Septiembre supone para muchas empresas recuperar reuniones, proyectos, oficinas y ritmos de trabajo después del paréntesis vacacional. Pero la vuelta a la normalidad también puede ser un buen momento para comprobar algo menos visible: si la seguridad de la organización regresa en las mismas condiciones en las que se quedó antes del verano.

Durante las vacaciones, algunos equipos han permanecido semanas apagados, otros han salido de la oficina, determinados empleados han trabajado desde ubicaciones externas y pueden haberse incorporado nuevas aplicaciones y servicios digitales a las rutinas de trabajo.

Por ello, ESET España recomienda convertir el inicio del nuevo curso empresarial en una pequeña revisión de seguridad que permita localizar configuraciones obsoletas, accesos innecesarios o cambios que hayan pasado inadvertidos.

«Septiembre puede ser un buen momento para hacer una fotografía del estado de la seguridad de la empresa», explica Josep Albors, responsable de Investigación y Concienciación de ESET España. El objetivo, señala, no es realizar una auditoría completa, sino verificar que las principales medidas de protección continúan funcionando correctamente.

Equipos que llevan semanas sin actualizarse

Uno de los primeros puntos de atención son los dispositivos corporativos. Ordenadores, móviles y servidores que hayan permanecido apagados o desconectados durante parte del verano pueden acumular actualizaciones pendientes.

Antes de reincorporarlos plenamente a la actividad, resulta conveniente comprobar el estado de sistemas operativos, navegadores, aplicaciones y soluciones de seguridad.

La actualización periódica sigue siendo una de las barreras básicas frente a los ciberataques, especialmente porque permite corregir vulnerabilidades conocidas antes de que puedan ser aprovechadas.

¿Quién tiene acceso a qué?

Septiembre también ofrece una oportunidad para revisar las identidades digitales de la organización.

Cambios de puesto, empleados que hayan abandonado la compañía, colaboradores temporales o permisos concedidos a proveedores para proyectos concretos pueden provocar que permanezcan activas cuentas o autorizaciones que ya no tienen una justificación.

La recomendación pasa por revisar usuarios y privilegios aplicando el principio de mínimo privilegio: cada persona debería poder acceder únicamente a los recursos que necesita para desarrollar su trabajo.

En aquellas cuentas especialmente sensibles, la autenticación multifactor añade además una barrera adicional frente al robo de credenciales.

Tener un backup no significa poder recuperarlo

Las copias de seguridad constituyen otro de los elementos que deberían comprobarse tras las vacaciones.

La existencia de un sistema automático de backup no garantiza por sí misma que una organización pueda recuperar su información después de un incidente. Es necesario verificar que las copias se están ejecutando correctamente, que contienen los datos previstos y que el procedimiento de restauración funciona.

Esta capacidad resulta especialmente relevante frente al ransomware, que continúa representando una amenaza significativa para organizaciones de diferentes tamaños.

La pregunta que una empresa debería hacerse, por tanto, no es únicamente «¿tenemos copias?», sino «¿podríamos recuperar nuestros sistemas con ellas si mañana las necesitáramos?».

Los dispositivos también vuelven de vacaciones

Portátiles y teléfonos corporativos pueden haber pasado las últimas semanas conectándose desde viviendas, hoteles, aeropuertos y otras redes alejadas del entorno habitual de la empresa.

Durante ese periodo también pueden haberse instalado aplicaciones, extensiones del navegador o herramientas para solucionar necesidades puntuales.

Esto no implica que un dispositivo utilizado fuera de la oficina esté comprometido, pero sí justifica comprobar qué ha cambiado antes de devolverlo plenamente al entorno corporativo.

Aplicaciones instaladas, sesiones abiertas, extensiones, permisos y actualizaciones pendientes son algunos de los aspectos que conviene revisar.

La IA abre otro frente: saber qué están utilizando los empleados

La última cuestión adquiere especial importancia en 2026: las herramientas digitales que están entrando en las empresas sin pasar necesariamente por los canales corporativos habituales.

El fenómeno no es nuevo y suele asociarse al concepto de shadow IT, pero la popularización de la inteligencia artificial ha añadido una nueva dimensión al problema. Asistentes, plataformas generativas, extensiones y otras aplicaciones pueden comenzar a utilizarse por iniciativa de los propios trabajadores y terminar procesando información corporativa.

Según datos recogidos por ESET en su Threat Report H1 2026, sus laboratorios analizaron cerca de 900.000 AI skills durante la primera mitad del año e identificaron decenas de miles de instancias sospechosas y miles clasificadas como maliciosas.

Para Albors, la respuesta no pasa necesariamente por bloquear cualquier herramienta nueva. «El objetivo no debería ser prohibir por defecto las nuevas herramientas, sino saber cuáles se están utilizando, para qué se usan y qué información se está introduciendo en ellas».

Septiembre como punto de control

La vuelta de vacaciones puede servir así como un punto de control dentro de una estrategia de ciberseguridad que debería mantenerse durante todo el año.

Actualizar los dispositivos, retirar permisos innecesarios, probar la recuperación de backups, revisar los equipos que han trabajado fuera y ganar visibilidad sobre las nuevas aplicaciones utilizadas por los empleados son actuaciones relativamente sencillas.

Porque retomar la actividad no debería significar simplemente volver a encender los equipos, sino comprobar que todo aquello que vuelve a conectarse a la empresa continúa siendo seguro.