El 15 de octubre de 2026, la firma de auditoría BDO publicó seis constataciones extraídas de sus evaluaciones de seguridad en pymes suizas: las bases técnicas suelen ser sólidas, y los ataques rara vez tienen éxito por un fallo puramente técnico. Lo que falta son responsabilidades claras, procedimientos escritos y una dirección que lleve el tema. Un CTO fraccional, es decir, un director de informática a tiempo parcial, puede llenar ese vacío en una pyme sin departamento de informática, siempre que usted sepa lo que hace y, sobre todo, lo que no hace.
Lo esencial
- Según BDO, el eslabón débil de las pymes ya no es el cortafuegos, sino la falta de responsabilidades, de procedimientos y de circuitos de decisión.
- Su proveedor de informática no sustituye un plan de emergencia: la continuidad del negocio sigue siendo responsabilidad de la empresa.
- Según el índice ESET 2026, el 45 % de las empresas encuestadas sufrió un incidente de seguridad en los últimos doce meses.
- Un CTO fraccional dirige, documenta y arbitra. No sustituye ni el soporte del día a día ni una guardia nocturna.
Qué está pasando
Octubre es el Mes Europeo de la Ciberseguridad. BDO Suiza aprovechó la ocasión para publicar lo que observa sobre el terreno, tras numerosas evaluaciones de seguridad realizadas en pymes. Primero, la buena noticia: cortafuegos, antivirus, actualizaciones y copias de seguridad suelen estar en su sitio, y los socios informáticos hacen un trabajo de calidad. Eso es precisamente lo que da a las empresas una falsa sensación de seguridad.
Las carencias están en otra parte. ¿Quién puede validar una orden de pago recibida por correo de parte de la dirección? ¿A quién avisar de un mensaje sospechoso? ¿Quién decide, a las tres de la mañana, apagar sistemas críticos? Muy a menudo, nadie ha respondido a estas preguntas. BDO cita casos típicos: pagos ejecutados a partir de un solo correo, accesos de antiguos empleados todavía activos durante meses, proveedores externos que conservan un acceso permanente sin un control real.
La constatación más útil para un directivo se refiere al proveedor. Muchas empresas dan por hecho que, en caso de incidente, su socio informático se encargará de todo. Puede restaurar los sistemas, siempre que tenga el mandato, las copias de seguridad y los recursos necesarios, y en un ataque de gran escala quizá tenga varios clientes afectados a la vez. Pero ¿cuánto tiempo puede trabajar la empresa sin informática, a qué clientes hay que avisar, quién habla con la aseguradora? Ningún proveedor puede responder en lugar de la empresa. Para BDO, un plan de emergencia que se reduce a un contrato de servicios informáticos no es un plan de emergencia, y los ciberriesgos corresponden a la dirección, igual que un incendio.
Las cifras de ESET apuntan en la misma dirección. Su SMB Cyber Readiness Index 2026, que encuestó a 4400 empresas de 25 a 1000 equipos en 13 países, indica que el 45 % sufrió un incidente en los últimos doce meses. Las causas más citadas no tienen nada de exótico: phishing (26 %), vulnerabilidades sin parchear (23 %), falta de supervisión (22 %), contraseñas débiles (20 %). Y para el 34 % de las empresas, la investigación del incidente llevó de dos a seis semanas. Estas empresas son, en promedio, más grandes que las pymes de 5 a 50 personas de las que hablo aquí, y Suiza no forma parte de la muestra: quédese con el orden de magnitud, no con el decimal.
Qué cambia para usted: para qué sirve un CTO fraccional
En una pyme de 5 a 50 personas, la informática rara vez tiene un responsable. Se reparte entre un proveedor que acude cuando se le llama, un empleado «que sabe de informática» y el directivo, que firma las facturas sin saber siempre lo que compra. Cada uno hace su parte, pero nadie tiene la visión de conjunto. Es exactamente el vacío que describe BDO.
Un CTO fraccional, también llamado director de informática a tiempo parcial, ocupa ese papel unos días al mes. Su trabajo no es reparar, es dirigir.
Sabe lo que usted posee. Inventario de cuentas, suscripciones, datos y accesos: quién tiene las contraseñas, dónde están las copias de seguridad, qué proveedores tienen acceso permanente.
Pone por escrito lo que no está escrito en ningún sitio. La documentación de la instalación, los procedimientos (salida de un empleado, validación de pagos, incidente) y un plan de emergencia en papel.
Arbitra en nombre de la empresa. Compara soluciones, redacta los pliegos de requisitos, revisa las ofertas y los contratos de los proveedores, y comprueba que lo entregado corresponde a lo decidido.
Rinde cuentas a la dirección. Una vez al mes o al trimestre, un estado de situación claro: lo que se ha hecho, lo que sigue en riesgo, lo que hay que decidir.
Lo que no hace importa igual. No arregla la impresora a las ocho de la mañana, no da soporte de primer nivel a cada empleado y no está localizable de noche ni los fines de semana. Si su actividad se detiene cuando se detiene la informática, necesita un proveedor con servicio de guardia y, quizá, un servicio de supervisión permanente. El papel del CTO fraccional es entonces definir ese contrato por escrito, límites incluidos, y comprobar que se cumple. Ambos se complementan; ninguno sustituye al otro.
Lo que he aprendido
Primero vi la informática desde dentro, donde existe un verdadero departamento. Como ingeniero de sistemas en Vacheron Constantin (350 usuarios en tres sedes), dirigí migraciones y gestioné el directorio, la seguridad y las copias de seguridad, antes de que el grupo Richemont me confiara, como asesor, el despliegue entre sus marcas de la infraestructura Citrix que yo había diseñado. Después fui consultor del Estado de Ginebra, en el equipo de mensajería y portales (más de 30 000 usuarios): archivo, almacenamiento, cumplimiento legal. Estas organizaciones tienen procedimientos, responsables y circuitos de decisión. Es precisamente lo que le falta a una pyme, y lo que hay que aportarle a su escala, sin la burocracia que lo acompaña. Mi trayectoria completa está en línea.
El caso que me sirve de referencia es AtonRa Partners, una sociedad de gestión financiera fundada por profesionales procedentes de grandes instituciones. En 2010 querían recrear el entorno que conocían, Lotus Notes incluido. Mi primer trabajo no fue instalar, sino distinguir las necesidades expresadas de las necesidades reales y luego comparar las soluciones, tanto de código abierto como propietarias. La comparación concluyó a favor de Microsoft, aunque yo prefiero el código abierto: una mirada independiente sirve para recomendar lo que conviene a la empresa, no lo que prefiere el asesor. Solo después vinieron los servidores, el correo, la telefonía, los accesos remotos, la documentación y la formación del equipo. En 2013, cuando el equipo pasó de 5 a 15 personas, organicé y acondicioné las nuevas oficinas.
Hay una situación más incómoda que una instalación nueva: retomar el control. El proveedor se fue, nadie conoce las contraseñas ni la arquitectura, y nada está documentado. En ese caso, empiezo por el mismo trabajo: inventario, recuperación de los accesos, documentación. El objetivo no es que usted dependa de mí en lugar del proveedor anterior, sino que nunca más dependa de una sola persona.
Por eso mi oferta de seguimiento mensual lo dice todo por escrito: actualizaciones, supervisión, prueba de restauración trimestral, y sin guardia 24/7. Prefiero que lo sepa antes de firmar y no a las tres de la mañana.
Qué hacer en concreto
1. Designe a un responsable en la dirección
Una persona de la dirección es responsable de la informática y de sus riesgos, y el tema se trata al menos una vez al año en una reunión de dirección. Es la primera pregunta de la autoevaluación de BDO, y sin ella las siguientes suelen quedarse sin respuesta.
2. Haga el inventario de lo que posee
Cuentas de administrador, suscripciones, ubicación de los datos, copias de seguridad, proveedores con acceso. Guarde las contraseñas en un gestor de contraseñas que pertenezca a la empresa, no a un empleado ni a un proveedor.
3. Ponga por escrito el papel de su proveedor
¿Qué hace en caso de incidente, en qué plazos y dónde termina su compromiso? ¿Cuánto tardaría una restauración completa? Si nadie sabe responder, ya sabe por dónde empezar.
4. Pruebe una restauración
Una copia de seguridad que nunca se ha restaurado no es más que una esperanza. Pida que se restaure una carpeta, luego un servidor entero, y cronométrelo. Lo explico con más detalle en el artículo sobre copias de seguridad y ransomware.
5. Cierre los accesos olvidados y escriba los procedimientos
Antiguos empleados, antiguos proveedores, cuentas compartidas: cierre lo que ya no se usa. Después escriba tres procedimientos cortos: llegada y salida de un empleado, validación de pagos por un segundo canal y qué hacer en caso de incidente, en papel.
6. Elija su modelo
Un informático en plantilla si la informática ocupa a alguien a tiempo completo, un proveedor solo si sus necesidades son simples y están bien delimitadas, o un CTO fraccional que dirige, junto con un proveedor de guardia si su actividad no tolera interrupciones.
Preguntas frecuentes
¿Qué diferencia hay entre un CTO fraccional y un proveedor de informática?
El proveedor ejecuta: instala, repara y mantiene. El CTO fraccional decide con usted lo que hay que hacer, redacta los requisitos, controla el trabajo del proveedor y rinde cuentas a la dirección. Trabaja para la empresa, no para un fabricante.
¿Un CTO fraccional sustituye un servicio de guardia?
No. No está localizable de noche ni los fines de semana. Si una caída de sus sistemas paraliza su actividad, necesita un proveedor con una guardia contractual; el CTO fraccional le ayuda a definirla y a comprobar que funciona.
¿Cuándo es mejor contratar a alguien en plantilla?
Cuando la informática ocupa a una persona a tiempo completo, o cuando necesita a alguien en el sitio cada día. El tiempo parcial conviene a las empresas que necesitan a alguien que dirija, no a un técnico permanente.
Para ir más lejos
Hago un estado de situación por escrito de su informática y de su organización, y luego le ayudo a decidir y a mantener el rumbo: vea la página Estrategia y acompañamiento. Para retomar el control técnico y el seguimiento mensual, vea la página Sistemas e infraestructura. Para saber si un CTO fraccional tiene sentido en su empresa, hablemos en una llamada de 20 minutos.
Fuentes
- La cybersécurité dans les PME suisses : six constats tirés de la pratique (La ciberseguridad en las pymes suizas: seis constataciones de la práctica, en francés), BDO Suiza, 15 de octubre de 2026.
- ESET SMB Cyber Readiness Index 2026, ESET, edición mundial, mayo de 2026 (4400 empresas de 25 a 1000 equipos en 13 países, encuesta de Go4insight).
Foto: Ivan N / Unsplash (unsplash.com/photos/AfStyhXC5kM).
Etiquetas: CTO fraccional, director de informática, pymes, gobernanza de TI, ciberseguridad, proveedor de informática, plan de emergencia