El setembre té una mica de dilluns enorme. Tornen els horaris, les reunions, les factures pendents i aquella voluntat de posar-se al dia que dura fins que obrim el correu. Llavors apareixen els missatges acumulats i comencem a despatxar. Contestar, aprovar, enviar, pagar. Treure'ns coses de sobre.

I aquí convé aturar-se un moment.

Imaginem una escena perfectament possible, arriba un correu d’un proveïdor habitual. Té una factura pendent i comunica un canvi de compte bancari. El nom ens resulta familiar, la quantitat encaixa i necessitem resoldre-ho abans d’entrar a la següent reunió. Canviem el número, autoritzem el pagament i continuem treballant. Tot semblava normal. Aquesta era precisament l’avantatge de l'engany.

La suplantació de proveïdors i directius busca introduir instruccions fraudulentes dins de relacions que ja inspiren confiança. El Banc d’Espanya recomana comprovar per telèfon o presencialment els canvis de compte bancari d’un proveïdor. Una precaució senzilla que mereix un lloc en la nostra tornada a la feina. Perquè quan parlem de ciberseguretat seguim imaginant pantalles plenes de codi i atacs extraordinàriament sofisticats. Mentrestant, hi ha riscos que passen per una factura, un nom conegut i una persona que porta tot el matí intentant arribar a tot.

Des de la meva feina en identitat digital i gestió de crisis, m’interessa especialment aquesta distància entre el que una organització diu que protegeix i el que permet que passi en una jornada normal. Podem tenir procediments escrits, formació i eines. Després arriba una petició urgent de direcció i algú entén que comprovar-la seria molestar.

Hem de revisar això.

Si un empleat sent que trucar per confirmar una transferència demostra manca d’iniciativa, alguna cosa falla en la cultura de l’empresa. Si preguntar per una instrucció estranya sembla una falta de respecte al cap, estem castigant una conducta que pot protegir-nos. I si tot és urgent, resulta força difícil distingir una urgència legítima d’una fabricada per fer-nos actuar.

No podem demanar criteri i premiar únicament la velocitat.

El frau del CEO utilitza precisament aquesta combinació d’autoritat, urgència i, en ocasions, confidencialitat, una suposada ordre d’un superior perquè algú amb capacitat de pagament faci una transferència. L’INCIBE també adverteix que la comunicació pot arribar des d’una adreça legítima prèviament compromesa. Reconèixer el remitent no n’hi ha prou per donar per bona la petició.

Per això, comprovar ha de formar part de la feina. Amb temps assignat, amb un procediment clar i amb suport de direcció. Una ordre sensible ha de poder confirmar-se per un canal independent, utilitzant les dades de contacte que ja teníem, en lloc del telèfon que ens acaba de facilitar el mateix missatge sospitós.

I qui truca s’ha de trobar amb un "ho has fet bé".

El setembre és un bon moment per revisar aquestes coses. Abans de recuperar totes les reunions, podem recuperar també les preguntes bàsiques. Qui autoritza els pagaments. Com es comprova un canvi de compte. Quins accessos segueixen actius després d’una sortida de l’equip. A qui cal avisar quan algú sospita que ha comès un error.

Aquesta darrera qüestió em sembla essencial. Una empresa necessita que els seus empleats comuniquin aviat un problema. Si la primera resposta és buscar a qui culpar, la pròxima persona dubtarà abans d’aixecar la mà. Aquest silenci pot agreujar el dany.

Ens agrada parlar d’equips preparats. Preparar-se també consisteix a aconseguir que una persona pugui dir "això em sembla estrany" sense haver de defensar després la seva competència professional.

Tornem de vacances amb propòsits força raonables: organitzar-nos millor, fer esport, passar menys temps amb el mòbil. Proposo afegir-ne un que pot ser molt útil a l’oficina: deixar de tractar cada petició com si necessités obediència immediata.

Una factura pot esperar que confirmem el compte. Una instrucció pot esperar que comprovem qui l’envia. I una reunió pot començar dos minuts més tard si aquests dos minuts serveixen per evitar un problema.

El setembre ja porta prou presses. No cal posar-les també al servei de qui ens vol enganyar.