Com pot una pime revisar el seu nivell de ciberseguretat?
Resposta breu
Una pime pot fer una primera revisió en una o dues sessions responent deu preguntes sobre accessos, contrasenyes, actualitzacions, protecció dels equips, còpies, correu, xarxa, formació i resposta a incidents. Les respostes «no» o «no ho sé» marquen les prioritats. Aquesta autoavaluació no substitueix una auditoria tècnica, però indica on és el risc més alt i si cal una revisió externa.
Autor: EsolvoPublicat: Última revisió:
Per a qui és rellevant
Rellevant per a pimes sense responsable de seguretat, especialment si treballen amb dades de clients, accés remot o facturació electrònica.
Deu preguntes per a una primera revisió
| Àrea | Pregunta |
|---|---|
| Accessos | Tots els comptes de correu i d'aplicacions cloud tenen activada la verificació en dos passos? |
| Accessos | Quan una persona deixa l'empresa, se li tanquen tots els accessos el mateix dia? |
| Contrasenyes | Es fa servir un gestor de contrasenyes corporatiu? |
| Actualitzacions | Sistemes operatius, navegadors i servidors s'actualitzen de manera automàtica o planificada? |
| Protecció | Tots els equips tenen protecció d'endpoint gestionada de manera centralitzada? |
| Còpies | Hi ha una còpia fora de l'oficina i s'ha provat de restaurar en els darrers tres mesos? |
| Correu | El domini té configurats SPF, DKIM i DMARC? |
| Xarxa | La wifi de convidats està separada de la xarxa interna i l'accés remot passa per VPN? |
| Persones | L'equip ha rebut formació sobre phishing durant l'últim any? |
| Resposta | Hi ha un document que digui qui fa què davant d'un incident (ransomware, compte robat)? |
Com interpretar el resultat
- Cap o dues respostes negatives
- Hi ha una base raonable. Convé repetir la revisió cada any i després de canvis importants.
- Entre tres i cinc
- Prioritzar accessos (verificació en dos passos, baixes) i còpies en els propers 90 dies.
- Sis o més, o qualsevol «no ho sé» en accessos o còpies
- Cal una revisió tècnica externa abans de decidir inversions.
Què afegeix una auditoria tècnica
- Anàlisi de vulnerabilitats de sistemes i serveis exposats a internet.
- Revisió de la configuració de xarxa i tallafocs (bastionat).
- Revisió de comptes, permisos i accessos privilegiats.
- Prova d'enginyeria social o simulació de phishing.
- Informe amb les mesures ordenades per risc i esforç.
Criteri Esolvo
Recomanem començar per accessos i còpies abans d'invertir en eines noves: són les mesures amb més impacte i menys cost per a una pime.
Fonts externes
Ciberseguretat
Conèixer el servei