Correo de empresa: seis preguntas para saber quién mantiene sus defensas
Un inventario de responsables y comprobaciones ayuda a convertir filtros y autenticación en un servicio mantenido, sin pedir contraseñas a los empleados.
¿Quién comprueba que el correo de la empresa sigue protegido después de contratarlo? La guía de aproximación al ransomware de INCIBE dedica un apartado a los filtros contra mensajes no deseados, la autenticación del correo y el análisis de archivos. También recomienda revisar la configuración y limitar privilegios. Son medidas de prevención de una guía publicada anteriormente, no el anuncio de una nueva obligación para las pymes en octubre de 2026.
El problema organizativo aparece cuando una dirección de correo parece tener un único responsable, pero depende de varias tareas. Quien atiende el buzón puede no administrar el servicio; quien paga la factura puede no conocer quién recibe las alertas. Nuestra propuesta es separar esas funciones antes de tocar ajustes: uso cotidiano, administración técnica y decisión sobre cambios. No exige poner contraseñas en una hoja compartida.
Para una reunión con el proveedor proponemos seis preguntas concretas: qué direcciones y alias existen; quién puede administrar cada servicio; qué protección se incluye; quién revisa avisos y excepciones; cómo se informa de un incidente; y cuándo se comprobó por última vez el funcionamiento. En cada respuesta conviene dejar una persona o equipo responsable y una fecha de revisión, evitando que la respuesta sea simplemente que lo lleva informática.
Por ejemplo, una pyme ficticia puede usar ventas para consultas y otro servicio para enviar confirmaciones de pedidos. Si solo se inventaría el buzón visible, el segundo envío puede quedar fuera de la conversación. Una ficha propia que diferencie uso, proveedor y responsable permite preguntar si ambos recorridos están contemplados, sin afirmar que deban compartir idéntica configuración ni copiar registros técnicos de otra empresa.
INCIBE menciona SPF, DKIM y DMARC entre los mecanismos que pueden ayudar frente a la suplantación cuando se implementan correctamente. No son una razón para considerar verdadero cualquier contenido recibido ni sustituyen la gestión de accesos. Antes de cambiar un dominio o sus registros hay que evaluar con el administrador los servicios que envían correo legítimo y cómo comprobar que continúan funcionando.
El resultado útil de esa reunión es un inventario que se pueda mantener, no un certificado de inmunidad. Aquí no se han inspeccionado buzones ni se solicita información de clientes o empleados. La propuesta sirve para aclarar responsabilidades y detectar preguntas sin respuesta; una auditoría técnica de un sistema concreto necesita sus propias comprobaciones.