El teletrabajo seguro para empresas ya no es una medida de emergencia, es una forma habitual de trabajar en miles de organizaciones españolas. Pero esa normalidad tiene un efecto secundario: se ha convertido en uno de los puntos de entrada favoritos para los ciberataques, precisamente porque muchas empresas lo implantaron rápido y nunca volvieron a revisar cómo lo protegen.

El Instituto Nacional de Ciberseguridad (INCIBE) lleva años señalando que las pequeñas y medianas empresas son las más expuestas, en buena parte porque no suelen contar con personal especializado en ciberseguridad — un factor que sitúa a las pymes como destino de cerca del 43% de los ciberataques registrados. Esta guía reúne, en un solo sitio y sin relleno, lo que una pyme necesita saber y hacer para que el teletrabajo no sea la puerta de entrada de un problema serio.

¿Por qué el teletrabajo concentra tanto riesgo?

Cuando un empleado trabaja desde la oficina, hay una red controlada, un firewall corporativo y un equipo de sistemas vigilando. Cuando trabaja desde casa, desde un coworking o desde un hotel, esa protección desaparece salvo que la empresa la reconstruya de forma deliberada. Los puntos débiles más habituales son:

• Redes domésticas sin asegurar — routers con contraseñas por defecto, sin actualizar, compartidos con dispositivos IoT vulnerables (cámaras, altavoces inteligentes) en la misma red que el portátil de trabajo.
• Dispositivos personales (BYOD) — ordenadores o móviles propios del empleado, sin cifrado, sin antivirus actualizado, a veces compartidos con el resto de la familia.
• Accesos remotos mal configurados — el caso más peligroso y más común: escritorio remoto (RDP) expuesto directamente a internet sin protección adicional, un objetivo constante de ataques automatizados de fuerza bruta.
• Contraseñas débiles o reutilizadas — sin política de complejidad ni doble factor, una sola credencial filtrada en otro servicio puede abrir la puerta de la empresa.
• Software sin parchear — sistemas operativos y aplicaciones con vulnerabilidades conocidas que nadie actualiza porque el equipo no pasa regularmente por el control de IT.
• Phishing dirigido al teletrabajador — correos que suplantan a IT, a RRHH o a proveedores, aprovechando que fuera de la oficina es más difícil verificar una petición «a golpe de vista» con un compañero.

Ninguno de estos riesgos es exótico. Son, en conjunto, la causa de la inmensa mayoría de los incidentes que sufren las pymes españolas con empleados en remoto.

El primer paso real: una política de teletrabajo por escrito

Antes de hablar de herramientas, hay una tarea que casi ninguna empresa pequeña hace y que cuesta cero en licencias: escribir, aunque sea en una página, qué se puede y qué no se puede hacer trabajando en remoto. Como mínimo debería cubrir:

• Qué dispositivos están autorizados para acceder a los sistemas de la empresa (¿solo equipo corporativo, o también BYOD bajo ciertas condiciones?)
• Qué aplicaciones y servicios en la nube están aprobados, para evitar que cada empleado use su propia herramienta de turno sin que IT lo sepa (lo que se conoce como shadow IT)
• Qué hacer si se pierde o se roba un dispositivo con acceso a datos corporativos
• A quién avisar, y cómo, ante cualquier incidente sospechoso — cuanto más simple sea el canal, antes se reportará

Esta política no sustituye ninguna medida técnica de las siguientes secciones; las hace posibles, porque define las reglas que la tecnología va a hacer cumplir.

Medidas técnicas imprescindibles

Aquí es donde la política escrita se convierte en protección real. Cuatro controles cubren la inmensa mayoría del riesgo técnico del teletrabajo:

Acceso remoto cifrado, nunca RDP expuesto directamente a internet. El error más extendido en pymes españolas sigue siendo abrir el puerto de Escritorio Remoto de Windows directamente hacia internet para que un empleado se conecte desde casa. Es, literalmente, dejar la puerta entreabierta para cualquier escáner automatizado que recorre internet buscando exactamente eso. La alternativa correcta es una capa de acceso remoto gestionada y cifrada como TSplus Remote Access, que centraliza las conexiones, las cifra de extremo a extremo y evita exponer el protocolo RDP nativo.

Autenticación multifactor (2FA/MFA) en todos los accesos remotos, sin excepción. Una contraseña, por robusta que sea, puede filtrarse en cualquier otro servicio que use el empleado. El doble factor es la medida individual con mayor relación coste-beneficio que existe hoy en ciberseguridad: aunque la contraseña se filtre, el acceso sigue bloqueado sin el segundo factor. TSplus 2FA añade esta capa directamente sobre el acceso remoto sin depender de directorios activos complejos.

Protección activa contra fuerza bruta, restricción horaria y por geolocalización. Más allá del 2FA, conviene que el sistema bloquee automáticamente intentos repetidos de acceso fallido, y que sea posible limitar las conexiones a un horario laboral razonable o bloquear países desde los que la empresa nunca debería recibir tráfico legítimo. TSplus Advanced Security cubre estos tres frentes de forma integrada.

Cifrado de disco y gestión de actualizaciones. Todo dispositivo con acceso a datos de la empresa —corporativo o BYOD autorizado— debería tener el disco cifrado (BitLocker en Windows, FileVault en Mac) y aplicar actualizaciones de seguridad de forma automática, no manual. Un portátil robado con el disco cifrado es una simple pérdida material; sin cifrar, es una brecha de datos.

Medidas organizativas: la parte que la tecnología no puede cubrir sola

Ningún control técnico compensa a un empleado que hace clic en el enlace equivocado. La formación no es un trámite de cumplimiento, es una medida de seguridad más:

• Formación periódica sobre phishing, con ejemplos reales y actualizados — no una charla única el día de la incorporación.
• Política de contraseñas clara: gestor de contraseñas recomendado por la empresa, prohibición explícita de reutilizar contraseñas entre servicios personales y corporativos.
• Verificación fuera de banda para cualquier petición inusual (cambio de cuenta bancaria de un proveedor, transferencia urgente) — una simple llamada de confirmación evita la mayoría de los fraudes de suplantación.
• Bloqueo automático de sesión tras un periodo corto de inactividad, especialmente relevante si el empleado trabaja en espacios compartidos como coworkings o cafeterías.

Cumplimiento normativo: lo que toda empresa española debe tener presente

El teletrabajo con acceso a datos personales de clientes o empleados entra de lleno en el RGPD y en la Ley Orgánica de Protección de Datos (LOPDGDD). En la práctica, esto significa que las medidas de seguridad descritas en esta guía no son solo una buena idea: en caso de una brecha de datos por un acceso remoto mal protegido, la empresa puede tener que responder ante la Agencia Española de Protección de Datos por no haber aplicado medidas «adecuadas al riesgo» — un estándar que un RDP expuesto sin 2FA no cumple bajo ningún criterio razonable.

Checklist rápido de teletrabajo seguro para empresas

• Política de teletrabajo por escrito, conocida por todo el equipo
• Acceso remoto cifrado, nunca RDP expuesto directamente
• Doble factor de autenticación activo en el 100% de los accesos
• Protección contra fuerza bruta y restricción horaria/geográfica
• Discos cifrados en todos los dispositivos con acceso a datos corporativos
• Actualizaciones de seguridad automáticas, no manuales
• Formación periódica sobre phishing, no solo en la incorporación
• Canal claro y simple para reportar incidentes
• Copias de seguridad periódicas y probadas, no solo programadas

Preguntas frecuentes sobre teletrabajo seguro