Las PYMEs deben asegurar que sus canales de pago (tarjetas, transferencias, criptomonedas) usen canales de cifrado fuerte y autenticación robusta.

Algunas Frases sobre el dinero:

Benjamin Franklin: «Un centavo ahorrado es un centavo ganado».

Thomas Jefferson: «Nunca gastes tu dinero antes de tenerlo».

Woody Allen: «El dinero no da la felicidad, ciertamente; pero tampoco es un serio obstáculo».

Will Rogers: «Demasiadas personas gastan dinero que no han ganado para comprar cosas que no quieren, para impresionar a las personas que no les agradan».

Arnold Schwarzenegger: «Yo tengo 50 millones de dólares, pero sigo igual de feliz que cuando tenía 48 millones».

Maya Angelou: «Sólo puedes ser el mejor si haces algo que amas. No dejes que el dinero sea tu meta, en vez de eso, escoge hacer cosas que ames y hazlas tan bien que la gente no pueda dejar de notarte».

Paul Krugman: «Todos somos vulnerables a las creencias que nos resultan convenientes».

 

Un día, un amigo me llama. Oye, tú que te dedicas a esto, tengo un cliente que le han robado 43.000€. Borraron la cuenta de una factura de un proveedor, pusieron otra y pagó a otra persona. Ahora ni el proveedor ha cobrado, además le está reclamando que le pague de nuevo. ¿Qué podemos hacer?. Era 2018 y reconozco que entonces no tenía ni experiencia en estos temas, ni referencias. Me puse a estudiar. Han pasado siete años y reconozco que esto se ha puesto mucho más difícil. Pero seguimos teniéndo herramientas para solucionar este tipo de problemas.

Hoy sabemos que el email es una herramienta absolutamente insegura si no se usa adecuadamente, y que es necesario que las empresas implementen seguridad que permita proteger el canal de pagos: desde los pagos a proveedores/clientes, tarjetas de pago, incluso criptoactivos, ya que irán penetrando en el mercado en cuanto se vaya tokenizando la economía global.

Plataformas y buenas prácticas para pagos electrónicos seguros

Toda web de venta debe tener HTTPS/TLS, que cifra los datos en tránsito. Y además, tokenizar la información sensible (reemplazar datos reales por “tokens”), minimiza el almacenamiento de datos críticos. La tokenización es el proceso de reemplazar datos confidenciales con símbolos de identificación únicos que retienen toda la información esencial sobre los datos sin comprometer su seguridad. La tokenización, que busca minimizar la cantidad de datos que una empresa necesita tener a mano, se ha convertido en una forma popular para que las pequeñas y medianas empresas refuercen la seguridad de las transacciones de tarjetas de crédito y de comercio electrónico, al tiempo que minimizan el costo y la complejidad del cumplimiento de las normas de la industria y las regulaciones gubernamentales.

Es básico cumplir la norma PCI DSS (para tarjetas de pago): exige cifrado de datos, 2FA/3DS y controles de acceso estrictos.

• Cifrado de extremo a extremo: Use TLS para pagos web y protocolos seguros (por ejemplo, RTP o FedNow para ACH). Un certificado SSL válido garantiza que los números de tarjeta y cuentas bancarias viajen cifrados. Eviten otros sistemas menos seguros.

• Tokenización y normativas: Almacene tokens en lugar de datos reales de tarjeta. Esto facilita el cumplimiento de PCI DSS y reduce el impacto de posibles fugas de datos. Pasarelas modernas (Stripe, Adyen) cifran todo con AES-256 y cumplen PCI Nivel 1.

• Autenticación multifactor: Imponga 2FA o autenticación reforzada (SCA) en pagos y acceso a cuentas. Según PSD2, todas las transacciones deben requerir al menos dos factores (algo que se sabe, se tiene o se es). Esto mitiga fraudes incluso si se roban credenciales.

• Detección de fraude: Active mecanismos AVS (verificación de dirección), CVV, geolocalización y límites de velocidad en transacciones. Muchos proveedores usan IA para detectar patrones anómalos (por ejemplo, Stripe Radar).

• Proveedor confiable: Elija pasarelas reputadas. Por ejemplo, Stripe (Irlanda) soporta múltiples divisas, tokenización y 3D; PayPal (EE.UU.) ofrece fácil integración con cifrado y detección de fraudes; Adyen (Países Bajos) es PCI-DSS nivel 1 y cifra todos los datos de tarjeta con auditorías externas. Para Latinoamérica, Mercado Pago o Totvs Getnet ofrecen soluciones adaptadas al mercado local.

• En criptomonedas, use pasarelas como Coinbase Commerce, Bitbavo, o BitPay que convierten cripto a moneda fiat y cumplen con medidas KYC/AML, evitando la volatilidad.

Ejemplo de tabla comparativa: las siguientes soluciones ilustran enfoques de seguridad:

 

Validación de pagos, firma digital y mensajería cifrada

Para cada instrucción de pago u orden, exija confirmaciones adicionales y comprobaciones de firma. Validación de pagos: implemente notificaciones de pago y confirma manual o automáticamente cada transacción inusual. Los bancos ofrecen avisos de débito por SMS/email y APIs de conciliación. Use también la Autenticación Reforzada de Clientes (PSD2) según para validar identidad en cada pago.

Firma digital (eSign): En contratos y órdenes clave, aplique firma electrónica avanzada o cualificada con certificación según eIDAS. Los proveedores de servicios de confianza (CámaraCert, DocuSign, AdobeSign, Signaturit, Globalsign, etc.) emiten certificados que garantizan integridad y origen. Bajo eIDAS, las “firmas cualificadas” tienen la misma validez legal que la firma manuscrita. Se recomienda usar soluciones europeas (Camerfirma, E-FFF, InfoCert, Signaturit) para asegurar soberanía y compatibilidad legal.

Mensajería cifrada: Proteja las comunicaciones (órdenes, facturas, datos sensibles) usando cifrado de extremo a extremo. Para correo electrónico, emplee PGP/S/MIME o servicios cifrados como ProtonMail o Tresorit. Por ejemplo, Tresorit Email Encryption cifra los emails de forma que solo emisor y receptor pueden leer. Para mensajería instantánea corporativa, use apps seguras: Signal o Threema (E2E nativo) o plataformas federadas como Matrix/Element. Evite canales abiertos (correo sin cifrar, WhatsApp empresarial no gestiónable) para datos sensibles. En APIs internas, aplique siempre TLS y firme las peticiones (OAuth2 con JWT firmados o HTTPS mutuo). Recuerde que los canales moderados de Threema, evitan problemas desagradables para las empresas como denuncias por mobing, garantizan la desconexión digital, problemas entre empleados.

Recomendaciones prácticas: use gestores de contraseñas corporativos y autenticadores de hardware; habilite alertas de fraude en 2FA; solicite certificaciones de proveedor.

Advertencias: no use algoritmos obsoletos (SHA-1, MD5); no comparta llaves privadas; no ignore las alertas de pagos anómalos.

Soberanía tecnológica, privacidad y ética

La protección integral también requiere soberanía tecnológica y respeto a la privacidad. Siempre que sea posible, opte por software libre y soluciones abiertas: aloje datos críticos en servidores propios o en nubes europeas que garanticen la privacidad. Por ejemplo, use Nextcloud (computación en la nube autohospedada, Alemania), o OwnCloud. Esto evita dependencia de gigantes tecnológicos opacos como Google o Microsoft. La estrategia “multi-proveedor” y diversificación evita tener “todos los huevos en la misma cesta”. Mantenga copias de seguridad locales y controle siempre sus credenciales y procesos internos. Copias de Seguridad Cifradas (Veracrypt)

En cuanto a privacidad empresarial, aplique principios de protección de datos desde el diseño: minimice la recolección de datos, anonimice cuando sea viable y cifre datos en reposo. Evite tener copias de documentos como DNIs que no sean imprescindibles y, empresarialmente, no lo son. Contrate proveedores que ofrezcan transparencia en tratamiento de datos y permitan auditorías (acuerdos DPA claros, sede en la UE para GDPR, no aplicación extrajurisdiccional como Cloud Act). Evalúe políticas éticas de los proveedores (uso responsable de IA). Promueva la formación en ciberseguridad entre empleados y establezca códigos de conducta digital claros. Separe terminales de empresa de terminales personales. Aplicaciones de empresa en terminales de Empresa. Políticas de seguridad 2FA en todo.

Finalmente, los valores corporativos deben reflejarse en la elección tecnológica: priorice proveedores locales , y proyectos europeos como Gaia‑X que impulsan la soberanía de datos. Así se protege la empresa de prácticas abusivas de grandes plataformas y se garantiza la protección de datos de clientes y empleados de acuerdo con la propia ética empresarial.

Cumplimiento normativo (PSD2, MiCA, eIDAS, GDPR, etc.)

Las soluciones adoptadas deben alinearse con la normativa aplicable:

• PSD2 (UE): Obliga a bancos y pagos a Autenticación Reforzada (SCA) con 2FA en casi todas las transacciones digitales, y fomenta la API Abierta (Open Banking) con estándares comunes. Las PYMEs que ofrezcan servicios de pago u operen como plataformas deben preparar APIs compatibles y permitir verificaciones de identidad (OAuth2, OpenID Connect).

• MiCA (UE): El futuro reglamento de criptoactivos exigirá registro de proveedores de custodia/intermediación, requisitos de capital, divulgación de riesgos y auditorías anuales. Exigirá “book blanco” transparentes y medidas para proteger los fondos de clientes. Si su empresa acepta o gestiona criptomonedas, asegúrese de trabajar con plataformas registradas que ya cumplan estándares KYC/AML (MiCA reforzará estas obligaciones).

• eIDAS (UE): Establece estándares de firma digital y servicios de confianza. Se reconoce la validez de certificados y firmas electrónicas cualificadas en todos los países de la UE. Use prestadores acreditados para firma y sellado electrónico; así, documentos fiscales u órdenes firmadas electrónicamente tendrán pleno valor jurídico.

• GDPR (UE): Protege datos personales en cualquier operación digital. Asegúrese de obtener consentimientos claros (email, cookies), de implementar cifrado en bases de datos de clientes/empleados y de mantener registros de acceso. Para PYMEs sin DPO designado, basta con evaluaciones de impacto cuando se procesen datos sensibles. Documente los flujos de datos y notifique brechas (e.g. a la AEPD) según ley.

• Otras normas relevantes: PCI DSS (norma industrial de tarjetas) debe cumplirse para cualquier dato de tarjetas. En comercio exterior, siga estándares ISO 27001 (gestión de seguridad) y BASC/ISAGO (seguridad de la cadena de suministro). Si opera en mercados como EE. UU., tenga en cuenta las leyes locales (p.ej. Ley de Seguridad de la Información Financiera). Para soluciones de mensajería corporativa, implementaciones de NIS2 (UE) exigirán controles de ciberseguridad adicionales para operadores críticos.

Recomendación: manténgase al día con la evolución de PSD2 (próximo PSD3), MiCA, y regulaciones nacionales. Use checklist de organismos oficiales (AEPD, CNMV, BCE) y asesores legales para cada tecnología nueva implementada. Implementar certificaciones ISO (27001) o cumplir con marcos reconocidos (NIST, COBIT) puede facilitar la demostración de cumplimiento ante clientes y autoridades.

Conclusiones y recomendaciones clave

• Invierte en seguridad desde el primer paso: adopta cifrado, tokenización y 2FA por defecto; realiza auditorías regulares de vulnerabilidades.

• Elige proveedores fiables y transparentes: prioriza aquellos con certificaciones reconocidas (PCI, eIDAS, ISO) y políticas de datos claras.

• Diversifica y controla: evita dependencia de un solo proveedor (big tech); hospeda en nubes locales/propias o en ecosistemas de datos europeos.

• Cumple y documenta: integra el cumplimiento regulatorio en las operaciones diarias (log de accesos, encriptación en bases de datos, revisiones legales periódicas) para facilitar auditorías y generar confianza.

• Capacita al equipo: promueve cultura de ciberseguridad (concienciación ante phishing, políticas internas). Una falla humana puede anular las mejores herramientas.

• Vigilancia y respuesta: implementa detección de intrusiones, responda a incidentes (plan de contingencia) y revise los contratos con proveedores (cláusulas de responsabilidad, lugar de datos).

Siguiendo estas recomendaciones, las PYMEs podrán proteger sus canales de pago, mensajería y órdenes digitales de forma integral, conservando la soberanía de sus procesos y alineándose con las exigencias legales y éticas actuales.

Fuentes:

• Reglamentos eIDAS y MiCA de la UE

• PDS 2 y autenticación reforzada de clientes (BBVA)

• ¿Qué es MiCA, reglamento de mercados de criptoactivos (Coinbase)?