¿Qué tan segura está la información de tus clientes? Guía para despachos contables

Los despachos contables trabajan todos los días con datos que exigen cuidado especial: RFC, CURP, CFDI, declaraciones, datos bancarios, recibos de nómina, expedientes laborales, credenciales de acceso y otros documentos fiscales o personales.

En 2026, proteger la información de tus clientes no es solo un tema de tecnología. También forma parte de la gestión del despacho y del cumplimiento en materia de datos personales. Por ello, un correo falso, una contraseña comprometida o un acceso no autorizado puede afectar a varios contribuyentes y debilitar la confianza depositada en el despacho.

Además, las buenas prácticas de ciberseguridad ayudan a prevenir incidentes y a mantener esos expedientes resguardados. A continuación verás medidas concretas para fortalecer la seguridad digital del despacho. Quien concentra varios RFC en un software de contabilidad en México también necesita controlar quién entra a cada expediente.

Por qué los despachos deben reforzar su seguridad digital

Un despacho puede concentrar información de decenas o incluso cientos de contribuyentes. En consecuencia, una cuenta de correo comprometida, una contraseña filtrada o un equipo infectado puede poner en riesgo expedientes de varios clientes a la vez.

Entre las amenazas que conviene tener presentes están el phishing, el robo de credenciales, el malware, el ransomware, la suplantación de identidad y los accesos no autorizados.

Asimismo, la Guardia Nacional, a través de CERT-MX, mantiene durante 2026 recomendaciones para prevenir este tipo de incidentes. Verificar las notificaciones que llegan por correo o mensajería, usar doble factor de autenticación, mantener los sistemas actualizados y evitar aplicaciones no autorizadas forman parte de esas medidas.

Utiliza contraseñas seguras y diferentes

Repetir la misma clave en el correo, los sistemas administrativos, el almacenamiento en la nube y otras plataformas aumenta el daño si alguien roba una sola credencial.

Por eso, conviene usar contraseñas robustas y distintas en cada servicio. Las frases de contraseña largas pueden ser una buena alternativa cuando la plataforma lo permita.

Esas claves no deberían compartirse entre integrantes del despacho ni enviarse por correos o mensajes sin protección.

Las recomendaciones oficiales en materia de protección de datos señalan la importancia de resguardar dispositivos y servicios con contraseñas. También conviene evitar las que sean fáciles de adivinar o que ya hayan sido comprometidas.

Activa la autenticación de dos factores

Una contraseña puede robarse mediante phishing, filtraciones de datos o software malicioso. Por ello, un segundo mecanismo de autenticación reduce el riesgo de accesos no autorizados.

La autenticación de dos factores, también conocida como 2FA, puede pedir un código adicional, una aplicación de autenticación u otro mecanismo después de la contraseña.

CERT-MX recomienda activar el doble factor en el correo electrónico y en otros servicios digitales.

Para un despacho, conviene priorizar esta protección en cuentas de correo, almacenamiento en la nube, sistemas administrativos, servicios bancarios y cualquier plataforma que guarde información sensible de los clientes.

Limita los accesos según la función de cada persona

No todos los integrantes del despacho necesitan ver toda la información.

Por ejemplo, quien lleva la facturación electrónica puede requerir CFDI y datos de clientes, pero no necesariamente expedientes de nómina, información bancaria o configuraciones administrativas.

Una buena práctica consiste en asignar solo los permisos necesarios para que cada usuario haga su trabajo. De esta manera, resulta más sencillo controlar accesos y retirar permisos cuando alguien cambia de puesto o deja de colaborar.

Asimismo, conviene usar cuentas individuales en lugar de compartir un mismo usuario entre varias personas.

Ten cuidado con los correos y mensajes falsos

Los ataques de phishing buscan engañar a la persona para obtener contraseñas, códigos de verificación u otra información confidencial.

Un mensaje puede aparentar que proviene de una institución, de un proveedor, de un cliente o incluso de alguien dentro de la organización.

En este sentido, CERT-MX recomienda corroborar el remitente y verificar por canales oficiales las notificaciones recibidas. También conviene evitar abrir enlaces sospechosos o entregar contraseñas y códigos de verificación a distancia.

Si un texto pide con urgencia descargar un archivo, ingresar una clave, realizar un pago o entregar datos de un cliente, lo recomendable es confirmar la solicitud por un medio independiente antes de actuar. La guía sobre fraudes fiscales digitales muestra señales parecidas cuando el remitente se hace pasar por el SAT.

Mantén equipos y programas actualizados

Posponer actualizaciones puede dejar vulnerabilidades conocidas sin corregir.

Por eso es importante mantener al día los sistemas operativos, navegadores, antivirus, aplicaciones y demás programas que usa el despacho.

También debe evitarse instalar programas, extensiones o aplicaciones de procedencia desconocida. En agosto de 2026, CERT-MX reiteró que instalar aplicaciones no autorizadas puede poner en riesgo tanto el equipo como la información almacenada.

Realiza respaldos periódicos

Un respaldo puede ser decisivo ante una falla de hardware, una eliminación accidental de archivos o un ataque de ransomware.

El ransomware es un tipo de software malicioso que puede cifrar información y después usarla para exigir un pago.

Además, CERT-MX recomienda hacer copias de seguridad periódicas y guardarlas de forma segura, junto con sistemas y herramientas de protección actualizados.

Para un despacho, conviene definir qué información se respalda, con qué frecuencia, quién es responsable y cómo se recupera en una emergencia.

Hay que comprobar de vez en cuando que esos respaldos realmente puedan restaurarse.

Protege los equipos de trabajo

La seguridad no termina al cerrar una aplicación.

Cuando una computadora queda desbloqueada, otra persona puede abrir documentos, correos o sistemas que ya tienen una sesión iniciada.

Entre las recomendaciones publicadas por CERT-MX en 2026 están bloquear el equipo cuando no se usa y evitar que personas ajenas utilicen los dispositivos de trabajo.

En equipos portátiles también deben considerarse medidas para reducir el riesgo si el dispositivo se pierde o lo roban.

Revisa cómo almacenas información en la nube

Los servicios en la nube pueden facilitar el trabajo del despacho, pero deben configurarse correctamente.

Antes de subir expedientes de clientes conviene revisar los permisos de acceso, los mecanismos de autenticación, las condiciones del proveedor, la recuperación de información y las medidas de seguridad disponibles.

Deja fuera de enlaces abiertos las carpetas y los documentos confidenciales. En México existen criterios específicos para contratar servicios de cómputo en la nube cuando implican tratamiento de datos personales.

Por ello, la elección del proveedor no debería basarse solo en precio o en capacidad de almacenamiento. Quien evalúa migrar el despacho a la nube tiene que revisar esos controles antes de mover los expedientes.

Cómo proteger la información de tus clientes

Los despachos privados que recaban y usan datos personales deben considerar las obligaciones de la legislación mexicana aplicable.

Eso implica, entre otros puntos, informar sobre el tratamiento mediante el aviso de privacidad correspondiente y adoptar medidas para proteger la información.

El entorno regulatorio mexicano cambió a partir de la reforma institucional de 2025. En 2026, la Secretaría Anticorrupción y Buen Gobierno ejerce atribuciones relacionadas con la protección de datos personales del sector privado, mientras continúa la actualización del marco normativo.

Sin embargo, los avisos, los procedimientos internos y las políticas de seguridad del despacho deben corresponder al marco jurídico vigente. No conviene depender de formatos antiguos sin revisarlos.

Conserva correctamente la documentación fiscal

Proteger la información también significa garantizar que siga disponible durante el tiempo que la ley exige.

El artículo 30 del Código Fiscal de la Federación establece, como regla general, que la documentación relacionada con la contabilidad debe conservarse durante cinco años. Existen situaciones específicas en las que el plazo se determina de otra manera.

Por esta razón, borrar información fiscal de forma automática al terminar la relación con un cliente puede ser incorrecto.

El despacho debe distinguir las obligaciones fiscales de conservación y las reglas aplicables al tratamiento de datos personales.

Qué hacer si ocurre un incidente

Si hay sospecha de que una cuenta fue comprometida, un dispositivo se infectó o información confidencial quedó expuesta, el despacho debe actuar con rapidez.

Entre las primeras acciones puede ser necesario aislar el equipo afectado, cambiar las credenciales comprometidas, revisar sesiones abiertas, conservar evidencia del incidente y determinar qué información pudo resultar afectada.

También debe evaluarse si la vulneración activa obligaciones legales relacionadas con los datos personales involucrados.

CERT-MX mantiene orientación para incidentes y señala el número 088 para reportes relacionados con delitos cibernéticos.

La seguridad digital también depende de las personas

Tener antivirus o guardar documentos en la nube no es suficiente.

Una parte importante de la protección depende de los hábitos de quienes usan la información todos los días. Por eso, un despacho debería capacitar de forma periódica a su equipo para identificar correos falsos, cuidar credenciales, manejar bien los archivos de clientes y reportar cualquier actividad sospechosa.

La seguridad debe formar parte de los procesos cotidianos del despacho. Aun así, no basta con implementarla solo después de sufrir un incidente.

Checklist básico de seguridad para despachos en 2026

Un despacho puede empezar por revisar estos puntos:

• Contraseñas distintas y robustas en cada servicio.
• Doble factor activo en las cuentas importantes.
• Permisos individuales para cada colaborador.
• Sistemas, equipos y aplicaciones al día.
• Copias de seguridad periódicas, con una recuperación ya probada.
• Documentos confidenciales con acceso restringido.
• Enlaces y archivos revisados antes de abrirlos.
• Equipos bloqueados cuando nadie los usa.
• Aviso de privacidad y procedimientos internos vigentes.
• Un protocolo claro para responder a un incidente.
• Revisión periódica de quién conserva acceso a los sistemas.
• Capacitación del equipo en phishing y manejo de información.

Proteger la información también protege la confianza

Los clientes entregan al despacho datos necesarios para cumplir obligaciones fiscales, laborales y administrativas. Esa confianza implica una responsabilidad importante.

Implementar controles de acceso, autenticación de dos factores, respaldos, actualizaciones, capacitación y políticas de tratamiento de datos reduce riesgos. Además, ayuda a que la información de tus clientes siga disponible y protegida.

En 2026, la seguridad digital ya no debería verse solo como un asunto del área de sistemas. Para un despacho contable, forma parte de una gestión responsable.

En conclusión, cuidar esos expedientes debe formar parte del trabajo cotidiano. Utilizar contraseñas seguras, activar la autenticación de dos factores, limitar los accesos, mantener los equipos actualizados y realizar respaldos periódicos puede reducir de forma considerable los riesgos.

Finalmente, la seguridad digital no depende solo de las herramientas. También depende de los hábitos y de los procesos internos del equipo. Capacitar al personal, establecer controles y saber cómo actuar ante un incidente permite construir un entorno de trabajo más seguro. En 2026, cuidar esos datos también significa cuidar la confianza, la continuidad y la reputación del despacho. Si quieres concentrar facturación, contabilidad y nómina con accesos controlados, consulta los planes de contabilidad o solicita una prueba guiada.