Si demà un ciberatac paralitza la teva empresa, el problema no serà que «els ordinadors no funcionen». El problema serà que no podràs vendre, produir, facturar, atendre els teus clients ni complir els teus compromisos.

I mentre el negoci estigui aturat, seguiran corrent els salaris, els contractes, les penalitzacions, les reclamacions i el dany reputacional.

Veure-ho així ho canvia tot. La ciberseguretat per a empreses no és una qüestió d'informàtica, és una qüestió de negoci.

Aquest és l'error que encara cometen moltes organitzacions, tractar la ciberseguretat com una qüestió tècnica que ha de resoldre el departament d'informàtica. Compren un antivirus, instal·len un tallafocs, fan una còpia de seguretat i consideren que el problema està controlat.

Però la ciberseguretat no consisteix a comprar eines. Consisteix a decidir quins riscos pot assumir l'empresa, què necessita protegir, quant pot perdre i on ha d'invertir per evitar que un incident comprometi els seus objectius.

Per això la ciberseguretat és estratègia, govern, gestió de riscos, compliment normatiu, cultura, continuïtat de negoci i presa de decisions. La tecnologia és només una part de la solució.

Punts clau

• La ciberseguretat per a empreses és una decisió de negoci, no només una tasca tècnica.
• Gestionar, és a dir, decidir què protegir i per què, va abans que operar.
• Un sol correu de phishing pot afectar finances, legal, reputació i continuïtat.
• Tot es recolza en quatre capes, estratègia, govern, tàctica i operació.
• Complir amb ISO 27001, ENS, NIS2 o RGPD és demostrar control, no acumular documents.
• Abans de comprar eines, analitza riscos i inverteix on de veritat redueixes exposició.

En ciberseguretat, operar no és el mateix que gestionar

Una empresa pot tenir antivirus, tallafocs, còpies de seguretat, un proveïdor informàtic i diverses eines de protecció. Això no significa que gestioni bé la seva ciberseguretat.

Operar consisteix a executar tasques, aplicar pedaços, revisar alertes, crear usuaris, bloquejar correus maliciosos, configurar sistemes o restaurar una còpia.

Gestionar comença abans. Consisteix a decidir què s'ha de protegir primer, quins riscos són acceptables, qui té autoritat per assumir-los, quant pot invertir l'empresa i com comprovarà que les mesures funcionen. Respon al què, al per què i al per a què.

La diferència sembla petita, però canvia per complet la manera d'invertir. Un equip tècnic pot corregir cent vulnerabilitats i deixar oberta l'única que permet aturar la producció. Pot conservar còpies de seguretat que mai s'han restaurat, contractar un SOC sense definir qui respon a les seves alertes o fer un pentesting els resultats del qual romanen mesos sense corregir.

La visió tècnica pregunta quina eina falta. La visió estratègica pregunta quin risc amenaça el negoci.

Totes dues són necessàries, però s'han d'utilitzar en l'ordre correcte, primer s'entén el negoci, després es prioritzen els riscos i, finalment, se seleccionen correctament les persones, els processos i la tecnologia necessaris.

Hi ha una regla que convé recordar abans d'aprovar qualsevol compra.

La prioritat no l'hauria de decidir el proveïdor que ven una eina. L'ha de decidir l'anàlisi de riscos de l'empresa.

Un correu de phishing pot afectar tota l'organització

Una persona de l'àrea financera rep un correu aparentment enviat per direcció. El missatge sol·licita revisar una factura urgent i conté un enllaç que imita la pàgina d'accés a Microsoft 365. Introdueix les seves credencials i l'atacant aconsegueix entrar al seu compte.

Sembla el problema d'una sola persona. En realitat, es pot convertir en una crisi que afecta tota l'empresa.

Tecnologia i ciberseguretat han de revocar sessions, bloquejar accessos, analitzar registres, revisar regles de reenviament i determinar si existeixen altres comptes compromesos.

Finances ha de comprovar si s'han enviat factures falses, modificat números de compte o sol·licitat transferències fraudulentes.

Legal i protecció de dades ha de valorar si s'ha accedit a informació personal o confidencial, conservar evidències i determinar si existeixen obligacions de comunicació o notificació.

Comunicació i atenció al client poden haver de respondre preguntes, informar les persones afectades i protegir la reputació de l'empresa.

Direcció ha de prendre decisions, mobilitzar recursos, prioritzar serveis, contactar amb proveïdors, valorar una interrupció operativa i coordinar la resposta.

L'incident va començar amb un clic, però pot acabar afectant els diners, els clients, la reputació i la continuïtat del negoci.

Per això la protecció davant del phishing no es resol únicament amb un filtre de correu. Requereix autenticació multifactor, procediments per validar pagaments, control d'accessos, formació, simulacions, capacitat de detecció i un pla de resposta. I una cosa que sovint s'oblida, si una persona tem ser culpada, probablement trigarà més a comunicar el problema.

Les quatre capes que tota empresa ha de gestionar

La ciberseguretat empresarial es pot entendre mitjançant quatre nivells. No són departaments separats, sinó parts d'una mateixa cadena.

• Estratègia. Decideix què necessita protegir l'empresa i per què. Parteix dels objectius del negoci, els processos crítics i l'impacte que tindria perdre informació, aturar un servei o incomplir un contracte.
• Govern. Estableix qui decideix, qui supervisa i qui respon. Defineix responsabilitats, polítiques, indicadors, excepcions i canals de report perquè la seguretat no quedi en terra de ningú.
• Tàctica. Converteix els riscos en un full de ruta. Prioritza projectes, responsables, pressupost i dates, des de la protecció del correu fins a la gestió d'accessos, la continuïtat, les auditories, la formació o el pentesting.
• Operació. Manté els controls funcionant cada dia. Inclou monitoratge, pedaços, còpies, gestió d'usuaris, resposta a incidents i recuperació.

La idea essencial és senzilla. L'estratègia marca el rumb, el govern assigna responsabilitats, la tàctica organitza la feina i l'operació l'executa.

Si una de les quatre falla, apareixen problemes. Sense estratègia es compren solucions sense criteri. Sense govern ningú pren decisions. Sense tàctica tot sembla urgent. Sense operació, els plans es queden en documents.

La cultura de ciberseguretat es demostra en les decisions

La formació és important, però la cultura no es crea únicament amb un curs anual. Es crea mitjançant les decisions que l'empresa repeteix cada dia.

Si la direcció evita l'autenticació multifactor perquè li resulta incòmoda, la resta de l'organització entén que els controls són opcionals. Si un responsable exigeix un pagament urgent sense seguir el procediment de validació, transmet que la velocitat importa més que la seguretat. Si una persona comunica un error i rep una reprensió pública, la propera incidència trigarà més a arribar a l'equip adequat.

Una bona cultura de ciberseguretat permet que cada persona entengui quina informació maneja, quins riscos existeixen al seu lloc i què ha de fer quan detecta alguna cosa estranya.

La formació s'ha d'adaptar a les funcions reals. Finances necessita reconèixer el frau del CEO, les factures manipulades i els canvis de compte bancari. Recursos humans ha de protegir la documentació personal i els processos d'alta i baixa. Desenvolupament necessita treballar amb codi segur, dependències i secrets. La direcció ha de conèixer els riscos crítics i saber quines decisions li corresponen durant una crisi.

Les simulacions de phishing, les píndoles formatives i els recordatoris periòdics són útils quan tenen un objectiu concret, es mesuren i no s'utilitzen per humiliar qui falla.

L'objectiu no és convertir tots els empleats en especialistes. És aconseguir que reconeguin les situacions de risc, segueixin els procediments i sàpiguen a qui avisar.

Per reforçar la conscienciació, organismes com INCIBE ofereixen recursos i suport per a les empreses.

Complir no és col·leccionar documents

El compliment normatiu forma part de la ciberseguretat, però no s'hauria de convertir en una activitat separada del negoci.

La norma ISO 27001 ajuda a establir un sistema de gestió de seguretat de la informació basat en riscos i millora contínua. L'Esquema Nacional de Seguretat defineix requisits per als sistemes inclosos en el seu àmbit. La directiva NIS2 reforça la gestió de riscos, la supervisió i la resposta davant d'incidents en determinades entitats. I el RGPD exigeix protegir adequadament les dades personals.

A aquests requisits s'hi poden afegir obligacions contractuals, condicions d'asseguradores, exigències de clients, regulació sectorial o compromisos derivats de treballar amb administracions i grans empreses.

El problema apareix quan cada requisit es gestiona com un projecte independent. Es dupliquen polítiques, reunions, controls i evidències. L'empresa acaba treballant per a l'auditoria en lloc d'utilitzar l'auditoria per millorar.

Un enfocament més útil consisteix a identificar els controls comuns, com l'inventari, la gestió d'accessos, els proveïdors, els incidents, la continuïtat, la classificació de la informació, la formació, l'anàlisi de riscos i la conservació d'evidències. Després s'adapten els requisits específics de cada marc.

Complir no significa tenir carpetes plenes de procediments. Significa poder demostrar que els riscos es coneixen, les mesures s'apliquen i la seva eficàcia es revisa.

Si tractes dades personals, l'Agència Espanyola de Protecció de Dades publica guies i criteris d'aplicació útils.

En què invertir primer en ciberseguretat

No existeix una llista universal d'eines. La inversió depèn del sector, la mida, les dades tractades, la dependència tecnològica, l'exposició a internet, els proveïdors i l'impacte d'una interrupció.

Abans de comprar una nova solució convé respondre cinc preguntes.

• Quin procés o actiu volem protegir?
• Quin escenari de risc volem reduir?
• Quins controls existeixen ja?
• Quin impacte tindria no actuar?
• Com sabrem si la inversió ha funcionat?

En moltes empreses, les primeres millores no requereixen una plataforma sofisticada. Requereixen utilitzar bé el que ja existeix.

Activar l'autenticació multifactor, eliminar comptes antics, revisar permisos, verificar les còpies, actualitzar els sistemes exposats, protegir el correu, documentar contactes d'emergència i formar els equips pot reduir més risc que una eina costosa mal configurada.

Després arriba la millora progressiva, amb l'inventari d'actius, la gestió contínua de vulnerabilitats, l'EDR, la segmentació, la seguretat al núvol, el monitoratge, les proves de recuperació, el pentesting, la revisió d'aplicacions web i APIs, l'avaluació de proveïdors o els serveis gestionats de detecció i resposta.

La inversió ha d'equilibrar quatre capacitats.

• Prevenir, per reduir la probabilitat d'èxit d'un atac.
• Detectar, per descobrir com més aviat millor el que ha superat les barreres.
• Respondre, per contenir l'incident i coordinar decisions.
• Recuperar, per restablir l'activitat dins del temps que necessita el negoci.

Invertir únicament en prevenció crea una falsa sensació de seguretat. Cap control és infal·lible. La resiliència neix d'assumir que alguna cosa pot fallar i preparar l'organització per limitar l'impacte.

Pentesting, anàlisi de vulnerabilitats i auditories, per a què serveix cadascun

Aquests serveis solen confondre's, encara que responen a preguntes diferents.

Una anàlisi de vulnerabilitats busca debilitats conegudes de manera àmplia i repetible. Permet detectar versions obsoletes, configuracions insegures, serveis exposats o errors coneguts. És útil per mantenir una visió contínua i prioritzar correccions.

Un pentesting o prova d'intrusió intenta explotar vulnerabilitats de manera controlada. El seu objectiu és comprovar fins on podria arribar un atacant, quines combinacions d'errors són perilloses i quin impacte real tindria l'accés.

Una auditoria de seguretat pot revisar tecnologia, processos, configuracions, evidències i compliment. El seu abast és més ampli i depèn de l'objectiu definit.

El hacking ètic aporta valor quan existeix un abast clar, autorització, regles d'actuació i un procés posterior de correcció. Un informe que acaba arxivat no redueix cap risc.

Tampoc convé tractar el pentesting com una certificació permanent. És una fotografia feta en un moment concret. Els sistemes canvien, apareixen noves vulnerabilitats i es publiquen noves aplicacions. Per això s'ha d'integrar en un programa continu de gestió de vulnerabilitats, desenvolupament segur i revisió de canvis.

Errors freqüents que fan perdre temps i diners

• Comprar abans de diagnosticar. L'eina pot ser bona i, tot i així, no resoldre el risc prioritari.
• Delegar-ho tot en el proveïdor d'informàtica. El proveïdor pot operar sistemes, però l'empresa ha de decidir quin risc accepta i quin impacte pot assumir.
• Confondre tenir còpies amb poder recuperar-se. Una còpia no és útil fins que es restaura amb èxit i dins del temps necessari.
• Fer una auditoria i no corregir. Detectar problemes sense assignar responsables, dates i seguiment genera una falsa sensació d'avanç.
• Formar un cop l'any. La conscienciació perd eficàcia si no es relaciona amb situacions reals i comportaments concrets.
• Mesurar activitat en lloc de risc. El nombre d'alertes, pedaços o cursos no demostra per si mateix que l'empresa estigui més protegida.
• No preparar la comunicació. Durant una crisi, la manca de missatges, responsables i criteris pot augmentar el dany.

Evitar aquests errors no requereix una gran inversió. Requereix claredat, disciplina i seguiment.

El semàfor de maduresa, on és la teva empresa?

Vermell, reactiva. L'empresa actua quan apareix un incident. No existeix un responsable clar, els actius crítics no estan identificats, les còpies no es proven i la seguretat depèn de decisions aïllades. La prioritat ha de ser obtenir visibilitat, protegir els accessos més sensibles, revisar les còpies, identificar els riscos crítics i definir contactes per a incidents.

Ambre, en desenvolupament. Existeixen eines, polítiques i algunes auditories. S'imparteix formació i s'han identificat part dels riscos, però les iniciatives estan desconnectades. Falten mètriques, responsables i un full de ruta comú. La prioritat ha de ser convertir les accions puntuals en un programa continu, amb objectius, responsables, dates i indicadors.

Verd, gestionada. La ciberseguretat està connectada amb els objectius del negoci. La direcció coneix els riscos principals, existeixen responsables, es proven la resposta i la recuperació, i les inversions es prioritzen segons l'impacte. Estar en verd no significa ser invulnerable. Significa conèixer l'exposició, prendre decisions amb informació i millorar de manera contínua.

Què fer durant els propers noranta dies

No cal iniciar un projecte gegantesc. Una empresa pot avançar molt en tres mesos si treballa amb ordre.

Primers trenta dies, entendre. Identificar els processos crítics, els sistemes, les dades i els proveïdors essencials. Nomenar un responsable. Revisar els accessos privilegiats, l'autenticació multifactor, la protecció del correu, l'exposició externa i les còpies de seguretat. Analitzar els incidents anteriors i les obligacions rellevants. El resultat ha de ser una fotografia comprensible de la situació actual.

Dies trenta-u a seixanta, prioritzar. Fer una anàlisi de riscos, seleccionar els escenaris més importants i convertir-los en accions. Cada mesura ha de tenir responsable, termini, cost aproximat i resultat esperat. En aquesta fase es poden planificar revisions tècniques, anàlisis de vulnerabilitats, pentesting, formació, millores de les còpies, revisió de proveïdors o procediments de resposta. El resultat ha de ser un full de ruta realista, no una llista interminable.

Dies seixanta-u a noranta, actuar i mesurar. Corregir les bretxes urgents, provar una restauració, revisar els accessos, impartir formació específica i fer un exercici de resposta. La direcció hauria de rebre un quadre de comandament breu amb riscos, accions obertes, decisions pendents i evolució. El resultat ha de ser una millora visible i un sistema de seguiment.

Després dels noranta dies, el cicle continua. Els riscos canvien quan apareixen nous serveis, proveïdors, empleats, vulnerabilitats o requisits. La ciberseguretat és una capacitat que es manté, no un projecte que s'acaba.

Preguntes freqüents

Per què la ciberseguretat és un problema de negoci i no només informàtic? Perquè un incident no atura només els ordinadors, atura les vendes, la facturació, l'atenció al client i el compliment de contractes. Les conseqüències són econòmiques, legals i reputacionals, així que les decisions s'han de prendre des del negoci i no només des de la tècnica.

Quina diferència hi ha entre una anàlisi de vulnerabilitats, un pentesting i una auditoria? L'anàlisi de vulnerabilitats detecta debilitats conegudes de manera àmplia i contínua. El pentesting intenta explotar-les de manera controlada per mesurar l'impacte real. L'auditoria revisa tecnologia, processos i compliment amb un abast més ampli. Es complementen, no se substitueixen.

En què hauria d'invertir primer la meva empresa? Abans de comprar eines convé analitzar riscos. En la majoria dels casos, les primeres millores són activar l'autenticació multifactor, revisar accessos i permisos, verificar les còpies, actualitzar els sistemes exposats i formar l'equip. Solen reduir més risc que una plataforma cara mal configurada.

És obligatòria la ISO 27001 o l'ENS per a la meva empresa? Depèn de la teva activitat i dels teus clients. L'ENS pot ser obligatori per a organismes del sector públic i per a determinats proveïdors que presten serveis o solucions dins del seu àmbit d'aplicació. La ISO 27001 sol demanar-la un client gran com a garantia. NIS2 pot aplicar segons el sector, la mida i l'activitat de l'entitat, mentre que el RGPD s'aplica quan es tracten dades personals. A Shield t'ajudem a saber què t'aplica i a preparar-ho.

Cada quant convé fer un pentesting? Com a referència, moltes organitzacions fan un pentesting anual i repeteixen les proves quan hi ha canvis rellevants, com una aplicació nova, una migració, una modificació important d'infraestructura o la correcció de vulnerabilitats crítiques. La freqüència adequada s'ha de definir segons el risc, l'exposició, els requisits contractuals i els canvis fets. El pentesting és una fotografia d'un moment concret, per la qual cosa funciona millor dins d'un programa continu de gestió de vulnerabilitats.

La veritable decisió de negoci

L'empresa que espera a patir un incident per prendre's seriosament la ciberseguretat ja ha pres una decisió, ha acceptat un risc sense conèixer les seves conseqüències.

No es tracta de gastar més ni d'acumular eines. Es tracta de saber què necessita protecció, què pot aturar el negoci, quines obligacions s'han de complir i quina inversió redueix realment l'exposició.

La ciberseguretat deixa de ser un problema exclusivament tècnic quan la direcció comença a formular les preguntes correctes, què pot passar, quant impacte tindria, qui ha de decidir i com es recuperarà l'organització.

A Shield Cybersecurity ajudem a respondre aquestes preguntes i a convertir-les en accions, amb serveis de vCISO i CISO as a Service, anàlisi de riscos, plans directors, auditories de seguretat, pentesting, hacking ètic, anàlisi de vulnerabilitats, formació, simulacions de phishing i preparació davant d'incidents.

L'objectiu no és vendre tecnologia innecessària. És invertir on realment importa, reduir els riscos que amenacen el negoci i construir una organització preparada per prevenir, respondre i recuperar-se.

Per on començar? Sol·licita un informe d'estat gratuït de la teva ciberseguretat i et direm, en llenguatge de negoci, què protegir primer.