Els deures de l'empresa catalana en ciberseguretat: "S'hi inverteix perquè les assegurances obliguen"
Selva Orejón, CEO d'OnbrandinG, alerta que grans companyies i institucions encara treballen amb contrasenyes dèbils, sense doble verificació ni protocols suficients tot i l'augment dels atacs
Contingut relacionat: Catalunya bloqueja vuit de cada deu atacs informàtics a universitats i hospitals
La Universitat de Barcelona (UB) s'ha vist obligada aquesta darrera setmana a renovar les credencials d'accés de tota la seva comunitat universitària després de detectar un incident de ciberseguretat en alguns dels seus sistemes.
La institució va activar mesures de contenció, monitoratge i reforç, va interrompre puntualment determinats serveis i va demanar a estudiants i treballadors que extremessin la precaució davant possibles intents de frau o suplantació d'identitat.
Pocs dies abans, diversos interns de la presó de Puig de les Basses, a Figueres (Girona), van aconseguir accedir sense autorització a documentació compartida als servidors del Departament de Justícia.
Des de la conselleria es va descartar aleshores que la intrusió hagués arribat a sistemes crítics o compromès el funcionament de la presó, però l'episodi va tornar a evidenciar les conseqüències d'una bretxa en un entorn que gestiona informació especialment sensible.
Manca de conscienciació
Es tracta de dos casos diferents, tant per les seves característiques com per l'abast, però comparteixen una mateixa advertència: qualsevol organisme o empresa pot patir un ciberatac i la diferència no sempre rau a evitar-lo, sinó a disposar dels mecanismes necessaris per detectar-lo a temps, contenir-lo i recuperar-se'n.
La tecnologia per reduir el risc i gestionar aquestes amenaces ja existeix. Tanmateix, no totes les organitzacions en disposen ni han desenvolupat una veritable cultura de ciberseguretat.
Selva Orejón, consultora experta en ciberseguretat i identitat digital, CEO d'OnbrandinG
Grans empreses amb el '1234'
Selva Orejón, CEO d'OnbrandinG i experta en identitat i reputació digital, explica que la situació provoca una sensació "agridolça". La inversió empresarial en ciberseguretat ha augmentat, però no sempre ho ha fet com a resultat d'una major conscienciació.
“Hi ha grans empreses i institucions que continuen sent atacades i que no tenen eines suficients per respondre, tot i que pràcticament tot està inventat”, adverteix Orejón.
Les diferències són especialment acusades a les petites i mitjanes empreses, que tenen més dificultats per assumir el cost dels sistemes més complexos. Tanmateix, la manca de recursos no explica que algunes grans companyies continuïn sense aplicar mesures elementals.
Ciberatac
“Et sorprendria la quantitat d'empreses molt conegudes que no compleixen amb els mínims”, assegura. Algunes continuen utilitzant contrasenyes tan previsibles com “1234”, el nom de la pròpia organització o combinacions que gairebé no ofereixen resistència davant un intent d'accés.
L'experta recorda, amb ironia, el cas del Louvre. Fa uns anys, una auditoria de seguretat va revelar que la contrasenya utilitzada per accedir al servidor del sistema de videovigilància del museu era, precisament, “LOUVRE”
Anècdota que per Orejón representa un problema seriós: la seguretat de tota una infraestructura pot dependre d'una credencial que un atacant podria endevinar sense necessitat de desplegar coneixements tècnics sofisticats.
![IndraMind Cibersecurity](["https:\/\/a2.elespanol.com\/k\/imgp\/cms\/asociados\/543023.jpg?p=w:320\/h:240&h=ZGkL-5Sk"])
Errors massa freqüents
Més enllà de les contrasenyes, Orejón identifica altres mancances habituals.
Empreses que no disposen de filtres eficaços contra el correu brossa, sistemes insuficients per detectar arxius maliciosos, comunicacions sense xifrar tot i contenir informació confidencial, dispositius que no s'actualitzen regularment o treballadors amb permisos d'administrador que no necessiten per a les seves funcions.
I, per sobre de tots, persisteix un gran front obert: “El doble factor de verificació continua sent la gran batalla amb les empreses”.
Les assegurances es planten
Un dels principals motors de la inversió no està sent la conscienciació, sinó les exigències de les companyies asseguradores.
Cada cop més pòlisses de ciberrisc condicionen les seves cobertures al fet que l'empresa contractant pugui demostrar que aplica uns protocols mínims.
Imatge d'arxiu d'una pantalla d'ordinador, recreant un ciberatac
“Moltes assegurances ja no et permeten estar assegurat si no comptes amb determinades mesures de protecció”, explica Orejón a Crónica Global.
Sense autenticació reforçada, còpies de seguretat, sistemes actualitzats o procediments de resposta, algunes asseguradores rebutgen directament la contractació o limiten les cobertures.
Els primers passos
El primer deure d'una organització, assenyala Orejón, és identificar quina informació té, on es troba, qui la pot consultar i quines conseqüències tindria la seva pèrdua, filtració o alteració.
"No es pot protegir allò que ni tan sols s'ha inventariat", reflexiona.
També resulta imprescindible mantenir els dispositius actualitzats, xifrats i configurats per bloquejar-se automàticament. Els treballadors haurien d'operar únicament amb els permisos necessaris i no com a administradors per defecte.
Un ordinador portàtil en una imatge d'arxiu Servimedia
Com protegir-se
Les còpies de seguretat constitueixen un altre dels pilars. Orejón aposta per l'estratègia 3-2-1: conservar tres còpies de la informació, en dos suports diferents i amb una d'elles desconnectada o protegida de manera que no pugui ser modificada per un atacant.
La tecnologia, però, només resol una part del problema.
El factor humà continua sent una de les principals portes d'entrada. Per això, la formació no pot reduir-se a un curs el primer dia de feina. "Ha de ser periòdica, adaptada als riscos de cada lloc i incloure simulacions i mecanismes clars per comunicar qualsevol sospita sense por a represàlies", recomana l'experta.
![Selva Orejón, CEO de OnbrandinG, Jordi Sánchez, gerente en el equipo de delitos financieros de CaixaBAnk, Laura Caballero, directora de la Agència de Ciberseguretat de Catalunya, y David Expósito, redactor de Crónica Global](["https:\/\/a2.elespanol.com\/k\/imgp\/cms\/asociados\/511962.jpg?p=w:320\/h:240&h=5hahE225"])
L'amenaça en xifres
Si ho traslladem a les xifres, el 2025, l'Agència de Ciberseguretat de Catalunya va registrar un augment sense precedents de les amenaces informàtiques.
Segons l'últim balanç anual, els sistemes de protecció van aconseguir detectar la xifra aclaparadora de 9.100 milions d'intents d'atac.
Tanmateix, de manera automàtica i gairebé immediata, l'organisme va aconseguir bloquejar prop de vuit de cada deu d'aquestes amenaces. Aquest tens context global ha obligat l'ens públic a gestionar 6.544 ciberincidents reals, un increment del 94% respecte al 2024.
