El inicio del curso suele ser el momento en el que ponemos en orden nuestra agenda, nuestras suscripciones y nuestros archivos. También es una excelente ocasión para realizar una sencilla revisión de nuestra seguridad digital.

El objetivo no es convertir a cada particular, padre o colaborador en un experto en ciberseguridad. Se trata de comprobar algunos puntos esenciales, siguiendo un orden lógico: ser capaz de recuperar los datos, proteger los accesos, corregir las vulnerabilidades conocidas y, a continuación, reducir los demás riesgos cotidianos.

Esta jerarquía se basa en una realidad operativa. A pesar de todas las precauciones que se tomen, ningún sistema está totalmente a salvo de un fallo, un robo, un error humano o un ciberataque. Por lo tanto, una buena ciberseguridad no consiste únicamente en prevenir el incidente. También debe permitir limitar sus consecuencias y reanudar rápidamente la actividad normal.

¿En qué orden hay que abordar los riesgos cibernéticos?

Recomendamos empezar por cuatro prioridades.

La primera se refiere a las copias de seguridad y la capacidad de recuperación. Una copia de seguridad realmente útil puede permitir recuperar las fotos de una familia tras el robo de un teléfono, así como reactivar una empresa tras un ataque de ransomware.

La segunda se refiere a la protección de los accesos: autenticación multifactorial, gestor de contraseñas, separación de cuentas y limitación de privilegios.

La tercera se refiere a las actualizaciones. Cuando se conoce una vulnerabilidad y existe un parche, posponer su instalación equivale a veces a dejar una puerta abierta.

A continuación vienen otras medidas de higiene digital: vigilancia ante los intentos de fraude, control de los datos compartidos, configuración de los dispositivos, gestión de las aplicaciones y preparación ante incidentes.

Sin embargo, este orden no es absoluto. Para una persona cuyo correo electrónico principal permite restablecer todas las demás cuentas, la protección de esa dirección de correo electrónico es tan urgente como la copia de seguridad de sus datos. En una empresa, tampoco es posible organizar correctamente las copias de seguridad y las actualizaciones sin saber con precisión qué sistemas, aplicaciones y datos deben protegerse.

Por lo tanto, hay que entender esta jerarquía como un orden de trabajo, y no como una invitación a posponer indefinidamente las medidas siguientes.

1. La lista de comprobación de ciberseguridad para particulares

Comprueba que tus datos estén realmente guardados

Sincronizar archivos en la nube no siempre equivale a hacer una copia de seguridad de ellos. Si se elimina, se cifra o se sustituye un documento en un dispositivo, este cambio puede reflejarse automáticamente en los demás dispositivos sincronizados.

Empieza por identificar lo que realmente no querrías perder: fotos, vídeos, documentos administrativos, archivos profesionales, creaciones personales, contactos o archivos de correo electrónico.

A continuación, comprueba que esos datos se encuentren al menos en dos lugares diferentes. Para los archivos más importantes, la regla conocida como «3-2-1» constituye un buen objetivo: conservar tres copias de los datos, en dos soportes distintos, una de las cuales debe estar fuera de línea o fuera del domicilio. Esta regla también la recomienda la ANSSI en sus ⁠principios básicos relativos a la copia de seguridad de los sistemas de información.

En la práctica, una familia puede guardar sus archivos en su ordenador, utilizar un servicio de copias de seguridad en línea y realizar periódicamente una copia en un disco externo. Este disco no debe permanecer conectado continuamente al ordenador: un ransomware también podría cifrar su contenido.

El inicio del curso es, sobre todo, una oportunidad para realizar la comprobación que muchos olvidan: intenta restaurar algunos archivos. Una copia de seguridad que nunca se ha probado sigue siendo solo una hipótesis.

Tareas para esta semana:

• Comprobar la fecha de la última copia de seguridad de cada ordenador y smartphone.
• Comprobar que las fotos y los documentos importantes estén bien incluidos.
• Desconectar el soporte de copia de seguridad cuando no se utilice.
• Restaurar un archivo elegido al azar.
• Anotar el procedimiento a seguir para recuperar los datos tras la pérdida total de un dispositivo.

Proteger ante todo el correo electrónico y las cuentas esenciales

El correo electrónico suele ser la llave maestra de nuestra vida digital. Permite restablecer las contraseñas de las redes sociales, los servicios administrativos, las plataformas comerciales y, a veces, incluso de las aplicaciones profesionales.

Activa la autenticación multifactorial, sobre todo en:

• tu correo electrónico principal;
• tus cuentas de Apple, Google o Microsoft;
• tus servicios bancarios y de pago;
• tus redes sociales;
• tus áreas de administración;
• tu gestor de contraseñas;
• los servicios que contienen documentos o fotos.

Cuando se ofrecen varios métodos, una llave de seguridad física o una clave de acceso suelen ofrecer una mayor resistencia al phishing que un código recibido por SMS. No obstante, una aplicación de autenticación sigue siendo preferible al uso exclusivo de una contraseña.

Descarga y guarda también los códigos de recuperación. Deben guardarse en un lugar distinto al dispositivo que se utiliza para autenticarse. De lo contrario, la pérdida de un teléfono puede suponer la pérdida de acceso a varias cuentas.

Además, un gestor de contraseñas permite utilizar una contraseña diferente para cada servicio. La contraseña principal debe ser larga, única y fácil de recordar. Nunca debe reutilizarse en ningún otro sitio.

Tareas para esta semana:

• Activar la autenticación de dos factores en tu correo electrónico principal.
• Sustituir las contraseñas que se repiten en varios sitios web.
• Instalar y configurar un gestor de contraseñas.
• Comprobar los números de teléfono y las direcciones de recuperación.
• Descargar los códigos de emergencia.
• Cerrar las sesiones antiguas y eliminar los dispositivos desconocidos.

Actualizar todos los dispositivos, no solo el ordenador

Los smartphones y los ordenadores suelen actualizarse con bastante regularidad. Los dispositivos periféricos se suelen pasar por alto con mucha más frecuencia: módem de Internet, router Wi-Fi, NAS, impresora, televisor conectado, cámara, reloj, consola de videojuegos o dispositivo domótico.

Activa las actualizaciones automáticas cuando estén disponibles. En el caso de los dispositivos que ya no reciben soporte por parte del fabricante, pregúntate si realmente deben seguir conectados a la red.

Aprovecha también esta revisión para eliminar las aplicaciones que no utilices. Cada programa que conserves supone una superficie adicional que hay que mantener y que, potencialmente, puede ser objeto de un ataque.

Tareas para esta semana:

• Instalar las actualizaciones pendientes en todos los teléfonos y ordenadores.
• Actualizar el navegador y sus extensiones.
• Comprueba el firmware del decodificador, el router, el NAS y los dispositivos conectados.
• Eliminar los programas y extensiones que no se utilicen.
• Sustituir los dispositivos que ya no reciben parches de seguridad.

Prepárate para la pérdida o el robo de un teléfono

El teléfono suele contener fotografías, conversaciones, medios de pago y accesos ya autenticados. Por lo tanto, su pérdida puede ser más grave que la de una cartera.

Activa el bloqueo automático, la biometría y la función de localización del dispositivo. Comprueba también que conoces el código PIN de la tarjeta SIM y que las notificaciones confidenciales no se muestren íntegramente en la pantalla bloqueada.

Por último, anota en un lugar accesible los pasos a seguir para localizar, bloquear o borrar el dispositivo de forma remota. Este procedimiento debe poder realizarse desde otro dispositivo.

Pon orden en tus cuentas y en lo que compartes

Elimina las cuentas que ya no utilices y revoca los permisos concedidos a aplicaciones antiguas. En los servicios en la nube, comprueba las carpetas y los álbumes a los que se puede acceder mediante un enlace público.

Esta limpieza también debe extenderse a las redes sociales. Comprueba quién puede ver tu perfil, tus publicaciones, tu número de teléfono, tu dirección de correo electrónico o tu ubicación. Cierta información aparentemente insignificante, como la fecha de nacimiento, el centro educativo al que asistes o las fechas de tus vacaciones, puede facilitar un fraude dirigido.

2. La lista de comprobación de ciberseguridad para los niños

La ciberseguridad de los niños no puede basarse únicamente en el control parental. Este puede reducir ciertos riesgos, pero no sustituye ni al diálogo ni al aprendizaje de buenos hábitos.

El objetivo no es asustarles. Hay que enseñarles un procedimiento sencillo para cuando una situación les haga sentir incómodos: no responder, conservar las pruebas y acudir inmediatamente a un adulto para contárselo.

Proteger los dispositivos antes del inicio del curso

Las tabletas, los teléfonos y los ordenadores que utilizan los niños deben tener una cuenta independiente de la de los padres. El niño no debería poder instalar aplicaciones libremente ni modificar los principales ajustes de seguridad.

Configura las actualizaciones automáticas, el bloqueo de pantalla y las restricciones adecuadas a su edad. Comprueba los ajustes de privacidad de los juegos, las redes sociales y los servicios de mensajería que utilice.

La guía dirigida a las familias publicada por la CNIL, Cybermalveillance.gouv.fr y la UNAF recomienda, entre otras cosas, ayudar a los niños a configurar sus cuentas y explicarles la utilidad del control parental.

Enseñarles cinco reglas fáciles de recordar

Un niño debe saber que una contraseña no se comparte, ni siquiera con un compañero. También debe comprender que una persona que conoce en un juego o en una red social no es necesariamente quien dice ser.

Antes de publicar una fotografía o un vídeo de otra persona, hay que pedirle permiso. Una imagen enviada en una conversación privada puede copiarse, guardarse o volver a compartirse.

Un regalo virtual, un concurso o un mensaje alarmante nunca justifican facilitar una contraseña, un código recibido por SMS o datos bancarios.

Un niño no debe tener que hacer frente por sí solo a una amenaza, un chantaje, un acoso o la difusión de contenido íntimo.

Por último, no debe borrar inmediatamente los mensajes problemáticos. Las capturas de pantalla, los datos de acceso a las cuentas y los enlaces pueden ser necesarios para denunciar los hechos.

Una frase sencilla puede servir como norma familiar: «Si un mensaje te da miedo, te hace sentir incómodo o te pide que guardes un secreto, no respondas y ven a vernos».

Revisar las nuevas herramientas escolares

Cada inicio de curso aparecen nuevas cuentas: espacio digital de trabajo, mensajería, plataforma educativa, aplicación de transporte o actividades extraescolares.

Para cada una de ellas, comprueba:

• que se haya cambiado la contraseña inicial;
• que no se haya reutilizado en otro servicio;
• que la dirección de recuperación pertenezca efectivamente a la familia;
• que el perfil no revele información personal innecesaria;
• que la aplicación descargada sea efectivamente la aplicación oficial;
• que los permisos solicitados sean coherentes con el servicio prestado.

En el caso de los más jóvenes, las credenciales pueden guardarse en el gestor de contraseñas familiar en lugar de en una hoja metida en la mochila.

Hablar sobre la inteligencia artificial

El inicio del curso 2026 exige incorporar un nuevo hábito: no enviar nunca a una herramienta de inteligencia artificial una fotografía íntima, un documento escolar que contenga datos personales, un historial médico, una contraseña o información confidencial sobre otra persona.

Los niños también deben saber que una imagen, una voz o un vídeo pueden ser generados o manipulados. Una petición urgente que parezca proceder de un ser querido debe verificarse a través de otro canal.

Esta educación crítica es ahora tan importante como aprender a detectar el phishing clásico.

Realizar un ejercicio en familia

Elige un ejemplo de SMS falso de entrega, de mensaje de un videojuego o de una cuenta pirateada. Pregunta al niño qué le parece sospechoso y qué haría.

El ejercicio debe concluir con una regla muy sencilla: en caso de duda, hay que detenerse y pedir ayuda. Es mejor comprobar diez mensajes legítimos que responder por tu cuenta a un intento de fraude.

Cybermalveillance.gouv.fr también ofrece recursos dirigidos a las familias y una campaña de sensibilización diseñada específicamente para los jóvenes, ⁠Cyber en Clair.

3. La lista de comprobación de ciberseguridad en el trabajo

En las empresas, la vuelta al trabajo presenta una situación particular: regreso de las vacaciones, acumulación de mensajes, llegada de nuevos empleados, renovación de proveedores y reanudación de proyectos que, en ocasiones, se habían dejado en suspenso. Este periodo crea un terreno propicio para los errores, los fraudes del presidente y las campañas de phishing.

Por lo tanto, la lista de comprobación debe ir más allá de una simple comunicación de sensibilización. Debe dar lugar a controles verificables.

Comprobar la capacidad real de restauración

No basta con que un panel de control muestre las copias de seguridad en verde. La empresa debe saber qué datos se guardan, durante cuánto tiempo, dónde se almacenan y en qué orden deberán restaurarse los sistemas.

Para cada servicio crítico, hay que definir dos objetivos:

• el RPO, es decir, la cantidad máxima de datos que la organización está dispuesta a perder;
• el RTO, es decir, el tiempo máximo aceptable antes de que se restablezca el servicio.

Una copia de seguridad diaria no satisface la necesidad de una recuperación con menos de una hora de pérdida de datos. Del mismo modo, almacenar varios terabytes en la nube no garantiza que puedan descargarse y restaurarse en los plazos previstos.

Organice una prueba de restauración sobre un servicio representativo. Mida el tiempo necesario, documente las dificultades y compruebe que las personas competentes, los secretos, las licencias y los archivos de configuración estén disponibles.

La ANSSI recomienda, en particular, separar la infraestructura de copias de seguridad de la de producción, utilizar cuentas de administración específicas, mantener una copia fuera de línea y probar periódicamente la restauración. Esta separación es esencial, ya que los atacantes suelen intentar eliminar o cifrar las copias de seguridad antes de lanzar su ataque.

Controles que deben realizarse:

• Elaborar una lista de aplicaciones y datos críticos.
• Comprobar los RPO y RTO con los responsables de las áreas de negocio.
• Comprobar las alertas y los registros de copias de seguridad.
• Comprobar la existencia de una copia fuera de línea o inmutable.
• Asegurarse de que las cuentas de copia de seguridad sean distintas de las cuentas de producción.
• Probar una restauración completa.
• Documentar el orden de reinicio de los servicios.
• Establecer un procedimiento que permita aislar inmediatamente las copias de seguridad en caso de ataque.

Revisar los accesos y los privilegios

El inicio del curso es un buen momento para ajustar los derechos informáticos a la realidad de la organización.

Las cuentas de las personas que han dejado la empresa deben desactivarse. Los empleados que hayan cambiado de puesto no deben conservar automáticamente sus antiguos derechos. Las cuentas de los proveedores deben tener una fecha de caducidad y los accesos de administrador deben limitarse a las personas que realmente los necesiten.

Debe imponerse la autenticación multifactorial en el correo electrónico, los accesos remotos, los servicios en la nube, las herramientas de administración, las plataformas de desarrollo y las aplicaciones que manejan datos sensibles.

Un administrador no debería utilizar su cuenta con privilegios para consultar su correo electrónico o navegar por Internet. Debe disponer de una cuenta habitual para su actividad diaria y de una cuenta separada para las operaciones de administración.

Controles que deben realizarse:

• Exportar la lista de cuentas activas.
• Comparar esta lista con la de empleados y proveedores actuales.
• Desactivar las cuentas huérfanas o en desuso.
• Revisar los grupos de administradores.
• Comprobar que se aplica efectivamente la autenticación multifactorial (MFA), sin excepciones injustificadas.
• Revocar las sesiones antiguas y los dispositivos desconocidos.
• Dejar que caduquen los accesos temporales.
• Controlar las aplicaciones de terceros autorizadas a acceder a Microsoft 365, Google Workspace u otros servicios SaaS.

Poner al día las actualizaciones pendientes

La gestión de parches debe comenzar con un inventario. Una empresa no puede corregir lo que no sabe que tiene.

Es necesario hacer un recuento de los puestos de trabajo, servidores, máquinas virtuales, equipos de red, aplicaciones expuestas a Internet, software específico, hipervisores, soluciones de copia de seguridad y equipos de seguridad.

Se debe dar prioridad a las vulnerabilidades que se están explotando activamente, a los servicios expuestos a Internet y a los componentes que dan acceso a privilegios importantes. Las VPN, los cortafuegos, las pasarelas de correo electrónico y las soluciones de copia de seguridad merecen una atención especial.

Controles que deben realizarse:

• Identificar los equipos que ya no aparecen en la herramienta de gestión.
• Instalar los parches críticos pendientes.
• Actualizar los navegadores, las extensiones y el software de mantenimiento remoto.
• Comprobar las versiones de los cortafuegos, las VPN, los NAS y los hipervisores.
• Retirar o aislar los sistemas que hayan llegado al final de su soporte técnico.
• Establecer un plazo de resolución en función de la gravedad de las vulnerabilidades.
• Comprobar que las actualizaciones se hayan instalado realmente, y no solo programado.

Comprobar la resistencia ante los fraudes de vuelta al cole

Una campaña de sensibilización genérica rara vez es suficiente. Los empleados deben conocer los escenarios que pueden afectarles en su trabajo: cambio de datos bancarios, factura falsa, solicitud urgente de un directivo, invitación a compartir un documento, falso servicio de asistencia informática o solicitud de restablecimiento de un acceso.

Los procedimientos internos deben prever una verificación fuera de canal. Un cambio de datos bancarios, por ejemplo, nunca debería validarse únicamente sobre la base de un correo electrónico. Debe confirmarse mediante un número ya conocido, y no el indicado en el mensaje recibido.

También hay que recordar que una videollamada o un mensaje de voz ya no constituyen necesariamente una prueba de identidad suficiente. Las técnicas de suplantación asistidas por inteligencia artificial refuerzan la importancia de los procedimientos de validación.

Asegurarse de que la empresa sepa qué hacer en caso de incidente

Los primeros minutos suelen tener una influencia importante en el alcance de un incidente. Sin embargo, muchas organizaciones no saben de inmediato a quién contactar ni qué medidas tomar.

Una breve ficha debe especificar:

• a quién avisar dentro de la empresa;
• cómo ponerse en contacto con el proveedor de servicios informáticos o con el equipo de respuesta a incidentes;
• quién puede decidir aislar un puesto de trabajo, un servidor o una sede;
• dónde encontrar las pólizas de seguro cibernético;
• cómo ponerse en contacto con la aseguradora o el corredor;
• qué información hay que conservar;
• a qué organismos habría que informar en su caso;
• qué medios de comunicación utilizar si el correo electrónico habitual no está disponible.

Esta ficha debe existir al margen del sistema de información. No servirá de nada si no se puede acceder a ella en el momento en que los servidores y el correo electrónico estén cifrados.

Para las aseguradoras y los corredores, este punto es especialmente importante. La calidad de las primeras medidas, la conservación de los registros y la rapidez en la movilización de los intervinientes pueden condicionar el análisis del incidente, el control de las pérdidas de explotación y la eficacia de la asistencia prestada.

Una hora para realizar la revisión de inicio de curso

Una lista de comprobación útil debe ser factible. Para un particular o una familia, una hora puede ser suficiente para comprobar las copias de seguridad, activar la autenticación multifactorial (MFA) en las cuentas principales, instalar las actualizaciones y revisar algunos parámetros de privacidad.

En una empresa, este mismo ejercicio debe organizarse como una revisión supervisada, con un responsable, pruebas y fechas de corrección. Marcar una casilla no equivale a una demostración: la existencia de una copia de seguridad debe confirmarse mediante una restauración, la activación de la autenticación multifactorial (MFA) mediante una comprobación de la configuración y la implementación de un parche mediante un informe de conformidad.

De este modo, la vuelta al trabajo puede convertirse en una cita anual sencilla, al igual que un simulacro de evacuación o una revisión contable. Pero las medidas esenciales no deben esperar hasta el próximo mes de septiembre. Las copias de seguridad deben supervisarse de forma continua, los accesos deben revisarse cada vez que se produzca un cambio de personal y las vulnerabilidades deben corregirse según su nivel de gravedad.

La ciberseguridad más eficaz no es necesariamente la más espectacular. Es aquella que convierte unos principios fundamentales en hábitos verificables: saber restaurar, proteger las claves de acceso, corregir rápidamente y estar preparado para reaccionar.

Título SEO: Lista de comprobación de ciberseguridad para la vuelta al cole de 2026: particulares, niños y empresas
. Metadescripción: Copias de seguridad, MFA, contraseñas, actualizaciones y respuesta ante incidentes: la lista de comprobación práctica de ciberseguridad para la vuelta al cole dirigida a familias, niños y empresas.
Palabras clave principales: lista de comprobación de ciberseguridad, ciberseguridad para el inicio del curso 2026, buenas prácticas informáticas, copias de seguridad informáticas, autenticación multifactorial, MFA, protección de los niños en línea, gestión de parches, seguridad informática empresarial, plan de recuperación de actividades.