A la lliçó anterior vas construir el registre de riscos de Nimbus i vas prendre decisions concretes: MFA obligatori, accés just-in-time per a la consultora, prohibició d'enllaços públics, secrets en un gestor i no en .env. Totes aquestes decisions tenen avui el mateix problema: viuen al cap de tres persones i en un fitxer YAML que ningú de fora de l'equip tècnic no llegeix. Quan la Marta canviï d'empresa, quan entri un empleat nou o quan un client pregunti «quines regles teniu?», aquest coneixement desapareix o no es pot ensenyar. Aquesta lliçó tracta de l'artefacte que resol exactament això: la política de seguretat, que és el mecanisme pel qual una decisió sobreviu a qui la va prendre. Acabaràs amb una plantilla reutilitzable, dues polítiques de Nimbus redactades senceres i un registre d'excepcions amb caducitat obligatòria.

1. Què és una política i per què existeix
2. La jerarquia documental: política, norma, procediment i guia
3. Un mateix tema pels quatre nivells: contrasenyes i MFA
4. Anatomia d'una política i plantilla reutilitzable
5. El conjunt mínim de polítiques d'una pime
6. Política de Control d'Accessos de Nimbus, redactada sencera
7. Política d'Ús Acceptable de Nimbus, redactada sencera
8. El cicle de vida d'una política
9. Excepcions: sol·licitud, aprovació i caducitat obligatòria
10. Per què fracassen les polítiques
11. Polítiques i marcs normatius: només el pont

Una política de seguretat és un document aprovat per la direcció que declara què s'exigeix i per què, amb caràcter obligatori per a les persones incloses en el seu abast. No explica com es fa —això és un procediment—, ni llista productes, ni caduca quan canvia la tecnologia. Serveix per a coses que cap altre artefacte no cobreix:

L'exigibilitat mereix una precisió. Si Nimbus vol poder actuar quan algú instal·la programari no autoritzat en un portàtil corporatiu, necessita haver comunicat abans que això no està permès, i poder demostrar que ho va comunicar. Una regla no escrita ni comunicada no és una regla: és una preferència.

I una política no és un manual d'instruccions, que és l'error de redacció més freqüent. La política diu «l'accés a dades de producció requereix autenticació multifactor resistent al phishing»; el procediment diu «entra al panell d'identitat, prem Afegir mètode, tria Clau de seguretat…». La primera frase continuarà sent vàlida d'aquí a cinc anys; la segona quedarà obsoleta amb el pròxim redisseny del panell.

Fixa't en el cicle que tanca el diagrama: el registre de riscos justifica la política, la política es concreta en normes, les normes s'executen mitjançant procediments i es materialitzen en controls, i els controls redueixen el risc residual del registre que ho va començar tot. Una política que no es pot traçar fins a un risc concret sobra; un risc Crític sense política que el recolzi queda a mercè de la memòria de qui el va detectar. Dos errors de nivell molt comuns: posar paràmetres a la política —si diu «les contrasenyes tindran 12 caràcters», canviar a 14 obliga a una nova aprovació de la direcció; els números van a la norma— i escriure guies amb llenguatge de política —si una cosa és una recomanació ha de dir «es recomana»; si diu «ha de», és obligatori i algú ho auditarà—.

Res no aclareix la jerarquia com veure un sol tema recórrer-la sencera. Nivell 1 — Política de Contrasenyes i Autenticació (extracte):

Nivell 2 — Norma d'Autenticació (extracte): aquí van els números, i per això es pot actualitzar sense molestar la direcció.

Nivell 3 — Procediment «Alta d'una passkey» (extracte):

Nivell 4 — Guia «Com triar una contrasenya mestra memorable»: frases de pas, ús del gestor i què fer si es perd la clau física. No és obligatòria i ningú no l'audita. La conseqüència pràctica dels quatre nivells es veu millor així:

Aquesta taula és la raó pràctica de la jerarquia: cada cosa al seu nivell canvia amb la seva pròpia freqüència i l'aprova qui correspon, i així el sistema documental ni es paralitza ni es descontrola.

A una política que li falti algun d'aquests apartats generarà una discussió el dia que importi. Aquest és l'esquelet i la plantilla que reutilitzaràs al projecte final:

Tres apartats que la gent omet i que són justament els que se troben a faltar: el propòsit amb traçabilitat al risc —sense ell, d'aquí a dos anys ningú no sabrà per què existeix la regla i la primera persona a qui destorbi l'eliminarà—; allò que queda fora de l'abast —escriure «aquesta política no s'aplica als dispositius personals que només consulten correu» evita la discussió eterna sobre si s'aplica—; i les excepcions, perquè una política sense via d'excepció s'incompleix en silenci, mentre que amb ella l'incompliment es converteix en una decisió visible i amb data de caducitat.

Nimbus no necessita les 40 polítiques d'una multinacional: necessita aquestes onze, i l'ordre de la columna «Prioritat» surt directament del registre de riscos de 04-01.

Dos criteris de pime que convé aplicar sense complexos. Comença per les cinc de prioritat 1 i publica la resta en els sis mesos següents: onze polítiques mediocres publicades alhora valen menys que cinc de bones que la gent ha llegit. I fusiona si té sentit: en una empresa de 38 persones POL-03 pot ser un capítol de POL-02 i POL-06 pot viure dins de POL-04. El que no s'ha de fusionar mai és allò que té destinataris diferents: POL-08 la llegeix un proveïdor, i no pot rebre el document intern sencer.

Llegeix l'apartat 5.4 amb atenció: és una lliçó sencera comprimida en quatre enunciats, i cadascun elimina una fallada concreta de la cronologia de 02-06. El 5.4.1 mata el compte compartit sense MFA; el 5.4.2, l'accés permanent que existia a les 22:14 d'un dia qualsevol; el 5.4.3, la ceguesa dels 20 dies sense detecció; i el 5.4.4, l'accés que ningú no va tornar a mirar. Això és el que significa que una política sigui traçable a un risc.

La Política d'Ús Acceptable és la que llegeixen totes les persones de l'empresa, incloses les que no són tècniques, així que la seva redacció ha de ser comprensible sense coneixements previs. Els seus apartats 1 a 3 segueixen la plantilla —propòsit: protegir l'empresa, els seus clients i les mateixes persones usuàries, tractant R-05 i R-08; abast: tota persona i tot equip, compte o servei facilitat per Nimbus, dins o fora de l'oficina; rols: cada persona respon de l'ús dels seus comptes, la Lucía manté la configuració del parc i la Marta resol els dubtes—. Aquest és el seu cos:

Dos enunciats mereixen comentari perquè contradiuen l'instint de molta gent. El 5.3.1 («reportar de més mai no serà motiu de retret») i el tancament de l'apartat 7 no són bonisme: són disseny d'incentius, perquè una política que castiga el clic fa que la gent amagui el clic, i amagar-lo multiplica el temps de detecció, la variable que més determina el dany (02-06). I el 5.6.2 existeix perquè una política que afecta la privacitat dels empleats sense dir què es registra i per a què és, a més d'injusta, jurídicament fràgil.

Nota de validació. Els apartats d'ús personal, monitoratge, règim disciplinari i desconnexió digital tenen implicacions laborals i de protecció de dades que varien segons el conveni i la legislació aplicable, i en molts casos requereixen informació prèvia a la plantilla o consulta a la representació dels treballadors. Abans d'aprovar POL-04, revisa-la amb assessoria laboral i amb el responsable de compliment o el delegat de protecció de dades. El detall normatiu es tracta a 06-03.

Els tres passos que gairebé tothom es salta i que decideixen si la política serveix. La consulta (3): ensenyar l'esborrany a la Lucía, l'Iván, el Rubén i la Sara abans d'aprovar-lo és el que detecta l'enunciat impossible de complir; si el Rubén diu «amb aquesta regla no puc atendre un client que ha perdut l'accés», cal arreglar-ho abans, no després que ell s'inventi la seva pròpia drecera. La comunicació del perquè (6): publicar en una carpeta compartida no és comunicar; la versió que funciona és una reunió de 20 minuts on s'explica quin risc tracta cada regla, amb el cas de 02-06 com a argument. I l'acceptació registrada (7), sense la qual no hi ha exigibilitat, repetida en cada incorporació i en cada versió major.

Un detall operatiu que evita molt de soroll: la política viu en un únic lloc amb versió visible, perquè quan conviuen tres PDF en tres carpetes la que es compleix és la més antiga, que és la que la gent es va descarregar.

Una excepció és el reconeixement formal que, en un cas concret, no es complirà una regla, i és imprescindible que existeixi: l'alternativa a una excepció documentada no és el compliment, és l'incompliment silenciós. Els seus quatre requisits innegociables són justificació de negoci, mesura compensatòria, aprovació al nivell adequat i caducitat, i aquesta darrera és la clau, perquè una excepció sense data de fi és simplement una política diferent que ningú no va aprovar.

La segona entrada és l'origen de l'incident de 02-06. No hi va haver una decisió de córrer un risc: hi va haver una concessió operativa raonable el 2023 —«dona'ls accés perquè puguin atendre de matinada»— que ningú no va tornar a mirar, sense compensació, sense aprovador identificable i sense data de fi. Compara-la amb EXC-2026-004: la mateixa excepció sobre el mateix enunciat, però amb comptes nominals, MFA, enregistrament de sessió, alerta fora de finestra, aprovació de la direcció i sis setmanes de vigència. La diferència no és tècnica: és documental, i és exactament el valor que aporta aquesta lliçó.

Quatre regles de gestió del registre: revisió mensual de les properes a caducar; prohibida la renovació automàtica (renovar exigeix refer la justificació); si una excepció s'ha renovat tres vegades el problema és la política i cal canviar-la; i les excepcions obertes es compten com a indicador de salut, perquè un registre amb 30 de vigents descriu una política que l'organització no pot complir.

I per damunt de totes, el criteri que resumeix la lliçó: una política que ningú no pot complir empitjora la seguretat. No la deixa igual: l'empitjora, per tres vies. Normalitza l'incompliment, perquè quan una regla s'incompleix cada dia sense conseqüències totes les altres perden autoritat. Amaga el risc real, perquè sobre el paper està tractat i a la pràctica no ho està, i el registre de riscos de 04-01 esdevé fals. I destrueix la confiança en el sistema documental, de manera que la política següent, que potser sí que era important, neix morta. Per això, davant el dubte entre un enunciat ambiciós que ningú no complirà i un de modest que tothom complirà, escriu el modest i puja'l l'any vinent.

Les polítiques no s'escriuen en el buit: els marcs que vas veure a 02-01 esperen trobar-les, i amb noms bastant concrets.

Aquest és tot el pont que correspon a aquesta lliçó: el detall dels marcs i de la certificació és matèria de 06-02, i com s'audita el compliment efectiu, de 06-04.

• Escriure la política abans de tenir el registre de riscos. En surt un document genèric que no protegeix res concret. Consell: cada política comença citant els riscos que tracta; si no en pots citar cap, no l'escriguis encara. Tampoc no posis paràmetres tècnics a la política: cada canvi d'un número obligaria a reaprovar-la, i el «12 caràcters, FIDO2, sessió de 8 hores» viu a la norma.
• Fer servir «ha de» i «hauria de» a l'atzar. Si tot és «hauria de», res no és obligatori; si tot és «ha de», la política és inassolible. Consell: repassa el document marcant cada verb normatiu i pregunta't si estàs disposat a auditar-lo. I no aprovis sense consultar qui l'ha de complir: és la causa número u de polítiques de decoració, i la ronda de consulta dura una setmana i estalvia un any d'incompliment silenciós.
• No tenir via d'excepció, o tenir-la sense caducitat. Sense excepció formal la gent incompleix en silenci; amb excepcions sense data es reprodueix l'error que va produir l'incident de 02-06. Consell: publica el registre d'excepcions alhora que la política, amb caduca com a camp obligatori.
• Confondre publicar amb comunicar, i no versionar. Una carpeta compartida no forma ningú, i quan conviuen diverses còpies es compleix la més antiga. Consell: 20 minuts explicant el perquè, ubicació única i versió visible a la capçalera.

Classifica cada enunciat com a política, norma, procediment o guia, i corregeix-lo si està mal formulat per al seu nivell:

1. «Les còpies de seguretat es faran a les 03:00 mitjançant l'script backup.sh allotjat a /opt/nimbus/bin.»
2. «La informació de Nimbus s'ha de protegir d'acord amb la seva classificació durant tot el seu cicle de vida.»
3. «Les còpies completes es conservaran 90 dies i les incrementals 30, amb almenys una còpia immutable fora del compte de producció.»
4. «És aconsellable revisar el correu d'alerta de còpies cada matí abans de començar.»
5. «Els empleats haurien d'usar contrasenyes d'almenys 12 caràcters quan sigui possible.»

El risc R-06 del registre de 04-01 diu que un atacant que localitzi credencials en text en clar escala fins al compte al núvol A-05. Redacta tres enunciats normatius per a POL-07 (Desenvolupament Segur) que tractin aquest risc, al nivell correcte i amb llenguatge normatiu. Per a cadascun, indica: quina norma o procediment el desenvoluparia, quina evidència demostraria el seu compliment i una possible excepció legítima amb la seva compensació.

Et presenten aquesta sol·licitud:

Identifica tot el que està malament, decideix si l'aprovaries i en quines condicions, i proposa una alternativa que resolgui el problema de l'Iván sense necessitar l'excepció.

Exercici 1

1. Procediment, ben formulat: conté hora, eina i ruta, així que canvia amb la infraestructura.
2. Política, correcta: enuncia el què i el perquè sense paràmetres, i sobreviurà a qualsevol canvi tècnic.
3. Norma, correcta: números concrets, obligatoris i auditables —es pot comprovar si hi ha o no una còpia immutable fora del compte—.
4. Guia («és aconsellable» = no obligatòria). Correcta per al seu nivell, encara que cal preguntar-se si revisar l'alerta de còpies no hauria de ser obligatori: si ho és, cal reescriure-la com a norma amb un «HA DE».
5. Mal formulat en dos sentits: «haurien de» i «quan sigui possible» el fan no exigible, i alhora conté un paràmetre (12 caràcters) que pertany a la norma. Correcció: a la política, «L'accés als sistemes S'HA D'autenticar amb credencials robustes d'acord amb la Norma d'Autenticació»; a la norma, «Longitud mínima 12 caràcters; comprovació obligatòria contra llistes de contrasenyes filtrades».

Exercici 2

Observa que els tres enunciats són de política perquè no contenen cap paràmetre que hagi de canviar amb l'eina —llevat del termini de 4 hores de 7.3, que és una decisió de risc deliberada i per això s'accepta en aquest nivell—.

Exercici 3

El que està malament: (a) el sol·licitant s'aprova a si mateix, cosa que anul·la la separació de funcions (01-03); (b) no hi ha compensació; (c) no hi ha caducitat, amb la qual cosa l'excepció és permanent per omissió, igual que la de la consultora el 2023; (d) la justificació no acota res —no diu quines dades, de quin client, on es copien ni quan es destrueixen—; (e) no cita el risc associat ni el residual; i (f), el més greu, és probable que ni tan sols es pugui concedir, perquè copiar dades que revelen informació de salut a un entorn de desenvolupament té implicacions de protecció de dades que van més enllà d'una excepció interna.

L'aprovaries? No en aquesta forma. Si no hi hagués alternativa, la versió mínima acceptable seria: aprovació de la Marta i no de l'Iván; abast limitat a un únic client i amb el seu coneixement; còpia pseudonimitzada (03-07) i amb les notes clíniques suprimides, no desxifrades; entorn aïllat amb els mateixos controls que producció; caducitat de 7 dies amb esborrament verificat; i registre de l'accés.

L'alternativa que elimina l'excepció —i que és la resposta correcta— és atacar la causa: generar un conjunt de dades sintètiques que reprodueixi el volum i la forma de les reals sense contenir-ne cap, o un procediment d'anonimització automàtica que produeixi la còpia de preproducció sense dades personals. Costa més la primera vegada i elimina l'excepció per sempre. Recorda que a l'inventari d'01-04 l'entorn de preproducció (A-22) figura amb classificació «a revisar» precisament perquè ningú no estava segur de si contenia dades reals: aquest exercici és aquell dubte fet carn.

Has complert la promesa que va deixar oberta el mòdul 3 i que va reforçar 04-01: una política és el mecanisme pel qual una decisió sobreviu a qui la va prendre. Aporta el que cap altre artefacte no dona —persistència, uniformitat, exigibilitat, delegació i demostrabilitat—, i una regla no escrita ni comunicada no és una regla, sinó una preferència. Domines la jerarquia documental amb precisió: la política diu què i per què i l'aprova la direcció; la norma diu què és obligatori i mesurable, i allà van els paràmetres; el procediment diu com, pas a pas, i canvia amb l'eina; la guia recomana i no obliga. Ho has vist recórrer un mateix tema —contrasenyes i MFA— pels quatre nivells, amb la taula que explica la raó pràctica de tot el sistema: cada nivell canvia amb la seva pròpia freqüència i l'aprova qui correspon.

Tens l'anatomia completa d'una política i la seva plantilla reutilitzable, amb els tres apartats que tothom omet: el propòsit traçat al risc, allò que queda expressament fora de l'abast i la via d'excepció. Tens el conjunt mínim d'onze polítiques per a una pime amb el seu ordre de prioritat derivat del registre de riscos, i dues d'elles redactades senceres: la Política de Control d'Accessos, l'apartat 5.4 de la qual mata una per una les quatre fallades de l'accés de la consultora a 02-06, i la Política d'Ús Acceptable, on el disseny d'incentius —reportar mai no es retreu, amagar sí— importa tant com les regles.

Coneixes el cicle de vida d'una política amb els tres passos que decideixen si serveix: la consulta prèvia que detecta l'impossible de complir, la comunicació del perquè que no és publicar en una carpeta, i l'acceptació registrada sense la qual no hi ha exigibilitat. I t'endús l'artefacte que més dany evita: el registre d'excepcions, amb els seus quatre requisits innegociables —justificació, compensació, aprovació al nivell adequat i caducitat—, il·lustrat amb la comparació entre una excepció ben feta de sis setmanes i l'excepció sense data de 2023 que és l'origen de l'incident de 02-06. Tanca la lliçó el criteri que la resumeix: una política que ningú no pot complir empitjora la seguretat, perquè normalitza l'incompliment, amaga el risc real i deixa morta la política següent abans de néixer.

Però fixa't en el que has escrit. POL-02 diu que l'accés de tercers «ha de ser nominal, amb MFA i just-in-time»; POL-04 diu que els equips «han de mantenir actiu el xifratge de disc». Això són declaracions d'intenció fins que alguna cosa les fa certes: algú ha de configurar l'MFA, verificar que els 40 portàtils estan xifrats de debò, comprovar-ho periòdicament i deixar evidència que ho va comprovar. Aquest «alguna cosa» té nom i és el tercer vèrtex del triangle. A la lliçó següent, Controls de Seguretat (04-03), tancaràs el triangle risc → política → control: les dues classificacions que cal dominar —per naturalesa i per funció—, per què tot risc rellevant necessita controls de més d'una funció, els catàlegs de referència CIS v8 i ISO 27002, com se selecciona un control comptant la seva càrrega operativa recurrent, el catàleg de controls de Nimbus com a artefacte, la diferència entre un control implantat i un control eficaç, les mètriques que el mesuren i la matriu de traçabilitat que salva una auditoria.