Ciberseguretat per a una pime:
per on començar

Sí, precisament per ser petita. Els atacs que arriben a una pime no van dirigits a ella: són campanyes massives de correus amb factures falses, avisos del banc o contrasenyes robades en una altra web, que proven sort amb milers d'empreses alhora. Entra qui té la porta pitjor tancada, i les pimes tenen les portes pitjor tancades perquè no hi ha ningú encarregat. L'atacant no sap qui ets ni li importa: sap que una empresa de vuit persones sense còpies pagarà abans que una de gran amb departament de seguretat. Els avisos d'INCIBE i els informes anuals del sector ho repeteixen cada any: la majoria d'incidents en empreses espanyoles són en pimes, i la majoria comença per un correu.

Un antivirus para a la màquina el que reconeix, i és necessari, però no cobreix el que més entra. No evita que algú escrigui la seva contrasenya en una web falsa del banc, ni que es pagui una factura amb el número de compte canviat, ni que un Windows sense actualitzar tingui un forat conegut, ni que les còpies siguin al mateix disc que el ransomware xifra. Els set punts d'aquesta guia són el que l'antivirus no fa. El que sí que convé és que l'antivirus estigui gestionat: que algú vegi des de fora si està actiu a tots els equips i què ha detectat, en comptes de confiar que cadascú miri la seva icona.

Menys del que costa un sol incident. Les còpies provades, les actualitzacions, el doble factor i la revisió de comptes són sobretot feina, no compres: un gestor de contrasenyes i una còpia al núvol per a una empresa petita costen uns euros per usuari al mes. El que sí que és una inversió és el tallafocs d'empresa i, si hi ha servidor, un SAI. El que més costa és el temps de fer-ho i de mantenir-ho, i per això a les pimes sol anar dins d'un contracte de manteniment, amb un tècnic que ho revisa cada mes. En el nostre cas, el pla Essencial amb còpies gestionades, antivirus i actualitzacions parteix de 49 € al mes, i el Gestionat amb tècnic assignat i monitoratge, de 99 €; què ha d'incloure un contracte de manteniment explica què demanar en qualsevol cas.

Donar-los de baixa el mateix dia que marxa la persona, i revisar cada pocs mesos que no en queda cap d'obert. És un dels errors més comuns i més fàcils d'evitar: un exempleat amb el correu actiu, l'accés al programa de gestió o la contrasenya del wifi que mai es va canviar. No cal pensar malament de ningú; n'hi ha prou que la seva contrasenya, que potser repetia en altres webs, aparegui en una filtració. El mateix val per a proveïdors i tècnics externs que van tenir accés per a alguna cosa concreta. Una llista de qui té accés a què, revisada cada trimestre, és l'eina; costa una hora.

Diverses que ja apliquen a qualsevol empresa, i una que pot arribar. El RGPD obliga a protegir les dades personals amb mesures adequades i a notificar a l'AEPD una bretxa de seguretat en 72 hores; una pime amb dades de clients ja hi és dins, i a la checklist RGPD per a despatxos i clíniques ho detallem. La directiva europea NIS2, que Espanya està traslladant a la seva llei, afecta empreses mitjanes i grans de sectors concrets, no la pime típica, però sí alguns dels seus clients, que comencen a exigir als seus proveïdors mesures per contracte. I si manegues dades de salut o treballes per a l'administració, hi ha requisits propis. El que aquesta guia proposa cobreix el raonable per a qualsevol pime; el que el teu sector hi afegeixi, amb el teu assessor.

Depèn de què. Si és un correu en què algú ha picat i ha donat una contrasenya, a què fer si ja has picat hi ha l'ordre de les primeres dues hores: canviar accessos, avisar el banc si toca, denunciar. Si els fitxers apareixen xifrats o amb una nota demanant diners, a ransomware: les primeres hores hi ha què fer i què no: aïllar, no apagar, no pagar, avisar. En tots dos casos, el telèfon gratuït 017 d'INCIBE atén empreses i particulars i orienta sobre els passos i la denúncia. I després de l'incident, aquesta llista de set punts és just el que cal revisar, perquè alguna cosa d'ella faltava.