Què troba una auditoria de ciberseguretat en una pime mitjana i què s'arregla el primer mes

Una auditoria de ciberseguretat és una revisió completa de la xarxa, els equips, els accessos i les còpies de seguretat d'una empresa per detectar-ne els riscos i decidir què corregir primer. Però què troba realment una auditoria de ciberseguretat en una pime de 20 a 50 empleats, i què es pot arreglar en només un mes?

La resposta sorprèn molts gerents: els problemes més greus gairebé mai no són sofisticats. Són oblits del dia a dia que s'acumulen amb els anys. Per això, en una revisió de seguretat per a empreses l'important no és només trobar-los, sinó ordenar-los per començar pel que suposa més risc.

Què revisa una auditoria de ciberseguretat en una pime?

Una auditoria de ciberseguretat en una pime revisa quatre àrees: la xarxa i el tallafocs, els equips de treball, els usuaris i els seus accessos, i les còpies de seguretat. A cadascuna es comprova si les mesures existeixen, si estan ben configurades i si funcionarien davant d'un incident real.

A més, la revisió no es limita a la tecnologia. També es demana qui té accés a què, què passa quan algú deixa l'empresa i qui s'encarrega de comprovar que les còpies es poden recuperar. Sovint, la resposta a aquestes preguntes és «ningú en concret», i aquí hi ha bona part del risc.

Quines errades apareixen gairebé sempre?

Tot i que cada empresa és diferent, en una pime mitjana es repeteixen gairebé sempre les mateixes fallades. A més, la majoria no exigeix coneixements avançats per aprofitar-los: només cal que un atacant sàpiga on mirar, i solen estar a la vista des del primer dia de l'auditoria. Aquestes són les troballes més habituals:

1. Accessos remots exposats a Internet. Escriptoris remots oberts directament, sense VPN, que són una de les vies d'entrada més habituals dels atacs.
2. Comptes d'antics treballadors actius. El correu o l'accés remot de persones que ja no són a l'empresa segueixen funcionant mesos després.
3. Correu sense doble factor d´autenticació. Només cal una contrasenya filtrada perquè un atacant entri a la bústia i suplanti l'empresa davant de clients i proveïdors.
4. Còpies de seguretat que mai no s'han provat. La còpia existeix, però ningú no ha comprovat si es pot recuperar, o està en un disc connectat permanentment al servidor, a l'abast d'un ransomware.
5. Equips sense suport. Microsoft va deixar de publicar actualitzacions de seguretat gratuïtes per a Windows 10 el 14 d'octubre del 2025, i moltes pimes segueixen tenint equips amb aquest sistema.
6. Usuaris amb permisos dadministrador. Qualsevol programa maliciós que obri aquest usuari es pot instal·lar sense cap fre.
7. Contrasenyes per defecte o compartides. El router, el tallafoc o la impressora conserven la contrasenya de fàbrica, o tot l'equip comparteix la mateixa clau.

Per què aquests errors són tan habituals?

Principalment, perquè en una pime la informàtica creix alhora que l?empresa, sense un pla. S'hi afegeix un equip quan hi entra algú nou, es contracta un servei al núvol quan cal i es configura «perquè funcioni». Amb el temps, ningú no té una visió completa del que hi ha.

D'altra banda, la majoria de pimes no tenen un responsable de seguretat dedicat. La persona que gestiona la informàtica ho sol fer juntament amb altres tasques, i la seguretat queda per «quan hi hagi temps». En conseqüència, els errors no es detecten fins que algú els aprofita.

Què s'arregla el primer mes?

Després de l?auditoria, el primer mes es dedica a tancar els riscos més greus amb mesures ràpides i de baix cost. No es tracta de refer tota la informàtica, sinó eliminar les portes d'entrada més fàcils per a un atacant. Un pla habitual s'organitza setmanalment:

1. Setmana 1: accessos. Es donen de baixa els comptes d'antics treballadors, s'activa el doble factor al correu i es retiren els permisos d'administrador innecessaris.
2. Setmana 2: còpies de seguretat. Es configura almenys una còpia desconnectada o al núvol i, sobretot, es fa una prova real de recuperació.
3. Setmana 3: equips i actualitzacions. S'actualitzen sistemes i programes i es decideix què fer amb els equips que ja no tenen suport.
4. Setmana 4: xarxa i accessos remots. Es canvien les contrasenyes per defecte, es tanquen els accessos remots exposats i es revisa la configuració del tallafoc.

Al final del mes, l'empresa no és invulnerable, però ha eliminat els riscos que expliquen la majoria d'incidents a les pimes. A més, té una llista prioritzada del que queda per fer.

Què queda per després del primer mes?

A partir del segon mes s'aborden les millores que requereixen més temps: formació de l'equip per reconèixer el phishing, polítiques de contrasenyes i ús dels equips, separació de la xarxa en zones i un pla d'actuació davant d'incidents.

També convé fixar una revisió periòdica, perquè la seguretat canvia cada cop que entra un empleat o es contracta un servei nou.

De fet, el propi Reglament General de Protecció de Dades exigeix a l'article 32 un procés de verificació i avaluació regulars de l'eficàcia de les mesures de seguretat. Així, repetir l'auditoria una vegada a l'any no és només una bona pràctica: ajuda a demostrar aquest compliment.

Com et pot ajudar Apen amb l'auditoria de la teva empresa?

A Apen realitzem l'auditoria i us acompanyem durant el primer mes per aplicar les correccions més urgents. Et presentem els resultats sense tecnicismes, amb un pla per fases adaptat al teu pressupost. Així mateix, amb més de 35 anys d'experiència acompanyant pimes, sabem quins problemes solen aparèixer i com resoldre'ls sense interrompre la feina diària.

Si vols saber com està protegida la teva empresa, truca'ns al 938 606 220 o consulta els nostres serveis de ciberseguretat.

Preguntes freqüents

Quan triga una auditoria de ciberseguretat en una pime?

En una pime de 20 a 50 empleats, la revisió tècnica se sol completar en pocs dies. Després es presenta linforme amb els resultats i el pla de millora prioritzat.

Cal aturar l'activitat durant l'auditoria?

No. La major part de la revisió es fa en remot o en horaris de menys feina, i només cal la col·laboració puntual de la persona que gestiona la informàtica.

Què passa si l'auditoria troba moltes errades?

És habitual i no vol dir que l'empresa estigui en perill immediat. Les fallades s'ordenen per risc, i les més greus solen poder corregir-se durant el primer mes.

Una auditoria de ciberseguretat és obligatòria?

No hi ha una obligació general de fer-la, però el RGPD exigeix avaluar de forma periòdica les mesures de seguretat, i normes com la ISO 27001 o la NIS2 demanen revisions similars.

Cada quant convé repetir l'auditoria de ciberseguretat en una pime?

Com a referència, una vegada a l'any i sempre després de canvis importants, com ara una mudança, nous sistemes, un creixement de plantilla o un incident de seguretat.