El mòdul 5 va acabar amb un advertiment incòmode: res del que s'ha construït no es manté sol. L'escaneig mensual deixa d'executar-se quan la Lucía té una setmana dolenta, la línia base es degrada si ningú no mira el --check --diff, la CSP s'omple d'excepcions i el security.txt caduca. Aquesta lliçó tracta el problema que sosté tots els altres: com es converteix una decisió puntual en un hàbit que sobreviu a les vacances, a les baixes, a un llançament urgent i a la rotació de personal. Aquí no hi ha cap eina nova. Hi ha checklists per rol, un calendari, automatismes que no depenen de la memòria de ningú, un quadre de comandament de deu números i un full de ruta de dotze mesos que cap en 18.000 € i 440 hores. És la lliçó menys espectacular del curs i probablement la que més incidents evita.

1. La tesi: la seguretat no s'aconsegueix, es sosté
2. Higiene de seguretat: el poc que evita gairebé tot
3. Bones pràctiques per rol: sis checklists
4. Ritmes i cadències: el calendari de seguretat de Nimbus
5. Automatitzar l'hàbit: que el sistema recordi per tu
6. Mesurar per no enganyar-se: el quadre de comandament mínim
7. Millora contínua: PDCA i la regla d'acabar abans de començar
8. Antipatrons organitzatius
9. Cultura: com es reconeix la de debò
10. El full de ruta de 12 mesos de Nimbus

Hi ha una dada que hauria d'incomodar qualsevol que porti temps en això: en la immensa majoria dels incidents greus, l'organització afectada sabia què s'havia de fer. No li faltava coneixement. Repassa els casos de 02-06 amb aquesta lent:

La conclusió no és que la gent sigui negligent. És que saber i fer són dues capacitats diferents, i la segona es degrada amb el temps llevat que hi hagi un mecanisme que la sostingui. Un projecte de seguretat produeix un estat bo en una data concreta; a partir d'aquí, l'estat es degrada sol. Es despleguen servidors nous, es contracta gent, s'obren ports «temporalment», es creen comptes de servei per a una migració, s'instal·len dependències. És el que a 01-04 vam anomenar deriva de la configuració i que a 05-06 combatíem amb Ansible: l'entropia és la condició per defecte.

Un hàbit, en canvi, és una acció que s'executa sense decisió prèvia perquè hi ha un disparador que la llança. La diferència pràctica és aquesta:

• Projecte: «posarem MFA a tothom». S'acaba, se celebra, i sis mesos després el 30 % dels comptes nous no en tenen.
• Hàbit: «cap compte no es crea sense MFA perquè el proveïdor d'identitat no ho permet, i el primer dilluns de mes surt un informe amb les excepcions». No s'acaba mai, i per això funciona.

La pregunta que ordena tota aquesta lliçó no és «ho hem fet?», sinó «què fa que se segueixi fent d'aquí a un any, quan ningú no es recordi d'aquesta conversa?».

La higiene de seguretat és el conjunt reduït de pràctiques bàsiques l'absència de les quals explica la majoria dels incidents. El terme és deliberat: com rentar-se les mans, no és glamurós, no requereix talent i el seu efecte agregat supera qualsevol intervenció sofisticada.

Vuit pràctiques. No són vuit entre moltes: són les vuit.

L'argument de per què això n'hi ha prou per a gairebé tot té dues potes. La primera és estadística: els informes anuals del sector (Verizon DBIR, ENISA, INCIBE) coincideixen any rere any que la gran majoria de les bretxes comencen per credencials, phishing, explotació de vulnerabilitat coneguda o error de configuració —els quatre primers de la llista—. La segona és econòmica: l'atacant que ataca Nimbus no és un servei d'intel·ligència, és un operador oportunista que escombra Internet buscant el que és fàcil, i la higiene el converteix en un objectiu car.

La regla que convé gravar-se: allò bàsic ben mantingut supera allò avançat mal mantingut. Un EDR de gamma alta amb la meitat dels endpoints sense agent i les alertes sense revisar protegeix menys que MFA universal més còpies provades. I costa vint vegades més.

Fixa't en el detall que separa la higiene real de l'aparent: cadascuna de les vuit porta un verb de verificació. No és «fer còpies», és «provar la restauració». No és «tenir inventari», és «actualitzar-lo». No és «posar alertes», és «revisar-les». El verb de verificació és el que converteix una intenció en un hàbit mesurable.

Una llista de bones pràctiques adreçada a «l'empresa» no l'executa ningú. Adreçada a una persona amb nom, sí. Aquestes són les sis checklists de Nimbus, redactades perquè càpiguen en una targeta.

• Assigno temps, no només pressupost. Les 440 h de la Lucía són al pla com qualsevol projecte de producte; si no hi són, no existeixen.
• Reviso mensualment el registre de canvis privilegiats (C-21) i signo l'acta. Quinze minuts.
• Reviso trimestralment el registre de riscos de 04-01 i el registre d'excepcions: què ha canviat, quina excepció caduca.
• Cap excepció sense data de caducitat. L'excepció del 2023 de la consultora, sense caducitat, és la raó per la qual existeix l'incident de 02-06.
• El risc entra en les decisions de producte. Quan comercial promet una integració per divendres, la pregunta «quines dades toca i qui les veu?» la faig jo, no l'espero d'un altre.
• Un incident reportat tard és una fallada meva, no de qui el va reportar. Ho dic en veu alta i actuo en conseqüència.
• Signo el que aprovo i conservo l'aprovació: polítiques, excepcions, pressupost. És l'evidència de 06-04.

• No confio en cap dada que vingui del client, inclosos els identificadors: l'autorització es decideix al servidor amb tenant_actual i exigeix(), mai amb un paràmetre.
• Cap secret al codi, ni en un .env versionat, ni en un registre. Gestor de secrets sempre; gitleaks bloqueja el commit si em despisto.
• Dependències fixades i auditades: pip-audit al CI, actualització mensual, i no afegeixo cap biblioteca sense mirar qui la manté.
• Les proves d'autorització són proves, no revisió manual: cada endpoint nou porta un test que verifica que el tenant B no veu el tenant A.
• Registro el que és rellevant i res més: qui, què, quan, sobre quin recurs; mai contrasenyes, tokens, ni el contingut d'una nota clínica.
• Abans d'obrir un pull request, passo la checklist de revisió de 05-05. Si toco autenticació, autorització, criptografia o pujada de fitxers, ho marco perquè ho miri algú més.
• Quan trobo una fallada de seguretat al nostre codi, ho dic el mateix dia. No ho arreglo en silenci.

• Reviso les alertes del dia, totes, i tanco cadascuna amb una frase de què era. Una alerta sense tancar és una alerta que no existeix.
• Aplico pedaços crítics en 7 dies i en deixo constància amb la data; la resta, a la finestra mensual.
• Canvi d'infraestructura = codi. Res a mà a la consola: si no és a Terraform o a Ansible, no ha passat.
• Executo --check --diff setmanalment i tracto qualsevol deriva com un incident menor: algú va tocar alguna cosa fora de procés.
• Provo la restauració cada trimestre amb cronòmetre i guardo l'informe. Sense aquest informe, les còpies són una creença.
• Cap accés permanent per a tercers: la consultora entra just-in-time, amb finestra de 8 hores i revocació automàtica.
• Documento mentre faig, no després. Un runbook escrit a posteriori no s'escriu mai.
• Quan una cosa urgent m'obliga a saltar-me el procés, obro l'excepció amb data de tancament abans de saltar-me'l.

• Verifico la identitat abans de tocar res: mai per la informació que la persona em dona, sinó per un canal que ja tenim registrat.
• Mai demano ni accepto una contrasenya, ni «per comprovar». Si algú hi insisteix, aquest és el senyal.
• Accedeixo al mínim de tenants: cada accés queda a la taula d'auditoria i la detecció D-05 mira exactament això.
• No exporto dades al meu correu ni al meu portàtil. Si necessito un informe, surt del sistema amb URL signada i caduca.
• Una petició urgent i emotiva d'un client és un patró d'enginyeria social. La urgència és l'eina, no el context.
• Reporto el que és estrany encara que sembli una ximpleria. Tres trucades de clíniques queixant-se de lentitud van ser, a 02-06, el dia 20.

• Cap canvi de compte bancari d'un proveïdor sense verificació per canal alternatiu, trucant al número que ja teníem, no al del correu.
• Cap transferència fora del circuit habitual per urgència de direcció. Aquest és literalment el guió del frau del CEO.
• Les altes i baixes de personal es comuniquen el mateix dia: la baixa dispara la revocació d'accessos (02-05), i una baixa comunicada tard és un compte viu sense amo.
• Les dades de RH (A-16) viuen on han de viure, no en un full de càlcul a l'escriptori ni en una carpeta compartida amb tota l'empresa.
• Els currículums i els contractes són dades personals. Es conserven el temps previst i després s'esborren (06-03).
• Les factures i els adjunts inesperats no s'obren: es comprova el remitent real, no el nom mostrat.

• Gestor de contrasenyes per a tot, contrasenyes úniques, MFA on s'ofereixi.
• Portàtil xifrat, bloqueig automàtic, sense treballar com a administrador en el dia a dia.
• Actualitzo quan el sistema ho demana, i no ho ajorno indefinidament.
• Davant el dubte, pregunto abans de fer clic. Preguntar no és mai una molèstia.
• Reporto amb el botó, fins i tot si ja hi he picat. Sobretot si ja hi he picat.
• No instal·lo eines ni connecto serveis externs a les dades de l'empresa sense passar per la Marta i la Lucía.
• Wifi de convidats per als dispositius personals, mai la corporativa.

Un hàbit necessita un disparador temporal. Aquesta és la traducció de tot el curs a un calendari, expressat com a dada perquè pugui viure al repositori i generar recordatoris automàtics.

Com es llegeix aquest calendari. Sumant el temps recurrent surt al voltant de 300 hores l'any de la Lucía i unes 60 de la Marta, més el pressupost del pentest. És dins de les 440 h disponibles, i en deixa unes 140 per a projectes de millora. Aquest càlcul —que gairebé ningú no fa— és el que evita l'error clàssic de planificar un any ple de projectes nous sense deixar espai per operar el que ja s'ha construït.

Tres criteris de disseny del calendari que convé entendre:

• El que és diari és curt o no es fa. Quinze minuts se sostenen; una hora diària, no.
• El que és car va espaiat i amb evidència obligatòria. La prova de restauració és trimestral perquè costa mitja jornada, i produeix un informe perquè, si no, ningú no sabrà si es va fer.
• Cada tasca té propietari nominal. «L'equip» no executa res.

Un calendari continua depenent que algú se'l miri. L'escaló següent és convertir la pràctica en una cosa que el sistema força, de manera que ometre-la requereixi un acte deliberat en lloc d'un descuit.

L'exemple més barat i més oblidat és la plantilla de pull request, que converteix la checklist de 05-05 en una cosa que apareix davant dels ulls en el moment exacte:

I el patró general que hi ha darrere de tots els exemples: valors per defecte segurs. Si la plantilla de Terraform amb què es crea un bucket ja porta bloqueig públic, xifratge i versionatge, ningú no se n'haurà de recordar. Si la imatge base ja és distroless i sense root, cap desenvolupador no ho haurà de decidir. La manera més eficaç de sostenir una bona pràctica és fer que l'opció segura sigui també la més còmoda.

Un avís: automatitzar sense revisar produeix una falsa sensació de control. Un CI que falla sempre acaba amb la gent fent servir --no-verify. Regla pràctica: si un control automàtic produeix més d'un fals positiu per setmana, arregla'l o treu-lo, perquè en poc temps l'ignoraran igualment.

Sense mesura, la percepció de seguretat puja amb l'esforç invertit, no amb el risc real. L'antídot és un quadre petit d'indicadors que es publica cada mes, sempre els mateixos, amb el seu objectiu i la seva font. Deu números per a Nimbus:

Quatre regles perquè el quadre no es converteixi en decoració:

• Cada indicador té un objectiu declarat abans de mesurar-lo. Si l'objectiu es fixa després, sempre es compleix.
• Cada indicador té una font automatitzable. Si la dada requereix que algú l'estimi, és una opinió.
• Es publica encara que surti malament. Un quadre que només s'ensenya quan està verd no informa de res.
• Es mira la tendència, no el valor absolut. Un 92 % que puja val més que un 96 % que baixa.

Un càlcul automatitzat, en la línia del de 04-03 però ja com a quadre complet:

Sortida:

Compara amb el quadre de 04-03: llavors l'MFA era al 57 % i l'aplicació de pedaços per damunt del termini. La millora és real i és mesurable, i aquest és exactament el punt. Els cinc indicadors en vermell no són un fracàs: són la llista de feina del mes, i dos d'ells —el portàtil sense xifrar i les excepcions caducades— es tanquen en una tarda.

El cicle PDCA (Planificar, Fer, Verificar, Actuar) és el motor formal de la millora contínua, i és l'estructura que la ISO 27001 exigeix a la seva clàusula 10 (ho veurem a 06-02). Aplicat a Nimbus, sense litúrgia:

El que fa útil el cicle no és dibuixar-lo, sinó dues disciplines concretes:

Com es prioritza quan tot sembla urgent. L'ordre de Nimbus, en aquest ordre exacte:

1. El que està cremant: incident en curs, vulnerabilitat crítica amb exploit actiu (KEV, en la terminologia de 05-01).
2. El que redueix més risc per euro i per hora, segons l'ALE del registre de 04-01. Continua sent el criteri de fons.
3. El que és gratis i ràpid: tancar un port, marcar una casella, posar una data de caducitat a una excepció. Es fa ja, no es planifica.
4. El que sosté la resta: automatismes, calendari, documentació. Sempre se subestima i és el que evita refer.
5. El que exigeix un client o una norma amb data, encara que no sigui el més eficaç. És un risc de negoci real.
6. El que és interessant. Al final. Sempre al final.

La regla d'acabar abans de començar. Nimbus no arrenca cap iniciativa nova mentre n'hi hagi més de dues en curs. Sona burocràtic i és el contrari: la seguretat a mitges no protegeix proporcionalment. Un desplegament d'MFA al 60 % no redueix el risc un 60 %, perquè l'atacant busca precisament el 40 % restant. Un control a mitges sol valer zero. Per això convé triar tres coses per trimestre, acabar-les, verificar-les i només llavors obrir les següents.

Cinc maneres de tenir seguretat sobre el paper i no tenir-la a la pràctica. Les cinc són culturals, no tècniques.

Mereix un paràgraf el cas de la Lucía i el risc d'autobús, perquè és el més comú a les pimes i el pitjor entès. R-09 té impacte alt i probabilitat gens menyspreable —n'hi ha prou amb una baixa mèdica o una oferta millor—. I no es resol amb un document: es resol reduint el coneixement tàcit. Tres mesures concretes, cap de cara:

• Documentació operativa (A-17) escrita durant l'execució, amb el criteri que una altra persona tècnica pugui seguir-la sense preguntar.
• Rotació mínima: l'Iván executa la prova de restauració trimestral almenys un cop l'any, amb la Lucía observant. La primera vegada sortirà malament, i aquesta és justament la troballa.
• Retenidor extern de guàrdia amb la consultora, ara amb accés just-in-time, per cobrir vacances. I amb la lliçó de 02-06 ben apresa: el retenidor no torna a implicar accés permanent.

Sobre comprar sense operar, l'aritmètica d'una pime és implacable: un SIEM comercial de 12.000 €/any consumeix dos terços del pressupost de Nimbus i exigeix entre 100 i 200 hores anuals d'operació que la Lucía no té. Amb aquestes mateixes 200 hores s'implanten les dotze deteccions D-01…D-12 sobre eines obertes, es proven i s'automatitza el calendari. La pregunta prèvia a qualsevol compra és qui l'operarà, amb quines hores i qui se n'assabentarà si deixa de funcionar.

La cultura de seguretat no es mesura per cartells ni pel percentatge de finalització del curset anual —això és 06-05 i allà veurem per què és un indicador de vanitat—. Es reconeix per comportaments observables:

• Es reporten els errors propis sense por. Algú diu «he fet clic en un enllaç estrany» al cap de cinc minuts, no l'endemà ni mai. Aquest és l'indicador principal: on es castiga qui pica, la detecció primerenca desapareix.
• Es pregunta abans d'actuar. «Puc enviar aquesta exportació al client per correu?» és una pregunta sana, i la resposta ha d'arribar el mateix dia o la gent deixarà de preguntar.
• El risc es diu en veu alta en les decisions de producte, no només a les reunions de seguretat. «Això exposa l'identificador del tenant a la URL» es diu al refinament, no al pentest.
• Es pot dir que alguna cosa va malament cap amunt. Si la Lucía pot dir-li a la Marta «no arribem a això i el risc és X» sense cost personal, el sistema funciona.
• El que és temporal té data. El bucket de proves, la regla de tallafoc d'un dia, l'accés per a una migració: si neixen amb data de caducitat, hi ha cultura; si no, hi ha deute.
• Quan alguna cosa falla, es pregunta què del sistema ho va permetre, no qui ho va fer. És el post mortem sense culpables de 04-05 aplicat al que és quotidià.

La cultura no es decreta; es produeix pel que la direcció premia, tolera i ignora. Si la Marta agraeix públicament un report que va resultar falsa alarma, ha comprat més seguretat que amb qualsevol eina d'aquell preu.

Tot l'anterior convergeix aquí: un pla anual que integra el curs complet, amb propietari, cost i resultat esperat, dins de 18.000 € i 440 hores de la Lucía (de les quals unes 300 ja es consumeixen en el calendari recurrent de l'apartat 4, així que el marge de projecte és d'unes 140 h, més el temps de l'Iván, la Marta i la Sara).

Com es defensa aquest pla davant la direcció, que és el que farà que s'aprovi: no es presenta com catorze tasques tècniques, sinó com la cobertura dels riscos pitjor puntuats del registre de 04-01. R-01 (ransomware per tercer, ALE 96.000 €) queda cobert a T1-T2 amb quatre iniciatives que sumen 1.100 €. R-02 (destrucció de còpies) cau a T2 per 400 €. R-06 (secrets) a T1 per 300 €. R-03 i R-07 a T3. Un pla de 18.000 € que ataca directament un risc anual esperat molt superior és una conversa de negoci, no una petició de pressupost.

• Confondre activitat amb progrés. Deu iniciatives al 40 % donen una sensació excel·lent i una reducció de risc propera a zero. Acaba'n tres.
• Escriure el calendari i no posar-li propietari ni evidència. Una tasca sense propietari no es fa; d'una tasca sense evidència no es pot saber si es va fer. Totes dues coses són igual de fatals.
• Planificar l'any amb el 100 % del temps en projectes nous. Si el calendari recurrent consumeix 300 de les 440 hores, planificar 400 hores de projectes garanteix que l'operació caigui o que els projectes no acabin. Reserva el temps d'operació primer.
• Mesurar el que és fàcil en lloc del que importa. «Hores de formació impartides» és còmode i no diu res; «taxa de report de phishing» és incòmode i sí que en diu.
• Tractar l'automatització com un fi. Automatitzar un control que ningú no revisa produeix un registre que ningú no llegeix. Automatitza l'execució i la notificació de fallada.
• Consell: comença pel calendari, no per l'eina. Si demà només poguessis fer una cosa d'aquesta lliçó, crea les catorze tasques recurrents de l'apartat 4 amb propietari i data. Costa una hora i és el que més canvia.
• Consell: posa data de caducitat a tot allò temporal, per sistema i sense excepcions: la major part del deute de seguretat de qualsevol empresa és «temporal» de fa tres anys. I publica el quadre de comandament encara que estigui en vermell: el primer mes fa mal; el tercer, la gent comença a competir per posar-lo en verd.

Exercici 1 — De projecte a hàbit

Nimbus acaba d'acabar una iniciativa: s'ha verificat que els 40 portàtils tenen el disc xifrat i se n'ha guardat l'evidència. La Marta ho dona per tancat. Explica per què aquest control s'haurà degradat d'aquí a dotze mesos si no es fa res més, i indica tres mecanismes concrets —un de calendari, un d'automatitzat i un de valor per defecte— que el converteixin en un hàbit. Per a cadascun, digues quina evidència produeix.

Exercici 2 — Redissenyar una pràctica fràgil

Aquesta és la pràctica actual de Nimbus per a l'alta d'un empleat nou, tal com l'executa la Sara: «Quan entra algú, aviso la Lucía per xat i ella li crea els comptes que necessiti». Identifica quatre fallades d'aquesta pràctica des del punt de vista de la sostenibilitat i del control d'accessos, i reescriu-la en un format que resisteixi que la Sara sigui de vacances, que la Lucía tingui un mal dia i la pregunta d'un auditor sis mesos després.

Exercici 3 — Prioritzar amb el pressupost exhaurit

Som a l'octubre. Queden 1.800 € i 35 hores de la Lucía. Sobre la taula hi ha quatre peticions: (a) un client gran exigeix resposta a un qüestionari de seguretat de 90 preguntes abans de renovar; (b) el quadre de comandament marca 2 excepcions caducades i 1 portàtil sense xifrar; (c) l'Iván vol migrar a una imatge base distroless en tots els serveis; (d) ha sortit una vulnerabilitat crítica amb exploit públic en una biblioteca que fa servir l'API. Ordena-les justificant el criteri i digues què faries amb les hores i els diners.

Exercici 1

Per què es degrada. El control es va verificar sobre una foto fixa de 40 portàtils en una data. En dotze mesos hauran passat, amb tota seguretat: entrades de personal nou amb portàtils acabats de comprar (que arriben amb el xifratge desactivat o amb clau de recuperació no custodiada), reinstal·lacions després d'una avaria, algun equip personal usat temporalment «mentre arriba el nou» i algun canvi de sistema operatiu. Cap d'aquestes situacions no té un mecanisme que reactivi el control. L'evidència guardada continuarà sent vàlida com a prova del que va passar aquell dia, però no diu res de l'estat actual, i aquesta confusió —evidència històrica llegida com a estat present— és l'error de fons.

Tres mecanismes:

1. Calendari: entrada mensual al calendari-seguretat.yml amb propietària la Lucía, 10 minuts, «verificar la cobertura de xifratge del parc davant de l'inventari d'equips actius». Evidència: informe mensual amb numerador (xifrats), denominador (equips actius) i llista nominal d'excepcions. Alimenta l'indicador 3 del quadre de comandament.
2. Automatitzat: consulta osquery programada que reporta l'estat de xifratge de cada equip a l'inventari, més una alerta —no un informe— quan apareix un equip actiu amb el xifratge desactivat o amb clau de recuperació no dipositada. La diferència entre informe i alerta és la que separa detectar en 30 dies de detectar en 1. Evidència: històric de la consulta i registre d'alertes amb el seu tancament.
3. Valor per defecte: la política de l'MDM exigeix xifratge actiu i clau custodiada com a condició per accedir al correu i als recursos corporatius. Un portàtil no xifrat deixa de ser útil, de manera que l'incompliment es fa visible en hores i sense intervenció de ningú. Evidència: exportació de la política de l'MDM i llista de dispositius conformes/no conformes.

Els tres són complementaris: el tercer impedeix, el segon detecta ràpid i el primer demostra davant d'un client o un auditor. Un quart element tanca el cercle: incloure «verificar el xifratge i la custòdia de la clau» a la checklist de lliurament d'equip del procés d'alta, per atacar la causa a l'origen.

Exercici 2

Quatre fallades:

1. No hi ha definició prèvia de quins accessos corresponen al lloc de treball. «Els comptes que necessiti» significa que la Lucía improvisa, i davant el dubte concedeix de més, que és exactament com moren el mínim privilegi i el control C-18.
2. El disparador és un missatge de xat, un canal efímer, sense traçabilitat i que depèn que la Sara estigui treballant aquell dia. Si la Sara és de vacances, l'alta no es dispara o la dispara algú d'una altra manera.
3. No hi ha aprovació registrada. Ningú amb autoritat no ha dit per escrit que aquesta persona hagi de tenir aquests accessos. És el primer que demana un auditor (06-04) i no existeix.
4. No hi ha simetria amb la baixa. El procés d'alta no crea cap registre del que es va concedir, així que a la sortida ningú no sabrà què revocar. És l'origen dels comptes orfes de 02-05.

Pràctica reescrita:

El que fa resistent aquesta versió: el disparador és un artefacte persistent i no una persona; els accessos són perfils versionats i no decisions improvisades; l'aprovació queda registrada; l'MFA i el xifratge estan forçats pel sistema; hi ha suplència explícita; i el mateix procés produeix l'evidència que la baixa, la recertificació semestral i l'auditor necessitaran. Cost de muntar-ho: una tarda.

Exercici 3

Ordre: (d), (b), (a), (c).

• (d) Vulnerabilitat crítica amb exploit públic va primer pel criteri 1 de l'apartat 7: està cremant. Un exploit públic en una biblioteca de l'API significa que l'escaneig automatitzat de tercers la trobarà en dies —és exactament el patró d'Equifax—. Consumeix 8 hores de la Lucía i l'Iván (actualitzar, provar, desplegar, verificar) i 0 €. No es negocia ni es planifica: es fa avui.
• (b) Les dues excepcions caducades i el portàtil sense xifrar van després pel criteri 3: és gratis i ràpid. Tancar o renovar formalment dues excepcions són 2 hores de la Marta; xifrar un portàtil és 1 hora. 3 hores, 0 €, i posa dos indicadors del quadre de comandament en verd. A més, si el client de (a) pregunta per la gestió d'excepcions, la resposta ja serà bona.
• (a) El qüestionari del client és un risc de negoci amb data, criteri 5. Consumeix 20 hores i probablement 0 € si es respon internament. I hi ha una inversió implícita que convé fer bé: en respondre'l, es construeix el dossier de seguretat reutilitzable de 06-04, de manera que el qüestionari següent costi 4 hores en lloc de 20. És la diferència entre gastar i invertir.
• (c) La migració a distroless s'ajorna al pla de l'any següent. És una millora real i estructural, però cap risc del registre no en depèn amb urgència, no hi ha data externa i consumiria totes les hores restants deixant (a) sense fer. Es documenta al pla de T1 de l'exercici vinent perquè no es perdi —ajornar no és descartar, i la diferència entre les dues coses és escriure-ho—.

Repartiment final: 31 hores de les 35, i 0 € dels 1.800. Els diners sobrants no es gasten per gastar-los: es reserven. Si al novembre apareix una altra crítica que exigeixi ajuda externa, tenir 1.800 € lliures val més que un any de llicència d'una eina que ningú no operarà. I si arriba el desembre sense fer-los servir, reforça la petició de pressupost de l'any següent: una organització que no gasta per gastar és una organització a la qual se li confia el pressupost.

Has vist la tesi que sosté tot el mòdul: la seguretat no s'aconsegueix amb projectes, es sosté amb hàbits, i la prova és que en gairebé tots els grans incidents —inclòs el de Nimbus— l'organització sabia perfectament què s'havia de fer. El que va faltar no va ser coneixement, sinó un mecanisme que garantís que se seguia fent. D'aquí la pregunta que ordena la lliçó: no «ho hem fet?», sinó «què fa que se segueixi fent d'aquí a un any?».

Coneixes les vuit pràctiques d'higiene —MFA, aplicació de pedaços amb termini, còpies provades, mínim privilegi, inventari, formació i report, registre i alerta, xifratge per defecte— i per què n'hi ha prou per a gairebé tot: per estadística, perquè expliquen la gran majoria de les bretxes, i per economia, perquè converteixen Nimbus en un objectiu car per a un atacant oportunista. Amb la regla que resumeix l'apartat: allò bàsic ben mantingut supera allò avançat mal mantingut, i amb el detall que distingeix la higiene real de l'aparent, que és el verb de verificació de cada pràctica.

Tens les sis checklists per rol —Marta, Iván, Lucía, Rubén, Sara i qualsevol empleat— redactades per cabre en una targeta i perquè cada persona sàpiga què li toca sense traduir res. Tens el calendari de seguretat de Nimbus com a dada en yaml, amb el que és diari, setmanal, mensual, trimestral, semestral i anual, cada tasca amb propietari, temps i evidència esperada; i el càlcul que gairebé ningú no fa: 300 de les 440 hores ja estan compromeses a operar el que s'ha construït, cosa que en deixa 140 per millorar. Saps automatitzar l'hàbit, convertint cada pràctica fràgil en una cosa forçada pel sistema —gitleaks bloquejant, MFA impossible d'ometre, plantilla de pull request, MDM que exigeix xifratge, ACME que renova—, amb el principi de fons que l'opció segura ha de ser també la més còmoda, i amb l'advertiment que un control automàtic sorollós acaba ignorat.

Saps mesurar per no enganyar-te amb un quadre de deu indicadors, el seu objectiu, la seva font i el seu càlcul automatitzat, i amb les quatre regles que el mantenen honest —objectiu abans de mesurar, font automatitzable, publicació encara que surti vermell, tendència sobre valor absolut—. Manegues el cicle PDCA, l'ordre de prioritat quan tot sembla urgent i la regla d'acabar abans de començar, que se sosté en un fet poc intuïtiu: un control a mitges sol valer zero. Reconeixes els cinc antipatrons organitzatius —el departament del no, el projecte que s'acaba, el compliment com a substitut, la persona única i comprar sense capacitat d'operar— amb el cas de la Lucía i el risc d'autobús, i la pregunta que ha de precedir qualsevol compra: qui l'opera i amb quantes hores. I saps reconèixer la cultura real per comportaments observables, començant pel més important: que la gent reporti els seus propis errors el mateix dia i sense por. Tot això cristal·litzat en el full de ruta de 12 mesos, catorze iniciatives amb propietari, cost i resultat mesurable, que cap exactament en 18.000 € i 380 hores i que es defensa davant la direcció com a cobertura dels riscos pitjor puntuats, no com una llista de tasques tècniques.

Ara bé, aquest calendari i aquest full de ruta els ha decidit Nimbus pel seu compte, mirant el seu propi risc. I aquesta llibertat té un límit: hi ha coses que no es trien. Quan una clínica pregunta si Nimbus compleix el RGPD, quan un client institucional exigeix l'Esquema Nacional de Seguretat, quan la transposició de NIS2 arriba als proveïdors de sectors regulats o quan un contracte exigeix una certificació ISO 27001, la conversa deixa de ser sobre prioritats pròpies i passa a ser sobre obligacions alienes amb conseqüències. A Normatives i Estàndards de Seguretat (06-02) ordenem aquest mapa: què és de compliment obligatori i què és voluntari, què li aplica de debò a una pime com Nimbus i què no, què és realment un SGSI i una Declaració d'Aplicabilitat, quant costa i quant es triga a certificar-se, i —el més útil— com es tradueix una obligació escrita en llenguatge jurídic en feina concreta: requisit, política, control i evidència.