Vas tancar el mòdul 3 amb una pregunta sense resposta: Nimbus té 38 persones, un pressupost limitat i una llista de millores que no cap en un any, així que què es fa primer? Aquesta lliçó és el mètode per contestar-la de manera defensable. No aprendràs cap tecnologia nova: aprendràs a convertir el que ja saps —l'inventari d'actius d'01-04, l'STRIDE, el catàleg d'atacs de 02-02, les mesures de 02-04 i les proteccions criptogràfiques del mòdul 3— en un ordre justificat, escrit i revisable. És la lliçó menys tècnica i la més determinant del curs, perquè un equip que protegeix el que li ve de gust protegir es gasta el pressupost sencer i continua tenint el forat per on va entrar l'atacant de 02-06.

1. Sense priorització no hi ha seguretat possible
2. L'equació del risc i què significa realment
3. El procés complet: ISO 31000 i ISO 27005 en una pime
4. Establir el context: el pas que gairebé tothom es salta
5. Identificar riscos: de l'actiu i de l'STRIDE al risc ben redactat
6. Anàlisi qualitativa: escales, matriu 5×5 i nivells d'acceptació
7. El que la matriu no et pot dir
8. Anàlisi quantitativa: SLE, ARO, ALE i ROSI
9. Risc inherent, control i risc residual
10. Apetit i tolerància al risc: qui posa el llindar
11. Les quatre estratègies de tractament
12. El registre de riscos com a artefacte viu
13. Quan es revisa i què dispara una reavaluació

La Marta, la CTO de Nimbus, surt del mòdul 3 amb una llista de 47 millores possibles. Té un pressupost anual de seguretat de 18.000 € (dada fictícia, però de l'ordre realista per a una pime de 38 persones) i una sola persona de sistemes: la Lucía pot dedicar, sent optimistes, un 25 % de la seva jornada a seguretat sense que caigui l'operació —unes 440 hores l'any—. L'Iván no té cap hora assignada: la seva feina és lliurar funcionalitat.

Les 47 millores no hi caben, i cap combinació d'esforç fa que hi càpiguen. Per tant, la decisió no és «què fem», sinó «què deixem sense fer», i aquesta és exactament la decisió que l'avaluació de riscos permet prendre amb arguments en lloc d'amb intuïció.

Defensable és la paraula clau. Quan d'aquí a un any un client pregunti «per què no teníeu EDR?», la resposta correcta no és «no ens va donar temps», sinó «ho vam avaluar, va quedar el dotzè de la llista, estava planificat per al segon semestre i la direcció ho va acceptar per escrit». Això és gestió del risc.

És, gairebé literalment, la frase més mal interpretada de la seguretat. Tres precisions la converteixen en útil:

(a) No és una fórmula, és una eina de conversa. Ningú no coneix la probabilitat veritable que Nimbus pateixi un ransomware l'any vinent. El que fa l'equació és obligar a separar dues preguntes que la gent barreja: «quantes vegades passa, això?» i «quant fa mal quan passa?». Quan la Lucía diu «cal renovar el certificat ja», l'equació pregunta: quina probabilitat hi ha que caduqui sense que ningú no ho vegi, i què passa exactament si cau? Si la resposta és «alta» i «la plataforma sencera durant dues hores», això competeix de debò amb la resta de la llista.

(b) L'impacte és de negoci, no tècnic. «Es compromet la base de dades» no és un impacte: és un fet. L'impacte és «40 clíniques sense agenda, notificació a l'autoritat de control, pèrdua estimada de dos clients i cost legal». Un risc amb l'impacte redactat en termes tècnics no el pot prioritzar la direcció, que és precisament qui ho ha de fer.

(c) La ISO 27005 hi afegeix un tercer factor: l'amenaça explota una vulnerabilitat sobre un actiu. En una pime n'hi ha prou d'integrar-lo dins la probabilitat, perquè la vulnerabilitat és el que fa que la probabilitat sigui alta. Que existeixi el ransomware és constant per a tothom; que les còpies de Nimbus siguin al mateix compte al núvol és el que dispara la seva probabilitat de patir un desastre irreversible.

La ISO 31000 és la norma genèrica de gestió del risc —serveix per a risc financer, laboral o de qualsevol mena— i la ISO 27005 és la seva aplicació al risc de seguretat de la informació. Totes dues descriuen el mateix cicle:

Dos detalls del diagrama importen més que el diagrama: la comunicació no és un pas, és transversal —una avaluació feta per la Lucía en solitari i presentada al final és una avaluació que la direcció no sent seva i, per tant, no finançarà—; i el cicle es tanca sobre «Identificar», no sobre «Analitzar», perquè en revisar no només es repuntua el que hi ha: es busquen riscos nous, ja que l'arquitectura ha canviat.

Abans d'identificar ni un sol risc cal fixar quatre coses per escrit. Sense elles, la resta de l'exercici produeix números incomparables entre si.

L'horitzó temporal és el que estalvia més discussions. «És probable» no vol dir res si no dius en quant de temps. A Nimbus totes les probabilitats s'expressen com a vegades per any, i això fa que dues persones diferents puntuïn de manera semblant.

Ja tens les dues entrades: l'inventari A-01…A-22 d'01-04 i el modelatge STRIDE del mateix capítol. El procediment és mecànic: actiu → categoria STRIDE aplicable → vulnerabilitat coneguda → risc redactat → propietari (que és el propietari de l'actiu).

Un risc mal redactat no es pot puntuar; fes servir sempre aquesta estructura:

Fixa't que la redacció correcta ja conté, implícitament, el control que falta. No és casualitat: un risc ben escrit gairebé proposa el seu tractament.

No inventis riscos: recull-los d'on ja són.

La qualitat de l'anàlisi qualitativa depèn completament que les escales tinguin criteris objectius, no adjectius. «Mitjana» no vol dir res; «entre una vegada cada 3 i cada 10 anys» sí.

Es puntua el pitjor dels cinc criteris, mai la mitjana.

Que Nimbus tingui una columna específica de dades personals no és decoratiu: els seus clients són clíniques i l'historial de cites revela indirectament informació de salut. És la dimensió que dispara els impactes de nivell 5.

Sense aquesta darrera taula la matriu no decideix res. Puntuar és la meitat de la feina; l'altra meitat és haver acordat per endavant què es fa amb cada banda, perquè acordar-ho després de veure els números convida a moure el llindar fins que el resultat sigui còmode.

• Agregació enganyosa. Deu riscos «mitjans» que comparteixen causa arrel —tots depenen d'A-05— no són deu problemes mitjans: són un problema crític disfressat, i la matriu no ho veurà perquè puntua riscos aïllats. Remei: agrupar per causa arrel abans de decidir.
• Biaix del punt mitjà. Qui dubta, puntua 3. Un registre amb el 60 % de les entrades en 3×3 no està avaluant: està emplenant. Remei: prohibir el 3 sense justificació escrita, o fer servir escales parells sense centre.
• Les bandes són ordinals, no cardinals. Un 16 no és «el doble de dolent» que un 8; no es poden sumar ni fer la mitjana de les puntuacions. I hi ha compressió de l'extrem: tot el que és catastròfic acaba en 5, així que una fuita de 200.000 € i una altra de 2 milions puntuen igual. Per a aquests pocs casos es recorre al quantitatiu.
• Biaix de l'avaluador. La Lucía sobrevalora allò que ella controla; l'Iván infravalora allò que ell va programar. Remei: puntuar en grup, no per correu.

El quantitatiu posa euros on el qualitatiu posa colors. No substitueix la matriu —és massa car per a 47 riscos—, però és imprescindible per justificar una inversió concreta davant la direcció.

Llegeix el resultat amb cura, perquè conté la lliçó sencera. La fuita és molt més greu per esdeveniment (192.000 € davant 52.000 €), però la caiguda té un ALE més gran perquè s'espera cinc vegades més sovint. Si Nimbus triés només per ALE, invertiria abans en disponibilitat que en confidencialitat. Aquest resultat contraintuïtiu és justament el que aporta el mètode: obliga a discutir la decisió en lloc d'assumir-la.

ROSI (Return On Security Investment) respon a «val la pena, aquest control?». Es calcula com (Estalvi − Cost anual del control) / Cost anual del control × 100, on l'estalvi és la diferència entre l'ALE abans i després d'aplicar-lo.

Això reprodueix, amb números, la conclusió de les 12 mesures de 02-04: MFA i còpies immutables són les dues inversions de més retorn, i l'EDR —l'única amb cost mitjà real— arriba molt endarrere. No és que l'EDR sigui dolent: és que està mal col·locat en l'ordre.

Advertiment imprescindible. Els quatre números d'entrada de cada línia són estimacions humanes. Un ROSI del 7.367 % transmet una precisió que no existeix. El que demostra el càlcul no és «7.367», sinó l'ordre de magnitud i l'ordre relatiu: MFA és dos ordres de magnitud millor inversió que EDR. Presenta sempre aquests números amb el seu rang («entre 3.000 % i 12.000 % segons l'estimació d'ARO») i documenta d'on surt cada supòsit. Un quantitatiu amb supòsits ocults és pitjor que un qualitatiu honest.

Tres regles que s'incompleixen cada dia. (1) El risc residual mai no és zero: qui presenti un registre amb residuals d'1 o menteix o no entén l'exercici; l'objectiu és portar-lo per sota de l'apetit, no eliminar-lo. (2) El control només redueix el risc si funciona de debò: puntuar el residual assumint MFA a tots els comptes quan hi és a la meitat és un frau comptable, així que el residual es puntua sobre l'estat verificat, i aquesta verificació és matèria de 04-03. (3) Convé saber si el control redueix probabilitat o impacte: MFA redueix la probabilitat —no entren—; les còpies immutables no la redueixen gens i redueixen l'impacte —entren, però es recupera—. Un risc tractat només amb controls de probabilitat es queda sense xarxa quan la probabilitat es materialitza igualment.

L'apetit és la quantitat de risc que l'organització està disposada a assumir per assolir els seus objectius: una declaració estratègica. La tolerància és la desviació acceptable al voltant d'aquest apetit, expressada per categoria i de manera mesurable. Així ho té escrit Nimbus:

Sense aquest document la matriu no decideix res. Pots puntuar 47 riscos perfectament i continuar sense saber quins cal tractar, perquè «Alt» només vol dir alguna cosa quan algú ha dit abans què es fa amb allò que és Alt. A Nimbus ho fixa la direcció a proposta de la Marta, i és deliberadament asimètric: apetit nul en dades de salut i mitjà en deute tècnic. Aquesta asimetria és l'estratègia de seguretat de l'empresa, escrita en deu línies.

La cinquena opció, que no existeix: ignorar. Acceptar i ignorar produeixen la mateixa factura i són coses diferents. Acceptar té nom, signatura, data i caducitat; ignorar no té res. La diferència es nota justament el dia de l'incident.

I els tres paranys que fan que una pòlissa no pagui: (1) els requisits previs —les pòlisses actuals exigeixen per escrit MFA en accessos administratius, còpies verificades i gestió de pedaços, així que si Nimbus declara que té MFA i l'incident demostra que la consultora hi entrava sense, l'asseguradora pot rebutjar el sinistre per inexactitud en la declaració—; (2) les exclusions —actes de guerra o d'estat, rellevant en ransomware atribuït; fallada d'un proveïdor no declarat; sancions regulatòries en algunes jurisdiccions—; i (3) les obligacions de procés, perquè moltes pòlisses obliguen a fer servir l'equip forense i jurídic de l'assegurador i a notificar en un termini curt: trucar primer a la teva consultora de confiança pot invalidar la cobertura.

Nota de validació. La contractació d'una ciberassegurança, la lectura de les seves exclusions i les declaracions que se signen al qüestionari de subscripció tenen conseqüències contractuals serioses. Revisa-ho amb un corredor especialitzat i amb assessoria jurídica abans de signar, i torna-ho a revisar quan canviï la teva arquitectura. La transferència del risc no és la transferència de la responsabilitat.

Aquest és el lliurable de la lliçó, i el necessitaràs al projecte final del mòdul 7. Un registre és un document viu: si la seva data de darrera modificació té més de sis mesos, no és un registre, és un record.

Els set riscos restants segueixen exactament el mateix esquema; es resumeixen aquí per no repetir l'estructura:

Observa el registre com a conjunt i veuràs tres coses que cap entrada no diu per separat: quatre dels onze riscos citen directament el compte al núvol A-05 i gairebé tots els altres en depenen (01-04), la majoria dels tractaments són barats, i l'única acceptació formal porta signatura, data i caducitat. Aquest darrer camp és el que impedeix que una acceptació es converteixi en un oblit permanent. Fixa't també en R-09: no té adversari i tot i així és de banda Alta.

Mensualment, la Marta i la Lucía revisen l'estat dels tractaments oberts: avancen? Trimestralment, amb l'Iván, es revisen els riscos Crítics i Alts: continua sent vàlida la puntuació? I anualment la direcció fa la revisió completa: riscos nous, tancament d'obsolets i apetit.

A més, els disparadors que obliguen a reavaluar sense esperar el calendari: canvi d'arquitectura (nova integració, migració, nova app mòbil); incident propi o del sector —qualsevol incident reavalua la probabilitat de tota la seva classe: el cas de 02-06 hauria de portar el ransomware al nivell 5 per a tot el SaaS sanitari—; nou proveïdor o canvi en un d'existent (04-04); canvi normatiu o contractual, com un client que exigeixi ISO 27001; canvi organitzatiu, com la baixa de la Lucía; i el resultat d'una auditoria o d'una prova de penetració (05-03, 06-04).

• Fer l'avaluació una vegada i arxivar-la. És l'error número u i el més car: un registre de fa 18 mesos descriu una empresa que ja no existeix. Consell: posa la revisió trimestral al calendari amb invitació acceptada, i tracta el registre com a codi: control de versions, canvis revisats, historial.
• Puntuar sense criteris escrits. Si dues persones puntuen el mateix amb 4 i amb 2, el problema no són elles: és que «probable» no està definit. No puntuïs res fins a tenir aprovades les taules de l'apartat 6, i tingues-les al davant durant la sessió.
• Que l'avaluació la faci només l'equip tècnic. La Lucía sap què es pot trencar; només la Sara i la Marta saben quant costa que es trenqui. Una avaluació purament tècnica produeix impactes mal estimats i, pitjor encara, sense autoritat per assignar pressupost.
• Confondre el registre amb la llista de tasques pendents. «Actualitzar el servidor» no és un risc, és un tractament. Si el teu registre és ple d'infinitius, l'estàs fent servir com a backlog: aplica la fórmula de 5.1 a cada entrada. I no inflis tot a Crític per aconseguir pressupost: funciona una vegada; la segona, la direcció deixa de llegir el document. Si més del 15 % del teu registre és Crític, no estàs prioritzant.
• Puntuar el residual amb controls que encara no existeixen. Se'n diu optimisme de projecte i falseja el registre sencer. L'estat desitjat va a tractament, no a residual.
• Oblidar els riscos sense adversari. R-09 (la Lucía és l'única de sistemes) i R-10 (caiguda del proveïdor) no tenen atacant i són igual de reals. La disponibilitat es trenca sola.

Al descobriment d'01-04 va aparèixer un full de càlcul amb les nòmines dels 38 empleats compartit mitjançant un enllaç públic, creat per la Sara fa 14 mesos i mai revocat.

1. Redacta el risc amb la fórmula de l'apartat 5.1.
2. Puntua probabilitat i impacte amb les escales de 6.1 i 6.2, justificant cada número.
3. Determina la banda i la regla de decisió aplicable.
4. Proposa estratègia i tractament, i estima el risc residual.

Nimbus valora contractar un servei gestionat de detecció que vigili els registres, amb un cost de 14.400 € anuals. El seu efecte principal és reduir el temps de detecció, no impedir l'entrada.

1. Sobre R-01 (ransomware, ALE de 96.000 €), quin factor de l'equació modifica un servei de detecció: la probabilitat o l'impacte? Raona-ho amb la cronologia de 02-06.
2. Si estimes que redueix l'ALE un 35 %, calcula el ROSI.
3. Compara'l amb les tres opcions de l'apartat 8.2 i decideix què recomanaries a la Marta aquest any. Canviaria la teva resposta si Nimbus ja tingués MFA i còpies immutables?

La Marta rep el registre de riscos d'una empresa comparable i hi detectes: 34 de 40 riscos puntuats 3×3; tots els propietaris són «Departament d'IT»; la columna de residual buida en 31 entrades; 6 riscos amb estratègia «Acceptar» sense signatura ni data; i ultima_revisio idèntica a les 40 entrades, fa 19 mesos. Identifica quin problema revela cada símptoma, quina correcció aplicaries i en quin ordre.

Exercici 1

(1) «Si qualsevol persona que rebi o descobreixi l'enllaç públic accedeix al full de nòmines allotjat a l'emmagatzematge corporatiu (A-16), que fa 14 mesos que està compartit sense restricció ni caducitat, llavors s'exposen salaris, DNI i dades bancàries dels 38 empleats, amb incompliment de la normativa de protecció de dades, notificació probable als afectats i a l'autoritat de control, i un greu deteriorament de la confiança interna.»

(2) Probabilitat = 4 (Alta): no requereix cap capacitat tècnica, n'hi ha prou de tenir l'enllaç; fa 14 mesos que és actiu, probablement va circular per correu i pot estar indexat. No és una hipòtesi remota, és una exposició en curs. Alguns avaluadors defensarien un 5; la diferència real és si hi ha evidència d'accés, i això es comprova al registre d'accessos de l'emmagatzematge abans de puntuar. Impacte = 4 (Greu): dades personals identificatives i financeres d'empleats —però no de clients ni dades de salut, cosa que el manté per sota de 5—, notificació probable, impacte intern sever, econòmic moderat. Nivell = 16 → banda Crític.

(3) Banda Crític → tractament immediat, pla en 7 dies, coneixement de la direcció. Amb un matís important: revocar l'enllaç costa dos minuts, així que el tractament no ha d'esperar el pla. Primer es talla l'exposició; després es documenta.

(4) Estratègia Mitigar, en tres capes: (a) revocar l'enllaç avui i revisar el registre d'accessos per determinar si hi va haver exposició real —dada necessària per decidir sobre la notificació—; (b) moure el fitxer a una carpeta restringida a la Sara i la direcció; (c) atacar la causa desactivant a nivell d'organització la creació d'enllaços públics i revisant tots els existents. Amb (a)+(b) el residual baixa a 2 × 4 = 8, Mitjà; amb (c) implantat, a 1 × 4 = 4, Baix. La part (c) és l'única que converteix una reparació puntual en un control, i l'única que impedeix que el mateix risc reaparegui d'aquí a sis mesos amb un altre fitxer.

Exercici 2

(1) La detecció no redueix la probabilitat: l'atacant entra igualment. Redueix l'impacte, escurçant el temps de permanència. En el cas de 02-06 l'atacant va estar 20 dies a dins; l'exfiltració va passar entre els dies 13 i 19 i la destrucció de còpies el dia 20. Detectar el dia 2 no hauria evitat el compromís, però sí l'exfiltració d'1,2 TB i la destrucció de còpies, que és on hi ha la major part del dany. Per això la detecció té un valor alt tot i no impedir res.

(2) Estalvi = 96.000 × 0,35 = 33.600 €. ROSI = (33.600 − 14.400) / 14.400 × 100 = 133 %.

(3) Amb un 133 % queda per sota del MFA (7.367 %) i de les còpies immutables (2.033 %), i pràcticament empatada amb l'EDR (150 %). Recomanació per a aquest any: no, i no pas perquè sigui dolenta, sinó perquè l'ordre importa: detectar de pressa un incident i no poder restaurar continua acabant en desastre. I sí, la resposta canvia si aquests dos ja estan implantats: quan els controls barats de prevenció i recuperació estan fets, l'ALE restant es concentra justament en allò que ataca la detecció, la seva reducció efectiva puja i passa a ser la següent inversió lògica. Això revela una cosa que el ROSI aïllat amaga: el retorn d'un control depèn de quins altres controls ja existeixin, així que el càlcul es refà cada any.

Exercici 3

Ordre de correcció: 5 → 1 → 2 → 3 → 4. Primer revifa el document, perquè corregir la resta sobre un registre mort és maquillar un cadàver; després arregla el mètode de puntuació, del qual depèn tota la resta; després els propietaris, que són qui executa; després el residual; i finalment formalitza les acceptacions, que és un tràmit de signatura un cop la resta és correcta.

Has après el mètode que converteix una llista inabastable en un ordre defensable, que era exactament la promesa amb què va tancar el mòdul 3. Saps que sense priorització no hi ha seguretat possible perquè el pressupost de Nimbus i les 440 hores anuals de la Lucía són finits, i que de les tres formes de prioritzar només una es pot defensar davant un client, davant la direcció o davant un auditor.

Manegues l'equació del risc pel que de debò aporta: no una fórmula exacta, sinó l'obligació de separar «quantes vegades passa» de «quant fa mal», i d'escriure l'impacte en termes de negoci perquè el pugui prioritzar qui té el pressupost. Coneixes el cicle d'ISO 31000/27005 adaptat a una pime, amb la comunicació com a activitat transversal, i saps identificar riscos des de l'inventari A-01…A-22, l'STRIDE i les troballes del descobriment, redactant-los amb una fórmula que fa que el risc gairebé proposi el seu propi tractament.

Domines l'anàlisi qualitativa amb escales de criteris objectius —no adjectius— i la matriu 5×5 amb les seves bandes d'acceptació, juntament amb els seus límits: agregació enganyosa, biaix del punt mitjà, ordinals que no se sumen i compressió de l'extrem. I saps quan cal passar al quantitatiu: SLE, ARO i ALE calculats per a la fuita d'adjunts i per a la caiguda de 48 h, amb el resultat incòmode que la caiguda té un ALE més gran tot i ser molt menys greu per esdeveniment, i amb el ROSI que reprodueix amb euros la conclusió de 02-04 —MFA i còpies immutables són dos ordres de magnitud millor inversió que un EDR—, sempre amb l'advertiment que les dades d'entrada són estimacions i el que val és l'ordre, no el decimal. Distingeixes inherent, control i residual amb les seves tres regles —el residual mai no és zero, només compta el control verificat, i convé saber si redueix probabilitat o impacte—, tens la declaració d'apetit i tolerància que la direcció signa i sense la qual la matriu no decideix res, coneixes les quatre estratègies de tractament amb la ciberassegurança i els seus tres paranys reals, i t'endús l'artefacte: la plantilla del registre de riscos i un registre de Nimbus amb onze riscos que convergeixen una vegada i una altra en A-05 i on l'única acceptació porta signatura, data i caducitat.

Però un registre de riscos, per bo que sigui, caduca amb la persona que el va escriure. Diu què va decidir la Marta el febrer de 2026; no diu què ha de fer un empleat nou el dimarts vinent, ni què és obligatori i què és recomanable, ni qui pot autoritzar una excepció. Les decisions que has pres aquí —MFA obligatori, accés just-in-time, prohibició d'enllaços públics, secrets en gestor i no en .env— necessiten deixar de viure al cap de tres persones.

A la lliçó següent, Polítiques de Seguretat (04-02), veuràs com es fixa per escrit una decisió perquè sobrevisqui a qui la va prendre: la jerarquia política → norma → procediment → guia, l'anatomia d'una política amb plantilla completa reutilitzable, dues polítiques de Nimbus redactades senceres, el procés d'aprovació i comunicació, i el registre d'excepcions amb caducitat obligatòria, on tornaràs a trobar-te —aquesta vegada per escrit— l'accés permanent de la consultora.