Un plan director de seguridad (también llamado PDSI, Plan Director de Seguridad de la Información) es el documento que ordena, prioriza y calendariza todas las medidas de ciberseguridad de una empresa durante un periodo determinado, normalmente entre dos y tres años. No es un antivirus con pretensiones. Es la diferencia entre gastar dinero en seguridad y invertirlo. La mayoría de pymes españolas hacen ciberseguridad a golpe de susto: pasa algo, se compra una herramienta, se olvida. Una estrategia de ciberseguridad documentada rompe ese ciclo porque obliga a saber qué tienes, qué te puede pasar y cuánto te dolería. Aquí va cómo montar un plan de seguridad para tu empresa sin contratar a una Big Four ni redactar 300 páginas que nadie leerá.
Qué es exactamente un plan director de seguridad (y qué no es)
El PDSI es un documento estratégico, no técnico. Define el estado actual de la seguridad de la organización, el estado deseado, y el conjunto de proyectos ordenados en el tiempo para llegar del uno al otro.
INCIBE, el Instituto Nacional de Ciberseguridad, publica una guía de referencia sobre planes directores de seguridad dirigida específicamente a pymes. Es gratuita y es el punto de partida más razonable si empiezas de cero.
Lo que no es un plan director:
- No es una auditoría. La auditoría es un insumo del plan, no el plan.
- No es una lista de compras. Si tu documento son cinco páginas de productos con precios, te han vendido un catálogo.
- No es un documento de cumplimiento. El RGPD o el ENS pueden ser motivadores, pero un plan que solo persigue no tener multas deja agujeros enormes.
- No es eterno. Un plan a cinco años en ciberseguridad es ciencia ficción. Dos o tres años, con revisión anual.
La estructura mínima de un plan de seguridad empresarial que funciona tiene seis bloques: alcance, análisis de situación, análisis de riesgos, definición de proyectos, priorización y aprobación por dirección. Ese último punto es el que más se salta y el que más planes mata.
Fase 1: define el alcance y consigue un patrocinador
Antes de analizar nada, decide qué entra. Una empresa con tres sedes puede hacer un plan corporativo o empezar por una sola sede. Un plan acotado que se ejecuta vale más que uno global que se queda en el cajón.
El alcance debe especificar: unidades de negocio incluidas, sistemas y activos cubiertos, ubicaciones físicas, y proveedores externos relevantes. Ese último punto se olvida sistemáticamente. Si tu ERP está alojado en un tercero y tu web la mantiene una agencia, forman parte de tu superficie de ataque.
Después, el patrocinador. Necesitas a alguien de dirección que firme y defienda el presupuesto. Sin eso, el plan es un ejercicio de redacción. Un consejo práctico: presenta el análisis de riesgos antes de pedir dinero. Es mucho más fácil aprobar una inversión cuando ya has explicado que una parada de tres días en el sistema de pedidos cuesta más que la medida que estás proponiendo.
Fase 2: análisis de situación (dónde estás realmente)
Aquí toca hacer inventario y comparar contra un marco de referencia. Los frameworks más usados en el entorno español:
| Marco | Origen | Cuándo usarlo |
|---|---|---|
| ISO/IEC 27001 | Internacional | Si necesitas certificación reconocida por clientes o licitaciones |
| ENS (Esquema Nacional de Seguridad) | Real Decreto 311/2022 | Obligatorio si prestas servicios al sector público español |
| NIST CSF 2.0 | EE.UU. (NIST) | El más flexible para empezar sin ánimo certificador |
| CIS Controls v8 | Center for Internet Security | El más práctico y directo para pymes técnicas |
| NIS2 | Directiva UE 2022/2555 | Si operas en sectores esenciales o importantes |
Para una pyme sin obligaciones sectoriales, los CIS Controls v8 son la opción más honesta. Sus 18 controles están agrupados en tres grupos de implementación, y el IG1 está pensado explícitamente para organizaciones con recursos limitados. Empieza por el control 1 y 2: inventario de activos hardware y software. Suena aburrido. Es lo que impide que descubras un servidor con Windows Server 2012 conectado a producción durante una respuesta a incidente.
El análisis de situación produce una matriz de madurez: para cada dominio de control, un nivel de 0 a 5. Sé brutalmente honesto. Un plan basado en una autoevaluación complaciente es peor que no tener plan, porque genera falsa confianza.
Fase 3: análisis y valoración de riesgos
Esta es la parte que da sentido a todo lo demás. Sin análisis de riesgos, la planificación de seguridad se convierte en una lista de deseos técnicos.
La metodología clásica en España es MAGERIT v3, desarrollada por el Consejo Superior de Administración Electrónica. Es rigurosa y algo pesada. La herramienta PILAR, del Centro Criptológico Nacional, la implementa. Para una pyme, una versión simplificada suele bastar:
- Identifica activos: datos de clientes, ERP, web corporativa, correo, copias de seguridad, know-how documental.
- Valora el impacto de perder confidencialidad, integridad o disponibilidad de cada uno. Usa una escala de 1 a 5 y traduce a euros cuando puedas.
- Identifica amenazas realistas: ransomware, compromiso de correo corporativo (BEC), fuga de credenciales, error humano, fallo de proveedor.
- Estima probabilidad según tu exposición real y controles existentes.
- Calcula riesgo = impacto × probabilidad. Ordena de mayor a menor.
Un dato útil para calibrar: el correo electrónico sigue siendo el vector de entrada dominante en incidentes corporativos según los informes anuales de ENISA y del propio INCIBE. Si tu análisis de riesgos no coloca el correo entre los tres primeros, revísalo. Y si quieres verificar si las credenciales de tu dominio ya están circulando, Have I Been Pwned permite búsquedas por dominio completo previa verificación de propiedad.
Para el análisis técnico de la superficie expuesta hay herramientas gratuitas muy solventes. Si tienes aplicaciones web propias, merece la pena revisar cómo auditar la seguridad de aplicaciones web con Burp Suite antes de asumir que tu web "no tiene nada interesante". Para análisis de ficheros sospechosos durante la fase de diagnóstico, VirusTotal y su motor de reglas YARA siguen siendo el estándar de facto.
Fase 4: define proyectos y priorízalos
Cada riesgo alto genera uno o varios proyectos. Un proyecto bien definido tiene: objetivo, riesgo que mitiga, responsable con nombre y apellido, plazo, coste estimado y criterio de éxito medible.
Para priorizar, la fórmula habitual combina tres variables: reducción de riesgo, coste y esfuerzo de implantación. Los proyectos de alta reducción y bajo coste van primero. Siempre.
Ejemplos típicos de quick wins que aparecen en casi todos los planes directores de pymes:
- MFA en todos los accesos externos: correo, VPN, paneles de administración. Coste cercano a cero con Microsoft Authenticator, Google Authenticator o llaves FIDO2 como YubiKey. Reducción de riesgo enorme.
- Backups con regla 3-2-1 y copia inmutable: tres copias, dos soportes, una fuera de línea. Contra ransomware no hay medida más rentable.
- Gestor de contraseñas corporativo: Bitwarden, 1Password o KeePassXC. Elimina el Excel de contraseñas.
- Filtrado avanzado de correo: SPF, DKIM y DMARC bien configurados, más una capa antispam con análisis de contenido.
- Formación continua: aquí es donde muchos planes fallan por hacer una charla anual y olvidarse. Un programa de formación en ciberseguridad para empleados con simulacros periódicos cambia el comportamiento; una presentación de dos horas no.
- Gestión de parches: calendario definido, ventana de mantenimiento y responsable. Muchas intrusiones aprovechan vulnerabilidades con parche publicado meses antes.
El resultado es un diagrama de Gantt a 24 o 36 meses agrupado por trimestres. Si tu plan no cabe en una página con el calendario, nadie lo mirará después de la reunión de aprobación.
Fase 5: aprobación, ejecución y revisión
La dirección tiene que aprobar formalmente el plan, con presupuesto asignado y acta. Sin acta no hay plan, hay una propuesta.
Durante la ejecución, mide con indicadores concretos. Algunos KPI que funcionan sin generar burocracia:
- Porcentaje de equipos con parches críticos aplicados en menos de 15 días
- Porcentaje de cuentas con MFA activo
- Tiempo medio de detección y de respuesta ante incidentes
- Tasa de clic en simulacros de phishing internos
- Número de restauraciones de backup probadas con éxito por trimestre
Ese último KPI merece énfasis. Un backup que nunca se ha restaurado es una hipótesis, no una copia de seguridad.
La revisión anual del plan es obligatoria en la práctica. Aparecen nuevas amenazas — las técnicas de malware en documentos Office sin macros o el abuso de PowerShell para ejecución sin ficheros son ejemplos de vectores que han evolucionado rápido — y cambia tu propia infraestructura. Un plan de 2024 aplicado literalmente en 2026 protege una empresa que ya no existe.
Errores que hunden planes directores perfectamente redactados
Copiar una plantilla sin adaptar. Se nota. Y cuando llega una auditoría real o un incidente, se nota mucho más.
Ignorar la cadena de suministro. Tu proveedor de hosting, tu gestoría, tu desarrollador web. Si acceden a tus datos, entran en el alcance. La directiva NIS2 refuerza precisamente esta obligación de gestionar el riesgo de terceros.
No documentar el plan de respuesta a incidentes. El momento de decidir a quién llamas no es a las tres de la madrugada con los servidores cifrados. Ten un documento con teléfonos, orden de actuación, criterios de notificación a la AEPD (72 horas desde el conocimiento de la brecha, según el artículo 33 del RGPD) y contacto del INCIBE-CERT.
Olvidar los activos digitales de marketing. Webs corporativas, tiendas online y landings suelen quedarse fuera del plan porque "las lleva la agencia". Son el activo público más expuesto de la empresa. Si estás replanteando tu infraestructura digital, conviene que quien desarrolle tu página web corporativa conozca los requisitos de seguridad desde el diseño, no como parche posterior. Lo mismo aplica a mantenimiento de WordPress profesional, donde la mayoría de compromisos vienen de plugins desactualizados.
Tratar la seguridad como proyecto y no como proceso. El plan director termina. La seguridad no.
Presupuesto: cuánto cuesta esto realmente
Depende brutalmente del tamaño y del punto de partida, así que desconfía de cualquiera que te dé una cifra sin conocer tu infraestructura. Lo que sí puede orientarte es la distribución habitual del gasto:
| Partida | Peso orientativo |
|---|---|
| Consultoría inicial y análisis de riesgos | Aproximadamente 15-20% del primer año |
| Tecnología (EDR, backup, filtrado, MFA) | En torno al 40-50% |
| Formación y concienciación | Alrededor del 10% |
| Auditorías y pruebas técnicas | En torno al 15% |
| Reserva para incidentes | El resto |
Estas proporciones son estimaciones basadas en patrones habituales de proyectos de implantación en pymes, no cifras oficiales. Úsalas para discutir estructura de presupuesto, no para justificar una factura.
Buena noticia: una parte significativa del arsenal defensivo básico es gratuita o de coste marginal. Hay un repaso completo en nuestra guía de herramientas de ciberseguridad gratuitas para particulares y pymes. Empezar sin presupuesto es posible; empezar sin plan es lo que sale caro.
Preguntas frecuentes
¿Cuánto tiempo se tarda en elaborar un plan director de seguridad?
Para una pyme de menos de 50 empleados, entre cuatro y ocho semanas de trabajo efectivo repartidas en dos o tres meses de calendario. La fase que más se alarga es la recogida de información, porque depende de la disponibilidad de personas de otros departamentos.
¿Es obligatorio tener un plan director de seguridad?
No existe una obligación legal genérica de tener un PDSI en España. Sí existen obligaciones que en la práctica lo exigen: el ENS para proveedores del sector público, la directiva NIS2 para entidades esenciales e importantes, y el principio de responsabilidad proactiva del RGPD, que obliga a demostrar que aplicas medidas técnicas y organizativas apropiadas.
¿Qué diferencia hay entre un plan director de seguridad y una política de seguridad?
La política de seguridad establece las reglas permanentes: qué está permitido y qué no. El plan director es temporal y define qué proyectos vas a ejecutar y cuándo para alcanzar el nivel de seguridad deseado. La política suele ser uno de los entregables del plan.
¿Puede una empresa pequeña hacer su propio plan director sin consultora externa?
Sí, especialmente usando la guía de INCIBE y los CIS Controls como referencia. El riesgo de hacerlo internamente es la autoevaluación indulgente: cuesta mucho valorar objetivamente tus propias carencias. Una revisión externa del análisis de riesgos, aunque no del plan completo, suele compensar.
¿Cada cuánto hay que revisar el plan director?
Revisión de seguimiento trimestral sobre el avance de proyectos, y revisión de contenido anual sobre el análisis de riesgos. Además, cualquier cambio relevante en tu infraestructura, un incidente grave o una nueva obligación legal disparan una revisión extraordinaria sin esperar al calendario.
