Guía práctica · 10 min de lectura
Esta checklist reúne 10 medidas básicas de ciberseguridad para entidades. Según Hiscox, entre las organizaciones atacadas, las del sector sin ánimo de lucro reciben de media unos ocho ataques.
¿Os atascáis? Reservad una llamada gratuita
La cifra de Hiscox sale de su encuesta de ciberpreparación (octubre de 2025), hecha a 5.750 empresas de menos de 250 personas de siete países, con el trabajo de campo entre julio y agosto de 2025. Es una encuesta de una aseguradora y no habla solo de España, así que hay que leerla como un orden de magnitud, no como una promesa. Lo que sí es seguro es que las medidas que recomienda son las que os proponemos aquí: autenticación multifactor, gestor de contraseñas, actualizaciones, copias probadas con regularidad y acceso mínimo necesario.
Esta guía es la versión «hacedlo vosotros». No hace falta ser técnico: la mayoría de las medidas son decisiones y hábitos, no software. Cuando lleguéis a una medida que no sepáis hacer, o cuando queráis que alguien deje todo el sistema en orden, podemos ordenar el correo y la nube de la entidad con el Setup Cimientos. Base Ferma es un proveedor independiente: no es partner ni revendedor de Google, Microsoft ni de ninguna de las herramientas que mencionamos.
Esta es la tabla de la checklist. Más abajo tenéis cada medida explicada, agrupada por temas. Los costes son orientativos y dependen de la herramienta; no afirmamos ningún descuento para entidades que no podamos verificar.
| # | Medida | Por qué | Cuánto cuesta | Quién puede hacerlo |
|---|---|---|---|---|
| 1 | Verificación en dos pasos en las cuentas importantes (correo, nube, web, redes, banca) | Una contraseña robada no abre la cuenta por sí sola | Normalmente ningún coste adicional: es una opción de las cuentas que ya tenéis | Cada persona, con el administrador |
| 3 | Cuentas nominales y a nombre de la entidad, con dos administradores | Que ninguna cuenta dependa de una sola persona | Ninguno | Responsable de la entidad |
| 4 | Copias de seguridad probadas, también fuera de la nube principal | Sincronizar no es hacer copia, y solo una copia restaurada sirve | Depende del volumen de datos y de dónde se guarden | Quien administra las cuentas |
| 5 | Procedimiento de baja de accesos cuando alguien se va | Un exvoluntario con acceso es una puerta abierta | Ninguno | Responsable de la entidad y administrador |
| 6 | Dominio a nombre de la entidad y certificado digital custodiado | Quien tiene el dominio tiene la web, el correo y la reputación | Sin coste añadido: es titularidad | Responsable de la entidad |
| 7 | Actualizaciones de la web, los complementos y los dispositivos | Los ataques aprovechan fallos ya conocidos | Tiempo, o mantenimiento contratado | Administrador o proveedor |
| 8 | HTTPS en la web y copia de la web | Protege los formularios y evita avisos del navegador | Suele venir incluido en el hosting: comprobadlo | Quien lleva la web |
| 9 | Hábito de reconocer el phishing y el fraude | La mayoría de los incidentes empiezan con un correo o un mensaje | Ninguno: formación del equipo | Todo el mundo |
| 10 | Un plan de una página por si os atacan | A la hora de la verdad no hay tiempo para improvisar | Ninguno: una hoja con nombres y teléfonos | Responsable de la entidad |
Este bloque es el más rentable: tres decisiones que cuestan casi nada y cierran la mayoría de las puertas.
1. Activad la verificación en dos pasos. Añade una segunda prueba (un código o una aprobación en el móvil) a la contraseña. Empezad por el correo, porque quien controla el correo puede recuperar el resto de las cuentas. En la guía de Google Workspace gratis para ONG e iglesias tenéis el contexto de la cuenta de Google; si la entidad usa las licencias donadas de Microsoft, mirad qué condiciones tienen ahora y activadla en el panel de administración. Hiscox también la incluye entre sus consejos (octubre de 2025).
2. Usad un gestor de contraseñas. Un gestor guarda contraseñas largas y distintas para cada servicio y permite compartirlas sin enviarlas por mensaje. Es la solución a los papelitos en el despacho. El que incluimos en el Setup Cimientos es Bitwarden; no hemos encontrado ningún descuento vigente para entidades y no afirmamos ninguno, según nuestra verificación del 15 de octubre de 2026.
3. Ninguna cuenta personal ni contraseña compartida. Cada persona entra con su usuario, y la entidad tiene al menos dos administradores. Si el correo de administración es el de una sola persona, todo depende de ella.
Una copia de seguridad solo vale si se sabe restaurar: sincronizar con la nube replica también errores y borrados, por eso hay que probar a recuperar archivos.
Muchas entidades creen que tienen copias porque tienen los archivos en Google Drive o en OneDrive. Pero eso es sincronización: si alguien borra un archivo o un ataque lo cifra, el cambio se replica. Una copia útil es independiente, es reciente y se ha probado a restaurar.
Dos razones más para tener una copia propia. La primera: según The Register (28 de septiembre de 2026), Microsoft borró antes de tiempo datos de algunas entidades tras retirar la donación de Business Premium, y dice que no puede saber qué se perdió. La segunda: según IT User, que cita a Hiscox (enero de 2026), solo el 57 % de las pymes españolas que pagaron un rescate recuperó algunos de sus datos o todos, y el 86 % restauró datos desde copias de seguridad. Una copia que funciona os ahorra tener que decidir si pagáis.
Lo que hay que hacer: tened los datos importantes en dos sitios, probad a recuperar un archivo concreto cada cierto tiempo y apuntad quién sabe hacerlo. Si solo una persona lo sabe, volved a la medida 3.
Las entidades cambian de personas más a menudo que las empresas: voluntarios que llegan, voluntarios que se van, cargos que rotan. Dos medidas resuelven la parte técnica.
5. Dad de baja los accesos el mismo día. Haced una lista de todos los servicios (correo, nube, web, redes, gestor de contraseñas, banca) y, cuando alguien se va, repasadla: quitadle el acceso, cambiad las contraseñas compartidas si las había y traspasad la titularidad de cualquier cosa que fuera suya. La parte humana del problema la tratamos en el artículo qué pasa si se va el voluntario que lo lleva todo.
6. Dominio y certificado digital, a nombre de la entidad. Si el dominio está a nombre de una persona, esa persona es la propietaria de vuestra web. Consultad quién lo tiene registrado y traspasadlo. Lo mismo ocurre con el certificado digital de la entidad, que permite hacer trámites con la Administración: tratadlo como una llave del edificio. Lo explicamos en quién debe custodiar el certificado digital.
Si la entidad tiene web, es una puerta abierta a Internet. Tres medidas.
7. Mantenedla actualizada. La web, los complementos y los dispositivos deben estar al día: Hiscox lo recomienda. Si no es tarea de nadie, no se hace; por eso existe el mantenimiento web para ONG del Sistema Vivo, desde 120 €/mes + IVA, que incluye copias verificadas y actualizaciones de seguridad.
8. Comprobad que la web va por HTTPS. Si el navegador muestra «no seguro», el problema es de la web, no del navegador. Normalmente lo resuelve el hosting, pero hay que comprobarlo.
9. Aprended a reconocer el phishing. INCIBE detectó 122.223 incidentes en 2025, un 26 % más que el año anterior, y el fraude en línea fue cuatro de cada diez, con 25.133 casos de phishing (nota de prensa de INCIBE de febrero de 2026). Estas cifras son del conjunto del país; INCIBE no publica el reparto por tipo de organización. La regla: si un correo os mete prisa, os pide dinero o datos, o viene de quien no esperabais, verificadlo por otro canal.
Si os atacan, cambiad las contraseñas desde un dispositivo limpio, avisad al proveedor, llamad a la línea 017 de INCIBE y, si hay datos personales, valorad notificarlo en 72 horas.
10. Tened un plan de una página. Escribidlo antes de necesitarlo. Los pasos:
Cortad el acceso
Cambiad las contraseñas de las cuentas afectadas desde un dispositivo que no esté comprometido, y activad la verificación en dos pasos. 2. Avisad al proveedor de la web, del correo o de la nube: pueden bloquear el acceso o aislar el sistema. Si la web está comprometida, mirad qué hacer si hackean la web. 3. Pedid ayuda. La línea 017 de INCIBE atendió 142.767 consultas en 2025. 4. Valorad si hay una brecha de datos personales. El artículo 33 del RGPD obliga a notificarla a la autoridad de control sin dilación indebida y, de ser posible, como máximo 72 horas después de tener constancia, salvo que sea improbable que suponga un riesgo. El plazo es «de ser posible», y si se retrasa hay que explicar el motivo. Para la parte técnica, mirad la parte técnica del RGPD en la asociación. No somos una asesoría jurídica: ante la duda, consultad a un profesional. 5. Restaurad desde la copia y documentad lo ocurrido: qué falló, quién lo vio y qué cambiáis.
Las entidades guardan datos de personas y a menudo comparten cuentas. Según Hiscox, el sector sin ánimo de lucro recibió unos ocho ataques de media.
No tenemos datos específicos para las entidades españolas; lo que sabemos es esto. Hiscox (octubre de 2025): el 59 % de las empresas pequeñas encuestadas sufrió un ciberataque en los últimos doce meses, y el 27 %, un ransomware. La AEPD, en su memoria de 2025 (nota de prensa del 6 de mayo de 2026), registró 77 procedimientos por brechas de datos (30 el año anterior), con 19,8 millones de euros en sanciones: el 40 % del importe total. La AEPD no desglosa las sanciones por tamaño de organización, así que no podemos decir cuántas fueron a entidades.
Estos son los patrones que se repiten:
Contraseñas en papelitos, o en una hoja de cálculo compartida con todo el mundo.
Archivos en ordenadores personales, sin copia, de modo que si el ordenador falla o la persona se va, la entidad pierde el material.
Todo depende de una persona
El dominio, el correo de administración o la cuenta de las redes son suyos.
Confundir sincronización con copia
No dar de baja a los exvoluntarios
Verificación en dos pasos en el móvil personal de una sola persona, sin códigos de recuperación guardados.
Podéis hacer todo esto vosotros. Os conviene que lo hagamos nosotros cuando no hay nadie con tiempo, cuando queréis que el sistema quede documentado y a nombre de la entidad, o cuando os da miedo tocarlo.
Setup Cimientos, desde 1.500 € + IVA: correo corporativo, nube ordenada, verificación en dos pasos, gestor de contraseñas (Bitwarden) y copias, con manual de acceso, formación grabada y acta de traspaso. La duración es de 15 días laborables desde que tenemos todos los accesos.
Mínimo Técnico Común, 140 € + IVA: lo mínimo que tiene que existir antes de construir nada (dominio bajo control, correo corporativo, destino de contactos y una copia mínima).
Sistema Vivo, desde 120 €/mes + IVA: mantenimiento mensual con copias verificadas y actualizaciones de seguridad.
Pieza suelta de copias y verificación en dos pasos, como servicios puntuales con precio desde.
Siempre empezamos con una llamada gratuita, y no os venderemos nada que el diagnóstico no haya mostrado necesario. Si dudáis por dónde empezar, el Diagnóstico Base (desde 350 € + IVA) revisa accesos, cuentas, correo, archivos y seguridad, y deja el mapa de todo lo que depende de una sola persona.
Empezad por la verificación en dos pasos en el correo y por un gestor de contraseñas: son las dos medidas que más puertas cierran y las que recomienda Hiscox.
Después, haced una lista de todas las cuentas de la entidad y aseguraos de que ninguna depende de una sola persona. Las copias probadas y la baja de accesos vienen a continuación. Con estas cuatro decisiones ya habréis hecho la mayor parte del trabajo.
El que el equipo use de verdad: debe tener usuarios nominales, permitir compartir contraseñas sin enviarlas por mensaje y ofrecer una forma de recuperar el acceso.
Nosotros instalamos Bitwarden en el Setup Cimientos. No hemos encontrado ningún descuento vigente para entidades y no prometemos ninguno; antes de decidir, comprobad el precio actual en la web de la herramienta.
Ninguna fuente fija una periodicidad exacta: Hiscox recomienda copias probadas con regularidad. Una pauta razonable: restaurar un archivo dos veces al año y tras cada cambio importante.
La prueba es sencilla: elegid un archivo, recuperadlo de la copia y comprobad que se abre. Apuntad la fecha y quién lo ha hecho, para que no dependa de una sola persona.
Hablemos
Si queréis que os digamos por dónde empezar, reservad la llamada de descubrimiento: 30 minutos, sin compromiso, y os lo decimos aunque no nos contratéis.
[ Seguid el recorrido ]
¿Hacia dónde vais ahora?
Construyendo el futuro digital de marcas que se atreven a destacar. Estrategia, diseño y tecnología con cimientos sólidos.
© 2025 BASEFERMA AGENCY.
DESIGNED FOR IMPACT.