La ciberseguretat ja no és una qüestió d’informàtics.

Les organitzacions han invertit milions en tecnologia per protegir els seus sistemes. Tanmateix, molts dels incidents greus continuen començant d’una manera sorprenentment senzilla: amb una decisió humana presa en tot just uns segons. La gran transformació de la ciberseguretat no serà únicament tecnològica. Serà cultural.

Fa unes setmanes vaig participar en una sessió amb el comitè de direcció d’una empresa que feia mesos que estava immersa en un important procés de transformació digital.

Havien renovat bona part dels seus sistemes, automatitzat processos, incorporat intel·ligència artificial en algunes àrees i redissenyat la seva infraestructura tecnològica. Durant una bona estona, la conversa va girar al voltant de la innovació, la productivitat i els nous projectes.

Fins que algú va plantejar una pregunta aparentment senzilla:

—Qui és el responsable de la ciberseguretat a l’empresa?

La resposta va arribar gairebé de manera automàtica:

—El director de Sistemes.

Ningú no va discutir aquella afirmació. Era la resposta lògica o, almenys, la que tots hauríem donat fa uns anys.

Tanmateix, a mesura que avançava la conversa, va començar a quedar clar que potser la pregunta estava mal formulada.

Perquè la ciberseguretat ja no té un únic responsable. O, dit d’una altra manera, avui tots en formem part.

Quan la tecnologia va deixar de ser només una eina

Durant molt de temps vam entendre la seguretat digital com una disciplina profundament tècnica. Si calia protegir la xarxa, s’instal·laven nous tallafocs. Si apareixia un virus, s’actualitzaven els antivirus. Si fallava un servidor, el departament d’informàtica trobava la manera de recuperar-lo.

Aquella visió responia a una realitat molt diferent de l’actual. La tecnologia ocupava un espai important dins de les organitzacions, però continuava sent una eina al servei del negoci.

Avui, en canvi, el negoci depèn completament de la tecnologia.

La informació circula per plataformes al núvol, les reunions se celebren per videoconferència, els equips treballen des de llocs diferents i una part creixent de les decisions es pren mitjançant dispositius mòbils.

La digitalització ha deixat de ser un projecte puntual per convertir-se en l’entorn habitual en què desenvolupem la nostra feina.

I això canvia completament la naturalesa del risc.

Els grans incidents solen començar amb petits gestos

Quan s’analitzen molts dels incidents de ciberseguretat que afecten empreses i organitzacions, resulta sorprenent comprovar que el problema no sempre comença amb una operació tècnica sofisticada.

En moltes ocasions, tot comença amb una situació molt més quotidiana:

• Un correu electrònic que semblava autèntic.

• Un arxiu obert sense comprovar-ne la procedència.

• Una contrasenya reutilitzada durant anys.

• Una transferència aprovada amb massa rapidesa.

• Una conversa mantinguda en el moment o el lloc menys adequats.

No semblen grans errors. Són petits gestos.

Precisament per això resulten tan difícils d’evitar.

Tots treballem amb una certa sensació d’urgència. Responem missatges de pressa, aprovem documents mentre atenem una altra trucada i compartim informació confiant que qui la sol·licita és realment qui diu ser.

La velocitat amb què treballem també ha canviat la velocitat amb què prenem decisions.

I els atacants ho saben.

Atacar la confiança abans que la tecnologia

Els ciberdelinqüents dediquen cada vegada més esforços a comprendre com actuen les persones. Els interessa conèixer els seus hàbits, les seves rutines, les seves relacions professionals i els seus comportaments quotidians.

En bona mesura, en això consisteix l’enginyeria social: a aprofitar la confiança d’una persona abans d’intentar vulnerar directament un sistema de seguretat.

Un missatge urgent aparentment enviat per un superior, una factura que sembla procedir d’un proveïdor habitual o una trucada en què algú assegura que pertany al departament tècnic poden ser suficients per provocar un incident.

És una idea incòmoda perquè ens obliga a acceptar que la millor tecnologia del món no sempre pot compensar una mala decisió presa en tot just uns segons.

Això no significa que la tecnologia hagi perdut importància. Tot el contrari: mai no havia estat tan necessària.

El que passa és que ja no és suficient per si sola.

La ciberseguretat ha de formar part de la cultura empresarial

Les organitzacions que gestionen millor aquests riscos han deixat de considerar la ciberseguretat com una responsabilitat exclusiva del departament de Sistemes.

La integren en la formació, en la cultura corporativa i en la manera habitual de treballar. Parlen de seguretat de la mateixa manera que parlen de qualitat, prevenció de riscos o atenció al client.

No perquè tots els treballadors s’hagin de convertir en experts en informàtica, sinó perquè tots prenen decisions que poden tenir conseqüències per a l’organització.

En realitat, passa una cosa semblant al que succeeix amb la seguretat viària. Ningú no espera que coneguem el funcionament intern d’un motor per conduir de manera responsable. N’hi ha prou amb comprendre unes normes bàsiques i assumir que les nostres decisions també afecten les persones que viatgen amb nosaltres.

En l’entorn digital passa exactament el mateix.

Comprovar abans d’actuar

Crear una cultura de seguretat no significa treballar desconfiant de tot ni paralitzar els processos amb controls innecessaris.

Significa desenvolupar hàbits senzills:

• Comprovar abans d’obrir un enllaç o un arxiu.

• Confirmar per una altra via les sol·licituds urgents o poc habituals.

• Utilitzar contrasenyes diferents i activar la verificació en dos passos.

• Preguntar quan alguna cosa sembla estranya.

• Comunicar ràpidament qualsevol possible incident.

• Entendre que protegir la informació també forma part de la feina diària.

A més, la formació no s’hauria de limitar a una presentació anual que els treballadors completen per obligació. Perquè sigui efectiva, ha de ser pràctica, comprensible i relacionada amb situacions reals que puguin aparèixer durant la jornada laboral.

La seguretat es converteix en cultura quan deixa de percebre’s com una norma imposada i passa a formar part de la manera natural de treballar.

La confiança també necessita protecció

Les empreses que comprenguin abans aquest canvi tindran un avantatge important. No només reduiran el risc de patir incidents, sinó que també estaran més ben preparades per desenvolupar-se en un entorn en què la confiança s’ha convertit en un dels actius més valuosos.

Clients, treballadors, proveïdors i inversors necessiten confiar que l’organització protegirà adequadament la seva informació i respondrà amb responsabilitat quan aparegui un problema.

Perquè la confiança, igual que la reputació, triga anys a construir-se i es pot perdre en tot just uns minuts.

La transformació digital continuarà avançant. La intel·ligència artificial modificarà processos, apareixeran noves eines i continuarem treballant de maneres que avui amb prou feines podem imaginar.

Tot això continuarà passant.

El que difícilment canviarà és una realitat molt més senzilla: darrere de cada tecnologia continuarà havent-hi una persona prenent decisions.

I probablement aquesta persona continuarà sent, durant molts anys, la primera i l’última línia de defensa de qualsevol organització.