La ciberseguretat és una responsabilitat bàsica de la gestió de PIME
De vegades, les petites empreses tracten la ciberseguretat com una preocupació especialitzada que afecta principalment els bancs, les empreses tecnològiques i les grans corporacions. Aquesta suposició és cada cop més difícil de justificar. PIMES guarda informació dels clients, processa pagaments, utilitza serveis al núvol, depèn del correu electrònic i de la banca en línia i sovint es connecta electrònicament amb clients i proveïdors més grans. Aquestes característiques els converteixen en objectius comercialment valuosos, mentre que els recursos de seguretat relativament limitats poden fer-los més fàcils d'explotar. Per tant, la ciberseguretat s'ha d'entendre com una responsabilitat rutinària de gestió empresarial en lloc d'una activitat tècnica opcional.
El punt encoratjador és que la ciberseguretat efectiva no comença amb sistemes cars. Un nombre relativament petit de controls ben establerts pot reduir una proporció significativa dels riscos comuns. L'autenticació multifactor és una de les més importants. Les contrasenyes es poden robar mitjançant pesca, reutilització de credencials o programari maliciós; requereix un factor d'autenticació addicional fa que una contrasenya robada sigui molt menys útil per a un atacant. L'MFA s'ha d'habilitar sempre que sigui pràctic, especialment per al correu electrònic, la banca en línia, l'emmagatzematge al núvol, els comptes administratius i altres sistemes que continguin informació sensible o controlen l'accés a l'entorn empresarial més ampli.
Controls bàsics que redueixen materialment el risc
La gestió de contrasenyes és el següent control essencial. Els empleats no haurien de reutilitzar les contrasenyes en tots els serveis i els comptes compartits s'han d'evitar sempre que sigui possible. Un gestor de contrasenyes pot reduir la càrrega pràctica de mantenir les credencials úniques alhora que ofereix a la gestió una base més clara per al control d'accés. El principi dels comptes individuals és especialment important perquè permet a l'empresa identificar qui té accés, eliminar els permisos quan un empleat marxa i investigar activitats inusuals amb més eficàcia.
El manteniment del programari i les còpies de seguretat són igualment importants. Els atacants sovint exploten vulnerabilitats per a les quals ja existeixen actualitzacions, de manera que el programari no compatible i els pedaços retardats durant molt de temps creen una exposició evitable. Les còpies de seguretat aborden un risc diferent: la possibilitat que els sistemes o les dades no estiguin disponibles a causa de ransomware, fallades de maquinari, supressió accidental o altres interrupcions. Les còpies de seguretat han de ser automàtiques, separades adequadament de l'entorn en directe i provades periòdicament. No s'ha de suposar que una còpia de seguretat que mai s'ha restaurat correctament és fiable.
El control de Access s'ha de basar en les necessitats empresarials. Els empleats no requereixen drets d'administrador simplement perquè aquests drets són convenients, i el personal anterior no hauria de conservar l'accés als sistemes després de finalitzar la seva feina. Les organitzacions petites de vegades eviten els controls d'accés formals perquè l'equip és de confiança, però la ciberseguretat no és només una qüestió de confiança. Els comptes es poden posar en perill. Limitar els privilegis redueix el dany que es pot produir quan ho són.
Comportament humà, pesca i risc del proveïdor
El correu electrònic segueix sent una de les rutes més habituals cap a una organització, i els avenços en IA generativa fan que l'enginyeria social sigui més difícil de reconèixer. La mala gramàtica i els missatges òbviament genèrics ja no es poden confiar com a senyals d'alerta. Els atacants poden produir missatges convincents i personalitzats en diversos idiomes i poden imitar l'estil d'un proveïdor, gestor o client. Per tant, el personal necessita un hàbit de verificació. Les sol·licituds inusuals que impliquen pagaments, canvis de compte bancari, credencials o informació sensible s'han de comprovar a través d'un canal independent, utilitzant dades de contacte de confiança en lloc de la informació subministrada al missatge sospitós.
El risc del proveïdor mereix una atenció similar. PIMES depèn en gran mesura de proveïdors de programari com a servei, plataformes en núvol, serveis de pagament i altres sistemes externs. Per tant, la seguretat d'aquests proveïdors passa a formar part de l'entorn de risc propi del PIME. La direcció no necessita realitzar una auditoria empresarial completa de tots els proveïdors, però hauria de fer preguntes bàsiques: el servei admet MFA, com es protegeixen les dades, com es comuniquen les incidències, es pot exportar la informació i què faria l'empresa si el servei no estigués disponible? La dependència s'ha d'entendre en lloc de suposar que és inofensiva.
Els dispositius també requereixen una protecció bàsica. Els ordinadors portàtils i els telèfons haurien d'utilitzar bloqueig de pantalla, xifratge quan estigui disponible i programari aprovat. Els dispositius perduts haurien de poder bloquejar-los o esborrar-los a distància si escau. Els comptes personals i empresarials s'han de separar perquè l'administració central és molt més difícil quan els empleats utilitzen els serveis personals per obtenir informació de l'empresa.
La IA introdueix noves amenaces així com noves eines defensives
La intel·ligència artificial canvia el panorama de les amenaces de dues maneres. Ajuda els defensors a analitzar l'activitat sospitosa, filtrar el correu electrònic i identificar patrons, però també ajuda els atacants a produir pesca convincent, automatitzar la investigació i crear àudio o vídeo sintètics. El frau deepfake és especialment rellevant per a l'autorització financera. Una sol·licitud que sembla provenir d'un executiu conegut mitjançant veu o vídeo no s'ha d'acceptar com a prova suficient per a una transacció de gran valor. Els processos d'aprovació independents segueixen sent necessaris.
La IA també crea una nova forma de filtració d'informació. Els empleats poden enganxar informació confidencial dels clients, contractes o material comercialment sensible als serveis públics d'IA generativa sense comprendre les conseqüències. Per tant, PIMES hauria d'adoptar una política breu d'ús acceptable d'IA juntament amb els seus controls de ciberseguretat. Hauria d'identificar els sistemes aprovats, definir la informació prohibida i recordar als empleats que s'han de revisar els resultats importants. Una política d'una pàgina que el personal entén és més valuosa que un document llarg que ningú llegeix.
Preparació per a incidents i resiliència operativa
La prevenció és només una part de la ciberseguretat. La direcció també ha de tenir en compte què passa després d'un incident. Si el compte de correu electrònic principal està compromès, qui es posa en contacte amb el proveïdor? Si se sospita que les credencials de banca en línia estan exposades, qui es posa en contacte amb el banc? Si el ransomware fa que els fitxers clau no estiguin disponibles, quina còpia de seguretat es restaura i qui? Un pla d'incidències concís pot estalviar temps crític. Hauria d'incloure contactes externs, responsabilitats internes i mètodes de comunicació alternatius en cas que no es pugui confiar en els sistemes normals.
La continuïtat del negoci s'ha d'abordar de la mateixa manera. PIMES depèn cada cop més de les plataformes al núvol per a vendes, finances i servei al client. La direcció ha de saber quins sistemes són crítics i quant de temps l'empresa podria funcionar sense ells. Això no requereix un programa elaborat de recuperació de desastres, però sí que requereix consciència de les dependències i disposicions realistes de reserva.
L'enquesta D4SME de l'OCDE de 2026 identifica la ciberseguretat com un repte continu per a PIMES, molts dels quals informen que han patit incidents cibernètics. La resposta adequada no és ni la complaença ni el pànic. Una petita organització no pot defensar-se de tots els atacs sofisticats, però pot dificultar substancialment els atacs comuns, detectar comportaments sospitosos abans i millorar la seva capacitat de recuperació. Aquests resultats s'aconsegueixen mitjançant capes de controls sensibles en lloc d'un sol producte de seguretat.
La ciberseguretat com a capacitat empresarial
El Acadèmia per a PIMES eBSI tracta la ciberseguretat com a part de la competència pràctica de gestió. Els propietaris i gestors no necessiten convertir-se en enginyers de seguretat, però haurien de ser capaços d'entendre els riscos creats pels seus sistemes, proveïdors i pràctiques del personal. Les revisions trimestrals d'accés, còpies de seguretat, programari crític i procediments d'incidències poden ser suficients per mantenir actualitzats els controls bàsics. La seguretat també s'hauria d'incorporar a les compres i les relacions amb els clients, perquè els clients més grans demanen cada cop més als proveïdors que demostrin que hi ha mesures raonables.
Per tant, una bona ciberseguretat té un valor tant comercial com defensiu. Protegeix el flux d'efectiu, la informació del client, la reputació i la capacitat de l'organització per continuar operant. Per a PIMES, això fa de la ciberhigiene bàsica una disciplina de gestió en la mateixa categoria que el control financer, les assegurances i la seguretat i salut. La prevenció és generalment més barata que la recuperació, però la resiliència és l'objectiu final: la capacitat de prevenir incidents comuns, detectar problemes amb promptitud i restablir les operacions quan la prevenció no és suficient.
Més lectura
Per obtenir una evidència més àmplia sobre la digitalització de PIME i el risc cibernètic, vegeu OCDE (2026), Potenciar PIMES a l'era de la IA: l'enquesta D4SME de l'OCDE de 2026, disponible a OCDE.