Ciberseguretat per a pimes a Barcelona i Badalona: 10 mesures per aplicar aquest mes

Una pime no necessita un pressupost de gran empresa per protegir-se del que de debò li passa: correus de phishing, comptes robats, ransomware i fraus de canvi de compte bancari. Aquestes deu mesures cobreixen la major part del risc habitual d'una petita empresa a Barcelona, Badalona o qualsevol altre lloc, quasi totes es fan amb eines que ja pagues (Microsoft 365 o Google Workspace) i es poden aplicar en un mes.

Les deu mesures, per ordre

1. MFA a tots els comptes de correu i d'administració. És la mesura que més risc treu per menys esforç. Millor si és resistent al phishing almenys per a administradors i finances.
2. Còpies de seguretat que no siguin a l'abast de l'atacant. Una còpia al mateix servidor o en una unitat de xarxa sempre connectada es xifra amb la resta. La regla 3-2-1: tres còpies, dos suports, una fora. I provar de restaurar de debò, almenys una vegada.
3. Actualitzar sistemes i aplicacions. Activa les actualitzacions automàtiques i presta atenció especial a tot el que sigui exposat a internet (VPN, tallafocs, servidor de correu). Per decidir què urgeix, no miris només el CVSS.
4. Un usuari per a cada persona, i sense permisos d'administrador al dia a dia. Qui llegeix correu no hauria de ser administrador del domini. Detall a mínim privilegi.
5. Donar de baixa els comptes de qui se'n va, el mateix dia. És la fallada més repetida: comptes òrfenes que ningú revisa.
6. Protegir el domini de correu amb SPF, DKIM i DMARC. Evita que algú enviï correus en nom de la teva empresa. Com arribar a p=reject sense perdre correu legítim.
7. Un procediment per a canvis de compte bancari. Qualsevol canvi d'IBAN es confirma per telèfon, al número que ja tenies. És la defensa contra el frau BEC.
8. Antivirus amb EDR a tots els equips i el tallafocs amb la configuració revisada, no la de fàbrica.
9. Formació breu i repetida. Quinze minuts al trimestre amb exemples reals de phishing serveixen més que una xerrada anual. I una norma clara: dubtar i preguntar no és molestar.
10. Saber a qui trucar si passa alguna cosa. Un contacte tècnic, una persona amb autoritat per prendre decisions i el telèfon d'ajuda d'INCIBE (017). Millor tenir-ho escrit abans de necessitar-ho.

Si només tens una tarda

MFA al correu, una còpia de seguretat desconnectada i la baixa dels comptes que ja no es fan servir. Amb aquestes tres, el risc cau molt.

Normativa: què t'afecta

Si tractes dades personals, el RGPD t'obliga a notificar a l'AEPD una bretxa en un termini màxim de 72 hores des que la coneixes, tret que sigui improbable que suposi risc per a les persones. Si ets proveïdor d'una empresa gran o d'un sector regulat, és probable que et arribin requisits per contracte; mira com està NIS2 a Espanya.

Recursos públics

INCIBE ofereix informació i una línia d'ajuda gratuïta (017) per a empreses i ciutadans, i a Catalunya l'Agència de Ciberseguretat de Catalunya publica avisos i guies. Són un bon punt de partida abans de contractar res.

Preguntes freqüents

Per on comença la ciberseguretat d'una pime?

Pel correu i els comptes: MFA, baixes d'usuaris i còpies de seguretat fora de l'abast de l'atacant. És on es produeixen la majoria d'incidents reals.

Una pime és objectiu d'atacs?

Sí. Els atacs massius (phishing, ransomware) no trien per mida, sinó per com de fàcil sigui entrar. Les pimes solen tenir menys defenses i per això surten rendibles.

Necessito un SOC propi?

Normalment no. Una pime pot contractar un servei gestionat (MDR) que vigili alertes 24x7. El que sí necessita és tenir les bases cobertes i saber qui respon quan salta una alerta.