La seguridad mínima que debes exigirle a tu sistema
Por el equipo de Stonework · Actualizada el · 7 min de lectura
Respuesta corta
Exige siete cosas: permisos por rol probados, verificación en dos pasos en todas las cuentas de administración, respaldos con la regla de tres copias que alguien ya restauró, registro de quién hizo qué, cifrado, llaves fuera del código y dependencias al día. Empieza por los permisos: OWASP encontró alguna falla de control de acceso en 100% de las aplicaciones que probó para su lista de 2025. Y activa hoy la verificación en dos pasos: según un estudio de Microsoft, reduce 99.22% el riesgo de que roben una cuenta.
Por qué esto te toca a ti, aunque no programes
Si tu sistema guarda datos de clientes o empleados, ante la ley de protección de datos el responsable eres tú, no tu proveedor. Y el riesgo número uno no es un ataque sofisticado: es una puerta que nadie cerró, como verás abajo.
No necesitas saber programar para exigir seguridad. Necesitas saber qué pedir y cómo comprobar que lo hicieron.
El OWASP Top 10:2025, explicado para un dueño
OWASP es una comunidad abierta de seguridad de aplicaciones. Su lista Top 10 reúne los diez riesgos más importantes en aplicaciones web, y la vigente es la de 2025.
| Código | Riesgo | Cómo se ve en tu negocio |
|---|---|---|
| A01 | Control de acceso roto | El cajero ve los reportes del dueño, o un cliente cambia un número en la dirección de la página y ve el pedido de otro |
| A02 | Configuración de seguridad incorrecta | Un panel de administración abierto, una contraseña de fábrica, una base de datos visible desde internet |
| A03 | Fallas en la cadena de suministro | Una pieza de terceros que usa tu sistema trae un hueco, o no es lo que dice ser |
| A04 | Fallas criptográficas | Datos que viajan o se guardan sin cifrar, contraseñas guardadas tal cual |
| A05 | Inyección | Alguien escribe en un formulario algo que el sistema ejecuta como una orden |
| A06 | Diseño inseguro | El proceso permite el abuso: un cupón que se aplica sin límite, un reembolso sin aprobación |
| A07 | Fallas de autenticación | Se aceptan contraseñas débiles, no hay límite de intentos, la sesión nunca vence |
| A08 | Fallas de integridad del software o de los datos | El sistema acepta actualizaciones o datos sin comprobar de dónde vienen |
| A09 | Fallas de registro y alertas | Pasa algo grave y nadie se entera, o no hay forma de saber quién lo hizo |
| A10 | Manejo incorrecto de condiciones excepcionales | Algo sale mal y el sistema sigue como si nada, o deja los datos a medias |
La primera es la que más pesa. En la página de A01, OWASP dice que 100% de las aplicaciones que probó tenía alguna forma de control de acceso roto.
Es el mismo error detrás de varias filtraciones de apps hechas con generadores de IA, que contamos en ¿puedo hacer mi app con IA?.
A09 y A10 tienen algo en común: el peligro es que algo falle sin avisar. Nos pasó en uno de nuestros productos con las plantillas de WhatsApp.
Si el sistema manda las variables en el formato equivocado (con nombre en lugar de número o al revés), Twilio no marca error y entrega el texto de ejemplo de la plantilla. Sin una revisión propia, el error no aparece en ningún lado.
Los siete controles que debes exigir
- Permisos por rol, probados. Cada rol ve y hace solo lo suyo, y hay pruebas automáticas que lo comprueban en cada cambio. OWASP recomienda negar el acceso por omisión e incluir las revisiones de permisos en las pruebas.
- Verificación en dos pasos en correo, nube, dominio, repositorio, pagos y tiendas de apps. El estudio de Microsoft analizó cuentas de Azure Active Directory: reduce 99.22% el riesgo de que roben una cuenta, y 98.56% aun cuando la contraseña ya se había filtrado.
- Respaldos con la regla de tres copias, probados. Lo explicamos abajo.
- Registro de quién hizo qué. Quién cambió un precio, borró un cliente, canceló una factura o entró como administrador, y cuándo. Sin eso no puedes investigar nada.
- Cifrado. Todo el sistema por HTTPS, los datos cifrados donde se guardan y las contraseñas guardadas con un método hecho para eso, nunca tal cual.
- Llaves fuera del código. Las contraseñas de servicios (pagos, WhatsApp, base de datos) viven en el servidor o en un gestor, nunca en el repositorio ni en la parte del sistema que corre en el navegador.
- Dependencias al día. Tu sistema usa piezas de terceros. Alguien debe saber cuáles son, revisar sus avisos de seguridad y actualizarlas.
Las llaves filtradas no son un riesgo teórico. GitGuardian detectó 28.6 millones de secretos nuevos (llaves y contraseñas) en código público de GitHub en 2025.
De los secretos válidos que encontró en 2022, 64% seguían activos cuatro años después. Si una llave se filtra, se cambia ese mismo día.
Respaldos: tres copias, dos medios, una fuera, y probados
La regla, como la resume Backblaze: tres copias de tus datos, en dos medios distintos, con una copia fuera del sitio. En la nube, "dos medios" quiere decir dos dispositivos distintos.
CISA, la agencia de ciberseguridad de Estados Unidos, agrega dos cosas en su guía contra el secuestro de datos (ransomware): que haya respaldos fuera de línea y cifrados, y que se pruebe con regularidad que se pueden restaurar.
Muchas variantes de secuestro de datos buscan los respaldos a su alcance para borrarlos o cifrarlos.
Revisa también lo que da tu plan. En Supabase, la base de datos que usamos, el plan gratuito no incluye respaldos automáticos y el Pro guarda respaldos diarios por siete días. La recuperación a un punto exacto en el tiempo cuesta desde USD 100 al mes.
Un respaldo que nadie ha restaurado no sabes si sirve. Pide la fecha de la última restauración de prueba.
Qué preguntarle a tu proveedor
| Pregunta | Una buena respuesta se parece a |
|---|---|
| ¿Cómo prueban que cada rol ve solo lo suyo? | "Hay pruebas automáticas por rol que corren en cada cambio" |
| ¿Qué cuentas tienen verificación en dos pasos? | "Todas las de administración, y están a nombre de tu empresa" |
| ¿Dónde están los respaldos y cuándo restauraron uno? | Un lugar concreto y una fecha |
| ¿Queda registro de quién cambia o borra datos? | "Sí, y te enseño dónde consultarlo" |
| ¿Dónde viven las llaves y qué pasa si se filtra una? | "En el servidor o en un gestor, y hay un procedimiento para cambiarlas" |
| ¿Cada cuánto actualizan las dependencias? | Un proceso y una frecuencia, no "cuando haga falta" |
| ¿Qué datos personales guarda el sistema y quién los ve? | Una lista, campo por campo |
Si a alguna contesta "eso lo vemos después", pide que quede en el alcance por escrito. Y revisa que las cuentas sean tuyas: ¿de quién es el código?.
Qué tiene que ver la ley de protección de datos
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares de 2025 te pide, como responsable:
- Establecer y mantener medidas de seguridad administrativas, técnicas y físicas, no menores a las que usas para tu propia información, según el riesgo, la sensibilidad de los datos y el desarrollo tecnológico (art. 18).
- Informar de inmediato a las personas cuando una vulneración afecte de forma significativa sus derechos patrimoniales o morales (art. 19).
Tu proveedor, si opera la base de datos, es persona encargada: trata los datos por cuenta tuya (art. 2, fracción XII).
Los siete controles son la parte técnica. El aviso de privacidad, los derechos de las personas y lo demás está en la ley de protección de datos para tu sistema.
Cuándo no hace falta más
Para un sistema interno de pyme, estos siete controles bien hechos cubren los errores más comunes. No necesitas contratar una auditoría externa para empezar.
Una prueba de penetración o una certificación tienen sentido cuando un cliente corporativo o un regulador las pide, o cuando guardas datos sensibles a gran escala. Antes de pagar por eso, comprueba que lo básico de esta lista ya está.
Preguntas frecuentes
- ¿Mi sistema necesita una auditoría de seguridad?
- No siempre. Pide primero los siete controles y sus pruebas; una auditoría externa conviene cuando un cliente o un regulador la exige o cuando guardas datos sensibles.
- ¿Sirve la verificación en dos pasos por SMS?
- Sirve mucho más que no tener nada. Para el correo y las cuentas críticas, CISA recomienda métodos resistentes al phishing, el engaño para robar contraseñas.
- ¿Cada cuánto hay que probar los respaldos?
- CISA pide probarlos con regularidad, sin fijar un número. Una práctica razonable es restaurar uno al menos cada trimestre y después de cualquier cambio grande.
- ¿Qué hago si hubo una filtración?
- Cambia llaves y contraseñas, revisa el registro de quién hizo qué y consulta a un abogado. Si afecta de forma significativa a las personas, la ley pide avisarles de inmediato (art. 19).
Fuentes
- OWASP Top 10:2025. OWASP.
- OWASP Top 10:2025, A01 control de acceso roto. OWASP.
- Qué tan efectiva es la autenticación de varios factores contra ataques. Microsoft (Meyer y otros), 1 de mayo de 2023.
- La estrategia de respaldo de tres copias, dos medios y una fuera del sitio. Backblaze, 23 de mayo de 2024.
- Guía contra el secuestro de datos (#StopRansomware). CISA, septiembre de 2023.
- Precios de Supabase. Supabase, consultado el 3 de noviembre de 2026.
- Estado de la dispersión de secretos 2026. GitGuardian.
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025, última reforma 14 de noviembre de 2025). Cámara de Diputados.
Aviso. Esta guía explica la ley en términos generales con base en los textos vigentes que se citan. No es asesoría legal ni fiscal y no sustituye a un abogado o a un contador que conozca tu caso.
Cómo hacemos estas guías. Cada cifra lleva su fuente y su fecha; lo que no tiene fuente no entra, y los ejemplos ilustrativos se dicen como tales. Las revisamos antes de publicarlas, cada tres meses y cuando cambia algo que citan.
Cuándo se revisa esta guía. Cuando OWASP publique una lista nueva, cuando cambien los planes de respaldo de Supabase o cuando se reforme la ley de protección de datos.
Quién la escribe. El equipo de Stonework, un estudio de software en Ciudad de México que construye y opera EventQR, CuentaFácil y Conto, y hace software a la medida para negocios.