. Los códigos de verificación no se comparten con nadie, ni con quien diga ser de soporte.

6. Cambio periódico. Las contraseñas se cambian cada [30] días. Al vencer el plazo, cada persona cambia la clave con el gestor y lo deja anotado en el registro mensual. Además, se cambian de inmediato ante cualquier sospecha de compromiso, aviso de actividad sospechosa, pérdida o robo de un equipo o celular, o aviso de filtración.

7. Administradores. Las cuentas de administración son nominales y distintas de la cuenta de uso diario. Existen dos cuentas de emergencia, con claves guardadas fuera de línea. Los códigos de respaldo se guardan en [lugar físico seguro].

8. Altas y bajas. Las cuentas se crean con el mínimo acceso necesario. Cuando una persona se desvincula, el mismo día: se suspenden sus cuentas, se cierran sus sesiones, se retira su segundo factor, se cambian las claves compartidas que conocía, se recupera el equipo y se transfiere la información. Responsable: [nombre].

9. Acceso remoto. Sólo por VPN o servicio de acceso seguro, con segundo factor. Está prohibido exponer el escritorio remoto o los paneles de administración a Internet. Las herramientas de soporte remoto ([AnyDesk / TeamViewer]) se usan con cuenta nominal y segundo factor.

10. Incidentes. Quien sospeche que una cuenta o un equipo fue comprometido avisa de inmediato a [nombre y teléfono]. No se sanciona a quien reporta de buena fe. Teléfono para siniestros cibernéticos: [el 0800 que figura en la póliza].

11. Verificación. El responsable revisa una vez por mes el cumplimiento (cambios hechos, altas y bajas, estado del segundo factor) y lo registra en [planilla o documento].

Firma de aceptación: [nombre, fecha].

Es un modelo técnico, no asesoramiento legal. El cambio cada 30 días está porque el seguro lo exige; NIST SP 800-63B-4 recomienda no exigirlo. Si algún día Sancor lo flexibiliza por escrito, se puede pasar a cambio sólo ante sospecha sin tocar el resto. Podés adoptarlo en tu empresa con total libertad.

P7

Segundo factor en el acceso remoto

Si la empresa cuenta con acceso remoto para sus empleados y terceros, la autenticación para el acceso remoto depende de un segundo factor de autenticación.Formulario de Sancor, pregunta 7 del corto y 11 del largo.
Qué significa

«Acceso remoto» es cualquier forma de entrar a la red o a las computadoras de la empresa desde afuera: VPN, escritorio remoto, AnyDesk, TeamViewer, el sistema de gestión en un servidor propio, el acceso del técnico externo. «Segundo factor» es pedir algo más que la contraseña: un código de una app, una llave física. Si nadie entra desde afuera, la respuesta es «no aplica».

Por qué lo pide el reasegurador

Es la puerta más usada por el ransomware: en el tercer trimestre de 2025, el compromiso de un acceso remoto fue el vector dominante, en más de la mitad de los incidentes (Coveware). CISA: no expongas servicios como el escritorio remoto a la web; si hacen falta, detrás de una VPN con segundo factor (guía #StopRansomware).

Cómo cumplirlo, paso a paso
  1. Inventario: anotá todas las formas de entrar desde afuera, incluidas las de terceros (el proveedor del sistema, el contador, el técnico).
  2. Regla de oro: nunca escritorio remoto abierto a Internet. Si lo usan, sólo por VPN con segundo factor. Revisá el reenvío de puertos del router (pregunta 2) y hacé el autodiagnóstico.
  3. VPN con segundo factor: la del firewall de la empresa, si lo admite, o un servicio de acceso seguro atado a una cuenta de Google o Microsoft que ya tenga segundo factor.
  4. AnyDesk: my.anydesk.com › tu nombre arriba a la derecha › Mi perfil › Autenticación multifactor › Editar › escaneá el código QR con una app autenticadora › ingresá el código › Habilitar. Guardá impresa la clave de recuperación: no se puede recuperar ni reiniciar (ayuda de AnyDesk).
  5. El factor más fuerte posible: las llaves de seguridad y las passkeys (claves sin contraseña) son el método resistente a phishing de amplia disponibilidad; después, una app autenticadora (CISA). El SMS, sólo como último recurso.
  6. Terceros: una cuenta nominal por persona, nunca compartida, con segundo factor y fecha de baja.
Respondé SI cuando: todo acceso desde afuera pide segundo factor y no hay escritorio remoto expuesto a Internet. Si no hay acceso remoto, «no aplica».
Costo: las apps autenticadoras no tienen costo
P8

Segundo factor en Google Workspace, Microsoft 365 y el sistema de gestión

Si la empresa utiliza servicios de colaboración para usuarios como Microsoft Office 365, Google Workspace, SAP/ERP u Oracle, la autenticación del usuario para el uso de servicios colaborativos depende de un segundo factor de autenticación.Formulario de Sancor, pregunta 8 del corto y 12 del largo.
Qué significa

El correo y los sistemas de gestión son la joya: quien entra al mail de un directivo puede pedir transferencias, resetear las contraseñas de todo y llevarse datos. Es el escenario del fraude del CEO. Lo que pide la pregunta es que el segundo factor esté activado y sea obligatorio para todos, no sólo «disponible».

Por qué lo pide el reasegurador

El FBI registró más de 305.000 incidentes de fraude por correo empresarial y USD 55.500 millones de pérdidas expuestas entre 2013 y 2023, y recomienda segundo factor y confirmar por otro canal todo cambio de datos bancarios (IC3, FBI). Microsoft: más del 99,9 % de los ataques de identidad comunes se frenan con segundo factor y bloqueando la autenticación heredada (Microsoft Learn).

Cómo cumplirlo, paso a paso

Google Workspace: obligar la verificación en dos pasos

Menú › Seguridad › Autenticación › Verificación en dos pasos (hace falta ser superadministrador):

  1. Elegí la unidad organizativa de nivel superior, para toda la empresa.
  2. Marcá «Permitir que los usuarios activen la verificación en dos pasos».
  3. En «Aplicación», elegí Activada.
  4. «Período de inscripción de usuarios nuevos»: para una pyme, de 1 día a 1 semana.
  5. En «Métodos», «Cualquiera excepto códigos de verificación por mensaje de texto o llamada» (avisá antes a quien dependa del SMS), o «Sólo llave de seguridad» para los administradores.
  6. Guardar.

Para verificarlo, volvé a la misma pantalla: tiene que decir «Aplicación: Activada» (ayuda de Google Workspace). Google considera las llaves de seguridad la opción más fuerte y el SMS la más débil (Google).

Microsoft 365, opción A (sin costo): valores predeterminados de seguridad

Centro de administración de Microsoft Entra › Entra ID › Información general › Propiedades › Administrar los valores predeterminados de seguridad › Habilitado › Guardar. Activa el segundo factor para todos, lo pide siempre a los administradores y bloquea los protocolos heredados (IMAP, POP3, SMTP básico). Antes de habilitarlo, confirmá que ninguna impresora, escáner o aplicación mande mails con esos protocolos, porque dejan de funcionar (Microsoft Learn).

Microsoft 365, opción B: acceso condicional

Requiere licencia Entra ID P1 o superior. Entra ID › Acceso condicional › Directivas › Nueva directiva › usuarios: todos, excluidas las cuentas de emergencia › recursos: todos › conceder acceso exigiendo autenticación multifactor › primero en «Solo informe» y, revisado el impacto, «Activada» (Microsoft Learn).

SAP, Oracle y otros sistemas de gestión

Lo más simple es entrar con la cuenta de Google o Microsoft (inicio de sesión único), así el segundo factor de esa cuenta cubre el sistema. Si el sistema es de un tercero en la nube, pedile por escrito cómo activar el segundo factor; si es un sistema local sin esa opción, que no quede expuesto a Internet y se entre sólo por VPN con segundo factor (pregunta 7). Guardá la respuesta de cada proveedor: sirve de evidencia ante Sancor.

Respondé SI cuando: el segundo factor está forzado para todos los usuarios del correo y del sistema de gestión. Si la empresa no usa ninguno de esos servicios, «no aplica».
Costo: sin costo en Google y con los valores predeterminados de Microsoft
P9

Sin siniestros ni daños cibernéticos hasta hoy

Confirma que no han sufrido siniestros ni daños cibernéticos a la actualidad.Formulario de Sancor, pregunta 9 del corto y 13 del largo.

No es un control técnico: es una declaración de antecedentes. Cuenta cualquier incidente que haya causado daño o costo: ransomware, mail comprometido, una transferencia por fraude, una filtración de datos, un robo de claves con consecuencias. Esta no se «arregla»: se declara la verdad. Si hubo un incidente, contalo en el espacio para ampliar las respuestas y que Sancor lo evalúe; no respondas SI «porque ya lo resolvimos». Lo que ya conocías antes de contratar, además, está excluido de la póliza (exclusión 3.2, en qué cubre y qué no).

Si no estás seguro, el autodiagnóstico te ayuda a revisar si alguna cuenta de la empresa apareció en una filtración.

Costo: ninguno

Formulario largo

Las cinco que suman las financieras, las tecnológicas y las manufactureras

P10

Filtro web mientras se navega

La empresa cuenta con un sistema para verificar y bloquear amenazas mientras los usuarios navegan por internet.Formulario largo de Sancor, pregunta 2.
Qué significa

Un servicio que mira adónde querés ir y bloquea los sitios conocidos de malware o de phishing antes de que cargue la página. Es la capa que cubre al empleado que, a pesar de todo, hace clic.

Cómo cumplirlo

Filtro DNS sin costo: Cloudflare ofrece resolutores que bloquean malware: primario 1.1.1.2 y secundario 1.0.0.2 (con contenido para adultos además, 1.1.1.3 y 1.0.0.3) (Cloudflare). Se configura en el router, para toda la red, o en la configuración de red de cada equipo.

Es una capa parcial: bloquea dominios, no mira el contenido de cada página. Si Sancor espera un producto específico para responder SI, lo consultamos.

Costo: desde cero con un filtro DNSConsulta pendiente con Sancor
P11

Filtro de correos maliciosos

La empresa cuenta con un sistema para revisar y bloquear correos electrónicos maliciosos.Formulario largo de Sancor, pregunta 3.
Qué significa

Un filtro que revisa los mails antes de que lleguen a la bandeja: spam, phishing, adjuntos con virus, mails que se hacen pasar por un directivo o un proveedor. El correo es la puerta del phishing, del fraude del CEO y del malware.

Cómo cumplirlo

Gmail ya filtra spam, phishing y malware. Reforzalo: Menú › Aplicaciones › Google Workspace › Gmail › Spam, phishing y malware › organización de nivel superior › escaneo mejorado antes de la entrega › Guardar; puede tardar hasta 24 horas en aplicarse (Google Workspace).

Microsoft 365: todas las suscripciones con buzón incluyen Exchange Online Protection (antimalware, antispam, antiphishing). Defender for Office 365 Plan 1, incluido en Business Premium, suma vínculos y adjuntos seguros y protección contra suplantación (Microsoft Learn). Configurar SPF, DKIM y DMARC en el dominio ayuda a detectar mails falsos «desde» tu empresa: son tres registros que se cargan en el DNS del dominio y le dicen al mundo qué servidores pueden mandar mail en tu nombre y cómo tratar los que no. CISA recomienda además desactivar las macros de Office en los adjuntos.

Costo: incluido en Google Workspace y en Microsoft 365
P12

Contraseñas complejas de al menos 7 caracteres

La empresa aplica una política de contraseñas compleja con al menos 7 caracteres para sus usuarios.Formulario largo de Sancor, pregunta 7.
Qué significa

Una regla escrita de cuán larga y difícil de adivinar tiene que ser cada contraseña. El piso de 7 del formulario es bajo: NIST pide mínimo 8 con segundo factor y 15 sin él; Microsoft recomienda 14 (NIST, Microsoft).

Sobre «complejas»: NIST dice que no conviene imponer mezclas de mayúsculas y símbolos, y sí rechazar las contraseñas comunes o filtradas. «Larga, única, generada por un gestor» es más fuerte que «con una mayúscula y un número».

Cómo cumplirlo

Ponelo en la política escrita (el modelo dice mínimo 14, generadas por el gestor y únicas por servicio: cumple y supera el piso de 7) y aplicalo en la plataforma: en Google, Seguridad › Autenticación › Administración de contraseñas, exigir contraseña segura y largo mínimo (Google).

Y en cada notebook, tablet y celular: la pérdida de un equipo sin contraseña ni biometría está excluida de la póliza (exclusión 3.12, en qué cubre y qué no). En Mac, además, activá FileVault y guardá la clave de recuperación fuera de la Mac (Apple).

Costo: sin costo
P13

Segundo factor en las cuentas de administración

Las cuentas utilizadas para administrar herramientas tecnológicas tienen un segundo factor de autenticación.Formulario largo de Sancor, pregunta 9.
Qué significa

Las cuentas «de administrador» (la consola de Google o Microsoft, el panel del router, el registro del dominio y el DNS, el hosting, la consola del antivirus, el gestor de contraseñas) mandan sobre todo lo demás. Si se roban una, el atacante puede apagar las copias, crear usuarios y redirigir el correo.

Microsoft las trata aparte: con los valores predeterminados de seguridad, los administradores hacen segundo factor cada vez que inician sesión (Microsoft Learn).

Cómo cumplirlo
  1. Listá todas las cuentas de administración y quién las tiene.
  2. Cuenta de administrador separada de la de uso diario.
  3. Llave de seguridad (FIDO) para los administradores: en Google, el método «Sólo llave de seguridad» de la pregunta 8. CISA la considera la opción resistente a phishing de amplia disponibilidad (CISA).
  4. Dos cuentas de emergencia sólo en la nube, no asignadas a una persona, con las claves guardadas fuera de línea (lo recomienda Microsoft).
  5. Segundo factor también en el panel del registrador del dominio y del DNS.
  6. Códigos de respaldo en un sobre o una caja fuerte.
Costo: sin costo con app autenticadora; las llaves físicas, aparte
P14

Concientización y simulaciones de phishing

La empresa realiza periódicamente campañas de concienciación en seguridad y simulaciones de phishing para los empleados.Formulario largo de Sancor, pregunta 10.
Qué significa

Entrenar a las personas para reconocer mails, mensajes y llamadas falsos, y probarlo con simulacros. Lo que falla casi nunca es la máquina: es una persona que cree un mensaje.

Por qué: en el informe de Verizon de 2026, los ataques por mensaje de texto y llamada al celular tuvieron una tasa de clics un 40 % mayor que el phishing por mail (Verizon DBIR 2026). CISA pide capacitar a los usuarios para reconocer y reportar lo sospechoso (CISA).

Cómo cumplirlo
  1. Una charla de 20 minutos al ingresar y una vez por año: por qué nos atacan; cómo se ve un phishing hoy (urgencia, remitente parecido, QR, WhatsApp, llamadas); el fraude del CEO y la regla de oro, toda orden de pago o cambio de CBU se confirma por otro canal; contraseñas y segundo factor; qué hacer si ya hiciste clic (avisar ya, sin vergüenza); a quién se avisa.
  2. Simulacros: Gophish es una herramienta de código abierto y sin costo para armar campañas de prueba (Gophish); hace falta alguien que la configure. En Microsoft, la simulación de ataques viene en Defender for Office 365 Plan 2, no en Business Premium (Microsoft Learn).
  3. Evidencia: lista de asistentes con fecha, material usado y resultados de cada simulacro.
  4. Cultura: quien reporta un clic no se sanciona; si se castiga, la próxima vez no avisa.

Una frecuencia razonable es una charla por año y un simulacro por trimestre; qué entiende Sancor por «periódicamente» es una consulta que tenemos pendiente.

Costo: sin costo con Gophish; las plataformas comerciales, de pago

Si ya pasó

Qué hacer en la primera hora de un ataque

En una línea: cortá la conexión, no apagues, no pagues solo, llamá a la aseguradora, guardá la evidencia, denunciá. Los minutos son orientativos; el orden es lo que importa.

0 a 5 min
Desconectá de la red el equipo afectado

Sacá el cable de red y apagá el Wi-Fi; si son varios equipos, cortá en el router. No apagues si podés desconectar: CISA advierte que apagar borra la evidencia que está en la memoria (CISA). Coordiná por teléfono, no por el mail ni el chat de la empresa: el atacante puede estar mirando.

5 a 10 min
No borres, no reinicies, no «limpies»

Sacá fotos con el celular de la pantalla y de la nota de rescate (no abras ni reenvíes nada). Anotá la hora y lo que viste. CISA pide preservar la evidencia antes de tocar nada.

10 a 15 min
Cambiá contraseñas desde un equipo limpio

Correo, banco, consolas de administración y gestor de contraseñas: cambialas y cerrá las sesiones abiertas desde otro equipo, nunca desde el infectado. Activá el segundo factor donde falte.

15 a 25 min
Llamá al 0800 de tu póliza y avisanos

El seguro de Riesgos Cibernéticos de Sancor atiende los siniestros por una línea 0800 del proveedor del servicio, con un especialista en tecnología y legales que inicia la contención. El número te lo da la póliza: guardalo impreso, fuera de la computadora. Cómo funciona la denuncia, en qué cubre y qué no.

25 a 40 min
Si hubo una transferencia, llamá al banco ya

Pedí la reversión del pago de inmediato: el FBI insiste en que el tiempo es esencial y en contactar a la entidad financiera enseguida, sin importar el monto (IC3). Ojo: la plata transferida no la cubre esta póliza (exclusión 3.14).

40 a 50 min
No pagues el rescate sin asesoramiento

Pagar no garantiza recibir una clave que funcione y financia a los delincuentes (No More Ransom, donde además podés buscar si existe una herramienta para descifrar). El 64 % de las víctimas del informe de Verizon de 2025 no pagó. Y la extorsión se cubre sólo con el consentimiento previo y por escrito de la aseguradora.

50 a 60 min
Denunciá y juntá la evidencia

El portal oficial indica ir a la fiscalía más cercana a tu domicilio; para delitos informáticos también está la Unidad Fiscal Especializada en Ciberdelincuencia (UFECI) del Ministerio Público Fiscal (argentina.gob.ar, UFECI). Llevá capturas, la nota de rescate, los mensajes del atacante, los comprobantes de transferencias, los horarios y qué equipos se afectaron.

Si se filtraron datos de clientes, antes de mandar cualquier aviso hablalo con tu asesor legal y con la aseguradora: los costos de notificación y de representación legal están dentro del amparo C de la póliza, y la aseguradora puede querer intervenir. El aviso, cuando se manda, tiene que ser claro: qué pasó, qué datos, qué hacer y cómo contactarte. Después de la primera hora, se restaura desde las copias fuera de línea cuando ya se sabe que el atacante no está adentro (CISA).

Hacelo vos

Autodiagnóstico de 5 minutos

Cinco chequeos que podés hacer solo, sin instalar nada, para llegar al formulario sabiendo qué contestarías.

1

Claves filtradas · 1 minuto

Buscá el correo de cada socio o directivo en haveibeenpwned.com. Para revisar el dominio entero, el sitio pide demostrar que el dominio es tuyo. Si aparece una cuenta: cambiá esa clave ya, activá el segundo factor y verificá que no se use en otro lado.

2

Puertos abiertos · 2 minutos

Usá una prueba de puertos desde afuera, como ShieldsUP! de GRC, sobre tu propia conexión (nunca sobre la de otro). Lo esperable es cero puertos abiertos, salvo los que abriste a propósito y sabés por qué. Si hay otros, volvé a la pregunta 2.

3

Segundo factor forzado · 1 minuto

En Google: Menú › Seguridad › Autenticación › Verificación en dos pasos tiene que decir «Aplicación: Activada». En Microsoft: los valores predeterminados de seguridad en Habilitado, o una directiva de acceso condicional para todos en «Activada», no en «Solo informe». Ver la pregunta 8.

4

La última restauración · 1 minuto

Cuál es la fecha de la última copia y la del último intento de restaurar un archivo. Si la respuesta es «no sé» o «nunca», la copia no cuenta todavía: restaurá un archivo de prueba hoy y anotá la fecha. Ver la pregunta 5.

5

Cada equipo · menos de 1 minuto

  • Mac: firewall activado, FileVault activado, actualizaciones automáticas activadas.
  • Windows: Seguridad de Windows sin avisos en rojo, Windows Update sin pendientes, firewall activado.
  • Router: contraseña de fábrica cambiada y firmware reciente.
✓

Qué te dice el resultado

Si los cinco salen bien, estás cerca de contestar SI a las preguntas 2, 3, 4, 5, 7 y 8. Quedan la 6, que pide una política escrita, y la 9, que es tu historia. Para verlo ordenado, hacé el chequeo de ciberseguridad.

Las palabras

Glosario en criollo

Ransomware
Programa malicioso que cifra los archivos de un equipo o de una red y pide plata para devolverlos. La póliza lo nombra dentro de la definición de malware.
Phishing
Mensaje (mail, SMS, WhatsApp, llamada, código QR) que imita a una persona o empresa de confianza para que hagas clic, entregues una clave o hagas un pago.
2FA o MFA (segundo factor)
Pedir algo más que la contraseña para entrar: un código de una app, una llave física, una huella. Según CISA, quien lo activa tiene muchas menos probabilidades de ser hackeado (CISA). Resistente a phishing: llaves FIDO y passkeys.
Firewall
El portero de la red o de la computadora: decide qué conexiones entran y salen. Hay uno en el router y otro en cada equipo.
EDR
Detección y respuesta en el equipo: software que vigila los equipos todo el tiempo, detecta comportamientos sospechosos y ayuda a responder, más allá de un antivirus de firmas.
Copia inmutable
Copia de seguridad que, una vez escrita, nadie puede modificar ni borrar durante un plazo, ni siquiera un administrador o un atacante con sus claves.
Fraude del CEO (BEC)
BEC son las siglas en inglés de «compromiso del correo empresarial». Es la estafa en la que el delincuente se hace pasar por un directivo o un proveedor, o le toma la cuenta de mail, para pedir transferencias o cambios de cuenta bancaria. La plata transferida no la cubre la póliza (exclusión 3.14).
Infostealer
Programa que roba de un equipo infectado las contraseñas guardadas en el navegador y las sesiones abiertas, y se las manda al atacante. Por eso el segundo factor importa tanto.
RaaS (ransomware como servicio)
Un grupo criminal mantiene el ransomware y se lo alquila a «afiliados» que hacen los ataques, a cambio de una parte del botín. Por eso los ataques son cada vez más baratos de hacer.
PCI DSS
El estándar de seguridad de la industria de tarjetas de pago, para quien guarda, procesa o transmite datos de tarjetas. Las multas por no cumplirlo después de una filtración son el amparo D (comercio online).
UPnP
Función del router por la que un programa le pide que abra puertos sin que nadie lo apruebe. CISA recomienda apagarla salvo necesidad.
VPN
Un túnel cifrado para entrar a la red de la empresa desde afuera. Con segundo factor, es la forma correcta del acceso remoto.

Preguntas frecuentes

Lo que más se pregunta sobre el formulario

Qué pasa si respondo NO a alguna pregunta del formulario de Sancor?

El reasegurador pide que todas las respuestas sean SI, pero un NO no te impide pedir la cotización. A nosotros la pregunta 6, la del cambio de contraseñas, nos quedó en NO, y Sancor nos cotizó igual, sujeto a confirmar una política de contraseñas con plazo. Podés mandar el pedido con el NO y resolverlo mientras tanto, o resolverlo primero: cada pregunta de esta guía dice cómo pasarla a SI.

Puedo responder SI si lo voy a implementar la semana que viene?

No. El formulario es una declaración jurada: lo firma alguien de la empresa, con su cargo y la fecha, debajo de la frase que dice que todas las declaraciones son verdaderas, y la Ley de Seguros (Ley 17.418, art. 5) dice que la declaración falsa o la reticencia, aun de buena fe, que a juicio de peritos hubiese impedido el contrato o modificado sus condiciones, hace nulo el contrato. Respondé SI sólo si hoy lo hacés. Si todavía no está, hacelo primero y después contestás, o contestá NO y explicalo en el espacio para ampliar las respuestas.

Cambiar la contraseña todos los meses es lo más seguro?

No necesariamente. La guía del NIST de 2025 recomienda no exigir el cambio periódico, sólo ante sospecha de compromiso, y Microsoft y Google tampoco lo aconsejan. Pero es un requisito del seguro. La forma de cumplir las dos cosas es una política escrita con plazo de 30 días, hecha con un gestor de contraseñas que genera claves largas y distintas, más segundo factor obligatorio. El modelo de política está en esta página para copiar.

Si tengo todo en Google Drive o en OneDrive, ya tengo copia de seguridad?

No. Sincronizar no es copiar: si un archivo se borra o se cifra en la computadora, la sincronización lleva el cambio a la nube. Microsoft recomienda en su contrato hacer copias periódicas de lo que guardás en sus servicios, y Google aclara que Vault no es un archivo de datos. Hace falta una copia aparte, al menos una fuera de línea, y probar la restauración.

Cuánto cuesta cumplir los 13 controles?

La mayoría no cuesta nada: el firewall del router y del sistema, el antivirus integrado, las actualizaciones automáticas, el segundo factor de Google y los valores predeterminados de seguridad de Microsoft vienen incluidos. Lo que suele costar es la copia fuera de la oficina (por ejemplo Backblaze, USD 9 por mes por computadora) y, si querés, un gestor de contraseñas pago (Bitwarden Teams, USD 4 por usuario y mes). Lo que más cuesta es el tiempo de ordenarse.

Si respondo SI a todo, ya estoy asegurado y no me pueden atacar?

Ni una cosa ni la otra. Cumplir los controles reduce el riesgo, pero ninguno lo elimina. Y la contratación, el precio y las condiciones las decide Sancor con su reasegurador para cada empresa: no hay tarifa pública. Lo que sí logra el formulario en SI es que tu empresa esté ordenada y que llegues a la cotización sin puntos en NO; las condiciones las decide Sancor igual.

Con las preguntas claras, pedí tu cotización formal

Hacés el chequeo, cargás los datos de la empresa y lo presentamos a Sancor. Si te queda algo en NO, lo mandás igual o lo resolvés primero: vos elegís. El precio lo fija Sancor para tu empresa.

Pedir cotización formal Consultar por WhatsApp