La lliçó anterior va acabar assenyalant un patró: darrere de cada control, cada evidència i cada troballa hi ha una persona que fa o no fa alguna cosa. La Lucía sabia on era cada cosa; l'alta fora de flux va passar perquè algú tenia pressa un diumenge; el runbook falla perquè només una persona sap el que no hi està escrit. Cap matriu de traçabilitat no corregeix això. Aquesta lliçó tracta el factor que continua sent el vector principal dels incidents i, alhora, la millor defensa que existeix quan funciona: les persones. I ho fa des d'una premissa incòmoda: l'objectiu no és que la gent sàpiga. L'objectiu és que faci, i sobretot que reporti.

Nota de validació. Aquest apartat té implicacions laborals i de protecció de dades: l'obligatorietat de la formació, el registre d'assistència, el tractament de les dades dels simulacres de phishing i les conseqüències disciplinàries varien segons el conveni, el contracte i la normativa aplicable, i en molts casos exigeixen informació prèvia a la plantilla o consulta a la representació dels treballadors. És material formatiu, no assessorament jurídic: valida-ho amb assessoria laboral i amb el delegat de protecció de dades abans d'implantar-ho (vegeu 06-03).

1. Per què això no és «la xerrada anual obligatòria»
2. Sensibilització, formació i cultura: tres coses diferents
3. Què necessita saber i fer cada rol de Nimbus
4. El programa anual, dissenyat per cabre en una pime
5. Acollida i sortida: el cicle de vida de la persona
6. Canals i formats que funcionen (i els que no)
7. Simulacres de phishing ben fets
8. El botó de reportar i el circuit de resposta
9. Cultura justa: per què culpar destrueix la detecció
10. Mesurar el programa: comportament davant de vanitat
11. Campions de seguretat i formació per a desenvolupament
12. La direcció també es forma

A 02-03 vam veure l'enginyeria social com a tècnica d'atac, i la conclusió era demolidora: no explota una fallada tècnica, explota la disposició humana a ajudar, a obeir i a evitar problemes. Els informes del sector coincideixen any rere any que una proporció molt alta de les bretxes involucra l'element humà —error, ús indegut de credencials, phishing o enginyeria social— i l'incident de 02-06 no va ser una excepció: l'atacant va entrar per una credencial d'un tercer que ningú no revisava, i el dia 16 una alerta de cost anòmal va arribar al correu de la Lucía i es va marcar com a «revisar més tard» entre altres dos-cents correus.

Davant d'això, la resposta habitual de les organitzacions és un curs anual de quatre hores amb un test final. I no funciona, per quatre raons que convé tenir clares abans de dissenyar res:

• La corba de l'oblit. Sense reforç, la retenció d'una sessió llarga cau dràsticament en pocs dies. Al mes 11 de l'any, la formació de gener és indistingible de no haver-la feta.
• Saber no és fer. Tothom sap que no ha de reutilitzar contrasenyes. La meitat ho fa igualment. El coneixement no canvia el comportament per si sol, sobretot sota pressió.
• El moment equivocat. Es forma al gener i l'atac arriba al setembre, enmig d'un llançament, amb pressa, des del mòbil. L'aprenentatge descontextualitzat no s'activa en aquell instant.
• Ensenya a témer l'error en lloc de reportar-lo. El test final amb nota, la llista de qui ha aprovat i el to de «no siguis tu qui hi caigui» produeixen l'efecte contrari al desitjat: qui hi piqui ho callarà.

El canvi d'objectiu que ordena tota la lliçó. No es tracta que ningú no hi caigui mai —això és impossible: un phishing ben fet enganya qualsevol en el moment adequat—, sinó que quan algú hi caigui, se sàpiga en minuts. Compara els dos escenaris a Nimbus:

La frase que resumeix la lliçó i que convé repetir a cada píndola: l'error no és l'incident; el silenci sí.

S'utilitzen com a sinònims i són tres capes amb objectius, formats i horitzons diferents. Confondre-les explica per què molts programes fracassen: es compra formació quan el que calia era sensibilització, o s'espera cultura d'un curset.

Les tres són necessàries i cap no substitueix una altra. La sensibilització sense formació produeix gent espantada que no sap què fer. La formació sense sensibilització produeix coneixement que s'apaga en tres setmanes. I totes dues sense cultura produeixen persones que saben el correcte i fan el contrari perquè l'entorn premia la velocitat i castiga la pregunta. La cultura, a més, no s'ensenya: es dedueix del que la direcció premia, tolera i ignora —hi tornarem a l'apartat 9—.

Un programa adreçat a «tothom» acaba sent genèric i per tant oblidable. El punt de partida és l'anàlisi de necessitats: per a cada perfil, quins riscos té al davant i què ha de ser capaç de fer.

Dos criteris de disseny que eviten l'error més comú. Primer: l'itinerari es defineix pel que la persona ha de fer, no pel que estaria bé que sabés. El Rubén no necessita saber què és un atac de força bruta; necessita saber que no es canvia un correu de contacte sense verificar pel canal registrat. Segon: la base comuna és comuna de debò, i curta. Quatre hores en entrar i una píndola al mes és tot el que se li demana a algú la feina del qual no és la seguretat, i n'hi ha prou si aquestes hores estan ben invertides.

El pressupost i el temps són els de sempre: part dels 18.000 € i hores comptades de cada persona. El programa es dissenya amb aquesta restricció des del principi, no com una aspiració que es retalla després.

Per què píndoles curtes i freqüents en lloc d'un curs anual de quatre hores. No és una preferència estètica, és aprenentatge espaiat: la repetició distribuïda en el temps reté molt més que la mateixa quantitat de contingut concentrada. I hi ha tres avantatges pràctics per a una pime: costa menys temps agregat (10 minuts al mes són 2 hores l'any davant de 4 de cop), permet reaccionar —si apareix una campanya de phishing dirigida al sector, la píndola d'aquell mes parla d'això— i manté el tema viu, que és literalment la definició de sensibilització.

El moment de més risc i de més oportunitat és l'entrada. El nou empleat no coneix les normes, no sap distingir un correu intern legítim d'un de fals, no coneix les cares ni les veus i té ganes de causar bona impressió —la combinació perfecta per a l'enginyeria social—. Reprenent el cicle de vida de la identitat de 02-05, ara en el seu vessant formatiu:

Dos detalls del dia 0 que canvien el resultat. El primer: l'acceptació de POL-04 se signa abans del primer accés, no al segon mes. És la base disciplinària i l'evidència de 06-04, i la seva data ha de ser anterior a qualsevol ús dels sistemes. El segon: l'MFA i el gestor de contrasenyes s'instal·len amb acompanyament, no amb un enllaç a un manual. L'adopció d'una eina cau en picat si la primera experiència és frustrant, i el gestor de contrasenyes és l'única eina d'aquesta lliçó l'ús de la qual es pot mesurar directament.

La sortida té una part formativa que gairebé ningú no fa: la conversa de tancament. A més de la revocació d'accessos en 24 hores i la devolució de l'equip, convé recordar per escrit i de manera no amenaçadora el deure de confidencialitat sobre el que la persona coneix —clients, arquitectura, vulnerabilitats— i preguntar què sap que no està escrit. Aquesta última pregunta, feta a la Lucía el dia que marxés, és l'única mitigació real de R-09 que no costa diners.

I el canvi de lloc de treball és el baula oblidada. Quan el Rubén passa de suport a prevenda, l'habitual és afegir-li els accessos nous i no treure-li els antics: és l'acumulació de privilegis de 02-05, i es corregeix tractant el canvi de lloc com una baixa seguida d'una alta, amb la seva formació corresponent.

L'avís contextual és el format de millor retorn i el més infrautilitzat. Costa poc i actua en l'instant que importa: el bàner [EXTERN] en correus de fora del domini, l'advertiment en adjuntar un fitxer amb dades personals a un destinatari extern, el recordatori al panell quan algú va a exportar més de 500 registres, o la confirmació addicional en canviar un compte bancari de proveïdor. Cap d'aquests no ensenya res; tots canvien comportament, que és el que es buscava.

Per què el material genèric comprat sol fracassar. Un vídeo amb actors en una oficina que no s'assembla a la vostra, parlant d'una amenaça abstracta, produeix compliment formal i zero canvi. El vídeo de vuit minuts en què la Marta explica l'incident de 02-06 —què va fer l'atacant, quina alerta es va ignorar el dia 16, què hauria canviat un MFA— val per deu cursos comprats, perquè és la seva empresa, les seves dades i les seves cares. La regla pràctica: compra el marc si t'estalvia temps, però produeix tu els exemples, i pressuposta un parell d'hores al mes per fer-ho.

És l'eina més potent del programa i la que més mal fa mal utilitzada.

L'objectiu, declarat i comunicat des del principi: mesurar i entrenar el report, no caçar culpables. Si la plantilla percep que el simulacre és un parany per assenyalar qui falla, aprendrà exactament una cosa: a no explicar res. Aquest resultat és pitjor que no fer simulacres.

Disseny de campanya per dificultat. Es comença fàcil i es puja, perquè la gent vegi progrés i perquè la dada sigui interpretable:

La regla ètica, que no es negocia. No es fan servir esquers que explotin la vulnerabilitat personal ni l'ansietat legítima. Queden prohibits: nòmines, bonus, acomiadaments o ERO, ajuts socials, resultats mèdics, temes familiars, emergències reals i qualsevol suplantació d'un company identificable pel seu nom. La raó no és només ètica: un esquer cruel funciona sempre —així que no mesura res— i produeix un dany de confiança que triga anys a reparar-se. Un simulacre que anuncia una pujada salarial inexistent pot tenir un 80 % de clic i haver destruït el programa sencer.

Què es fa amb qui hi pica. Formació immediata i breu en el moment: en fer clic, una pàgina que explica en 60 segons quins eren els senyals concrets d'aquell correu i com reportar la propera vegada. Res més. Mai una llista pública, mai un correu al seu responsable, mai una anotació a la seva avaluació d'acompliment. I si algú hi pica repetidament, la conversa és individual, privada i d'ajuda: gairebé sempre revela un problema de context —treballa sota pressió, rep centenars de correus externs legítims, té un lloc de treball que exigeix obrir adjunts de desconeguts— que es resol amb una mesura tècnica, no amb un retret.

Nota de validació. Els simulacres tracten dades personals de la plantilla (qui va fer clic, quan, des de quin dispositiu) i tenen implicacions laborals. Requereixen base jurídica, informació prèvia clara sobre que es realitzaran simulacres i amb quina finalitat, minimització —treballar amb dades agregades sempre que sigui possible—, termini de conservació curt i, sovint, informació a la representació dels treballadors. Consulta-ho amb el DPD i amb assessoria laboral (06-03).

Les mètriques correctes. Aquí hi ha l'error més estès del sector: mirar només la taxa de clic. Tres campanyes de Nimbus:

Com es llegeix aquesta taula, que és el que separa un programa útil d'un teatre. Una lectura ingènua diria que el programa va empitjorar: la taxa de clic va pujar del 21 % al 31 % en l'última campanya. La lectura correcta és la contrària, i per tres motius. Primer, la dificultat va pujar: la tercera campanya era un esquer dirigit i creïble, i comparar la seva taxa de clic amb la d'un esquer bast no té sentit. Segon, la taxa de report es va multiplicar per més de quatre, del 15,8 % al 69,2 %: ara dues de cada tres persones avisen. Tercer, i és la dada decisiva, el temps fins al primer report va caure de 47 minuts a 4. Això significa que en un atac real la Lucía tindria avís abans que l'atacant acabés d'autenticar-se, i podria revocar la sessió i forçar el canvi de credencial mentre l'atac encara està en curs. I les credencials introduïdes —l'única dada que mesura dany real— van caure de 4 a 0.

La conclusió, que convé tenir escrita abans de la primera campanya: la taxa de clic mesura la dificultat de l'esquer; la taxa de report i el temps al primer report mesuren la salut del programa. Si només pots seguir un número, segueix el temps al primer report.

Tot l'anterior es recolza en un mecanisme que ha de ser trivial. Si reportar costa més de dos segons o genera dubtes sobre si molesta, no es farà servir.

Requisits del canal de report, per ordre d'importància:

1. Un sol gest: un botó al client de correu, que reenvia amb capçaleres completes i arxiva el missatge. Res de «reenvia'l a seguretat@ amb l'assumpte en aquest format».
2. Disponible on passa el risc: al correu, al mòbil i també per al que no és correu —una trucada estranya, un USB trobat, un web sospitós— amb un canal alternatiu igual de simple.
3. Resposta sempre i el mateix dia, encara que sigui falsa alarma. El report sense resposta és un report que no es repetirà.
4. Agraïment explícit, sense excepció. Inclòs quan era clarament publicitat legítima.
5. Sense fricció emocional: res de formularis que preguntin «heu fet clic?» en to d'interrogatori. Si ha fet clic, aquesta informació és la més valuosa de totes i cal fer que sigui fàcil donar-la.

Dues conseqüències d'aquest circuit que solen sorprendre. La primera: els falsos positius són bon senyal, no una molèstia. Algú que reporta un butlletí legítim està fent servir el mecanisme, i la resposta correcta és agrair-ho. Una organització sense falsos positius no té un canal afinat: té un canal que ningú no fa servir. La segona: el volum de reports és un indicador de confiança, no d'amenaça. Si els reports cauen a la meitat, la hipòtesi més probable no és que hi hagi menys phishing.

La cultura justa (just culture) distingeix entre error humà —que es consola i es corregeix amb disseny—, conducta arriscada —que es fa objecte de coaching— i conducta temerària o dolosa —que sí que té conseqüències—. La distinció importa perquè el 95 % del que passa en seguretat és el primer.

El raonament econòmic de la cultura justa, per a qui necessiti un argument que no sigui moral. Castigar qui hi pica redueix marginalment la taxa de clic —la gent es torna una mica més cauta— però redueix dràsticament la taxa de report, perquè el cost personal d'admetre l'error es dispara. I com que el dany d'un incident creix amb el temps d'exposició —els 20 dies de 02-06—, el balanç és clarament negatiu: es canvien uns pocs clics evitats per un augment enorme del temps de detecció. Culpar qui hi pica és, literalment, comprar ceguesa a canvi de res.

Això connecta directament amb el post mortem sense culpables de 04-05: la mateixa lògica que allà s'aplicava als incidents tècnics —preguntar què del sistema va permetre la fallada, no qui la va cometre— s'aplica aquí als errors quotidians. I amb el senyal de cultura de 06-01: es reporten els errors propis sense por. Si això no passa, cap programa de formació no ho arreglarà, perquè el problema no és en el que la gent sap.

Els de l'esquerra no són inútils: són evidència de compliment per a 06-04 i per a l'article 32.4 del RGPD, i cal portar-los. Però no diuen res sobre si el programa funciona. Els de la dreta sí, i tres mereixen comentari:

• Nre. de consultes preventives. És l'indicador més ignorat i probablement el millor. Quan algú pregunta «puc enviar aquesta exportació per correu?» abans de fer-ho, el programa ha guanyat. Es compta trivialment a la bústia de seguretat, i el seu creixement és el senyal més primerenc que la cultura està canviant.
• Incidents per error humà. S'ha de llegir amb compte: al principi del programa puja, perquè es reporta més. Aquesta pujada és bona. El que cal mirar és la gravetat mitjana i el temps de detecció.
• Ús del gestor de contrasenyes. És l'únic comportament d'aquesta lliçó que es mesura de manera objectiva i contínua, sense enquestes ni simulacres.

Presentat com a quadre de comandament del programa, alimentant el de 06-01:

Campions de seguretat (security champions). És la manera més barata d'escalar sense contractar: una persona de cada equip que dedica un percentatge petit del seu temps a ser el punt de contacte de seguretat de la seva àrea. A Nimbus, amb 38 persones, n'hi ha prou amb dos: l'Iván en desenvolupament i una persona de suport o administració.

Què fa un campió: és el primer a qui es pregunta, revisa els PR marcats com a sensibles, porta les novetats de seguretat al seu equip en el seu llenguatge i trasllada cap amunt la fricció real —quin control està destorbant i per què la gent l'esquiva—, que és informació que la Marta no obtindria d'una altra manera. Què no és: ni el responsable de seguretat de l'equip, ni el que ho arregla tot, ni un lloc sense temps assignat. Necessita hores explícites (2-4 h al mes), formació addicional i reconeixement visible.

Formació per a desenvolupament amb codi propi. Aquí hi ha la diferència entre un taller que es recorda i un que s'oblida. Compara:

L'exercici de l'última fila és el més valuós de tot el programa tècnic i costa mitja hora: cada desenvolupador trenca deliberadament un control —treu el filtre de tenant, puja un secret, afegeix una dependència vulnerable— i comprova que semgrep, gitleaks i pip-audit l'aturen. Aprèn dues coses alhora: com són les fallades reals i que la xarxa de seguretat existeix i funciona. I de passada genera evidència que el CI d'AppSec de 05-05 fa el que diu.

És el buit més comú: es forma tota la plantilla i s'assumeix que la direcció ja ho sap. Però la Marta no necessita saber què és un IDOR; necessita decidir bé amb informació incompleta, i això també s'entrena.

Què necessita la Marta:

• Llegir un registre de riscos i decidir: entendre ALE, risc residual i apetit prou per triar entre mitigar, transferir, evitar i acceptar, i per saber que acceptar és una opció legítima si es documenta.
• El marc legal que l'afecta personalment: la responsabilitat de la direcció a NIS2, les obligacions del RGPD, el termini de 72 hores i l'exigència de formació per als òrgans de direcció.
• Presidir una crisi: el tabletop semestral no és per a l'equip tècnic, és sobretot per a ella. Decidir amb informació incompleta, autoritzar una aturada de servei, parlar amb clients.
• Reconèixer quan li estan venent fum: saber preguntar «quan es va provar això per última vegada i on és l'informe?» davant de qualsevol proveïdor o qualsevol informe intern.
• Exemplaritat: si la Marta demana una excepció a l'MFA «perquè té pressa», el programa sencer perd credibilitat en un dia. La direcció que se salta els seus propis controls ensenya més que dotze píndoles.

Com se li presenta el risc perquè decideixi bé. No amb CVSS ni amb noms de vulnerabilitats, sinó en termes de negoci i amb una decisió concreta damunt de la taula:

La regla: cada informe a direcció acaba en una decisió demanada, amb el seu cost, el seu termini i la seva conseqüència de no fer res. Un informe sense decisió demanada és informació; amb ella, és gestió.

• Mesurar la taxa de clic com a indicador principal. Mesura la dificultat de l'esquer, no la salut del programa. Mira la taxa de report i, sobretot, el temps al primer report.
• Fer servir esquers cruels. Nòmines, acomiadaments, ajuts o resultats mèdics funcionen sempre —i per això no mesuren res— i destrueixen la confiança que sosté tot el programa.
• Publicar qui hi ha picat. Garanteix que el proper error es calli. Formació immediata, privada i breu; mai llista pública.
• Comprar un catàleg genèric i dir-ne programa. El vídeo amb actors en una oficina aliena produeix compliment formal i zero canvi. Compra el marc, produeix tu els exemples.
• Un curs anual de quatre hores. La corba de l'oblit el desactiva en setmanes. Píndoles curtes i freqüents retenen molt més amb el mateix temps total.
• Nomenar campions de seguretat sense hores assignades. És un títol sense efecte i una frustració garantida. Sense 2-4 h al mes explícites, no existeix.
• No formar la direcció. És qui més decisions pren i qui més responsabilitat legal assumeix des de NIS2. I qui més mal fa al programa si se salta els seus propis controls.
• Consell: si només pots fer una cosa, posa el botó de reportar i respon a cada report el mateix dia amb un gràcies. Costa una tarda de configuració i 10 minuts diaris, i és la millor reducció de dwell time per euro que existeix.
• Consell: fes servir els teus propis incidents. El cas de Nimbus explicat per la Marta en vuit minuts val més que qualsevol material comprat. Anonimitza el protagonista, mai l'aprenentatge.
• Consell: mesura l'ús del gestor de contrasenyes. És l'únic comportament que es pot observar de manera contínua i objectiva, sense enquestes i sense simulacres.

Exercici 1 — Redissenyar un simulacre mal plantejat

La Sara proposa la campanya següent: un correu aparentment de la gestoria amb assumpte «Revisió de la teva nòmina: variació en l'IRPF de gener» i un enllaç a un portal fals que demana usuari i contrasenya corporatius. Planteja publicar al canal general la llista de qui hagi introduït credencials «perquè serveixi d'escarment», i mesurar l'èxit per la reducció de la taxa de clic respecte a la campanya anterior.

Identifica quatre problemes —ètics, jurídics i de disseny—, i redissenya la campanya completa: esquer, comunicació prèvia, què passa en fer clic, què es publica i quines mètriques es fan servir.

Exercici 2 — El programa d'una persona nova

Nimbus contracta una desenvolupadora que s'incorpora d'aquí a dues setmanes i treballarà en remot des d'una altra ciutat. Dissenya el seu pla dels primers 30 dies des del punt de vista de seguretat: què passa abans del primer accés, què la primera setmana, què el primer mes; qui fa cada cosa; quina evidència queda; i què es fa diferent pel fet de ser remota i de ser de desenvolupament.

Exercici 3 — Llegir les dades de tres campanyes

La Marta mira la taula de l'apartat 7 i diu: «A 2027-Q1 hem empitjorat: la taxa de clic ha pujat del 21 % al 31 %. Proposo tornar a fer el curs obligatori i avisar que el proper que hi piqui tindrà una conversa amb el seu responsable.»

Respon a la Marta amb una anàlisi correcta de les dades, explica per què la seva proposta empitjoraria els resultats i proposa tres accions concretes per al trimestre següent, amb el seu cost i l'indicador que cadascuna hauria de moure.

Exercici 1

Quatre problemes:

1. Esquer prohibit per la regla ètica. La nòmina i l'IRPF toquen la seguretat econòmica personal. Un esquer així funciona gairebé sempre, amb la qual cosa no discrimina entre qui està atent i qui no: no mesura res. I produeix un dany de confiança desproporcionat —la gent sent que la seva empresa ha fet servir el seu sou com a esquer—.
2. Publicar la llista és inacceptable en diversos plans alhora. Èticament és humiliació pública. Jurídicament és un tractament de dades personals sense base adequada i amb altíssim risc de dany reputacional intern, a més de tenir implicacions laborals evidents. I operativament és contraproduent: garanteix que el proper error real s'oculti, que és exactament el contrari de l'objectiu.
3. La mètrica és errònia. La taxa de clic depèn de la dificultat de l'esquer i no diu res sobre la capacitat de resposta. Falten la taxa de report i el temps al primer report, que són les que es correlacionen amb dany evitat.
4. Falta la comunicació prèvia i la base per tractar les dades. No consta que la plantilla hagi estat informada que es realitzen simulacres, ni amb quina finalitat, ni quines dades es recullen ni quant es conserven; ni consta consulta a la representació dels treballadors on escaigui.

Campanya redissenyada:

• Abans (una sola vegada, a l'inici del programa). Comunicació a tota la plantilla: es realitzaran simulacres periòdics, la seva finalitat és mesurar i millorar la capacitat col·lectiva de detecció, els resultats individuals no es comuniquen als responsables ni es fan servir en l'avaluació de l'acompliment, les dades es tracten de manera agregada i es conserven un termini curt i declarat. Validat amb el DPD i amb assessoria laboral, amb la informació prèvia que correspongui.
• Esquer (nivell 2, contextual). Suplantació d'un proveïdor real de l'empresa —per exemple, una notificació de la plataforma de facturació demanant revisar un document—. És versemblant, és plausible en el context laboral, discrimina bé entre atenció i descuit, i no toca res personal.
• En fer clic. Pàgina immediata de 60 segons: «Això era un simulacre de Nimbus. Aquests eren els tres senyals: el domini era facturacion-portal.example i no l'habitual, la salutació era genèrica i l'enllaç no coincidia amb el text. No passa res per haver fet clic: l'important és reportar. Així es fa, en dos segons: [botó]». Cap registre visible per a l'usuari, cap nota, cap comunicació a ningú.
• Si algú introdueix credencials. La pàgina ho indica amb claredat i hi afegeix una instrucció accionable: canvia la contrasenya ara i comprova el teu MFA. I una nota interna per a la Lucía: si això passés de debò, aquest és el nombre de persones la sessió de les quals caldria revocar, que és la dada que alimenta el runbook.
• Què es publica. Només resultats agregats, al canal general i en to d'equip: «69 % de reports, primer avís en 4 minuts, zero credencials. Gràcies als 27 que vau reportar.» Es reconeix públicament qui reporta primer, mai qui hi pica.
• Mètriques. Taxa de report, temps al primer report, credencials introduïdes i evolució respecte a campanyes del mateix nivell de dificultat. La taxa de clic es registra però es llegeix sempre al costat del nivell de l'esquer.

Exercici 2

Abans del primer accés (dies −5 a 0), responsable Sara amb la Lucía:

• Tiquet d'alta amb perfil «desenvolupament» aprovat per la Marta —perfils versionats, no accessos solts (06-04)—.
• Portàtil preparat i enviat amb xifratge de disc actiu, clau de recuperació custodiada, MDM inscrit, sense compte d'administrador per a l'ús diari i amb el gestor de contrasenyes preinstal·lat. Pel fet de ser remota, s'envia abans de la incorporació perquè no hi hagi ni un sol dia de feina des d'un equip personal.
• Verificació d'identitat reforçada en el lliurament remot: l'activació del compte i el registre del segon factor es fan en videotrucada amb la Sara i amb el contracte ja signat. És el punt més delicat de l'onboarding remot: ningú no ha vist aquesta persona en una oficina, i una suplantació en aquest moment lliura credencials corporatives a un desconegut.
• Acceptació de POL-04 signada abans del primer accés. Evidència: registre amb data.
• MFA obligatori: l'SSO no permet completar l'alta sense segon factor.

Primera setmana, responsable Sara (base) i Iván (rol):

• Sessió d'acollida de 2 h en directe per videotrucada, no un vídeo gravat: en remot, el contacte humà inicial és el que fa que després s'atreveixi a preguntar.
• Contingut de la base comuna: gestor de contrasenyes amb migració guiada, com reconèixer un correu sospitós, com es reporta (amb una prova real: reporta un correu d'exemple el primer dia i rep resposta), quines dades de client pot veure i què no pot exportar.
• A qui preguntar, amb noms i canals, i el missatge explícit que preguntar no molesta mai. En remot això s'ha de dir, perquè la barrera per interrompre és més alta.
• Res d'accés a dades reals de client fins a completar l'acollida. Treballa contra l'entorn de preproducció amb dades pseudonimitzades (03-07, 06-03).
• Específic de desenvolupament: alta al repositori amb CODEOWNERS, configuració del pre-commit amb gitleaks, recorregut per la checklist de revisió de 05-05 i per POL-07.

Primer mes:

• L'incident de 02-06 explicat en 8 minuts per la Marta. És el que dona sentit a totes les regles anteriors.
• Taller d'OWASP amb el codi de Nimbus (apartat 11), inclòs l'exercici de trencar un control i comprovar que el CI l'atura.
• Primer simulacre de phishing no puntuat i explícitament presentat com a pràctica.
• Presentació de l'Iván com a campió de seguretat de la seva àrea.
• Revisió d'accessos als 30 dies: comprovar que el perfil concedit és el que fa servir de debò, i retirar el que sobri. És mínim privilegi aplicat en l'únic moment en què és fàcil fer-ho.

Què es fa diferent per remot: lliurament i verificació d'identitat reforçats; accés exclusiu per WireGuard (05-04) amb instal·lació assistida; regla explícita sobre wifi domèstica i pública, i sobre no compartir l'equip amb la família; i una conversa de seguiment al cap de dues setmanes, perquè la persona remota no absorbeix per osmosi el que es comenta a l'oficina i és la que amb més facilitat queda fora de la cultura.

Evidència que queda (per a 06-04): tiquet d'alta amb aprovació i perfil, acceptació signada de POL-04 amb data anterior al primer accés, registre de l'MFA activat, informe de l'MDM amb l'equip xifrat i clau custodiada, registre d'assistència a l'acollida i al taller, i acta de la revisió d'accessos als 30 dies.

Exercici 3

Resposta a la Marta.

«Les dades diuen el contrari del que sembla. La taxa de clic no és comparable entre campanyes de dificultat diferent: la de Q1 de 2026 era un esquer bàsic amb domini evident i urgència genèrica; la de Q1 de 2027 era un esquer dirigit, sense faltes i amb referència a un projecte intern real. Que només el 31 % hi piqués amb un esquer així és un bon resultat, no un de dolent.

El que sí que és comparable, perquè mesura capacitat i no dificultat, és el següent. La taxa de report va passar del 15,8 % al 69,2 %: s'ha multiplicat per més de quatre i avui dues de cada tres persones avisen. El temps fins al primer report va caure de 47 minuts a 4: en un atac real tindríem avís abans que l'atacant acabés d'autenticar-se, amb temps per revocar la sessió i rotar la credencial mentre l'atac està en curs. I les credencials introduïdes van passar de 4 a 0, que és l'únic número que mesura dany real.

Traduït al que ens importa: a l'incident de 02-06 vam trigar 20 dies a assabentar-nos-en. Avui, davant del mateix vector, tindríem avís en 4 minuts.

Sobre la teva proposta, et demano que no la fem, per tres raons. Un curs obligatori addicional no mouria aquests números, perquè el problema mai no va ser de coneixement: la gent ja sap què és el phishing i tot i així el 31 % hi pica davant d'un esquer bo —i hi continuarà picant, perquè un esquer prou bo enganya qualsevol—. Anunciar conseqüències per a qui hi piqui destruiria precisament el número que hem aconseguit moure: avui la gent reporta en 4 minuts perquè no tem explicar-ho; tan bon punt hi hagi una conversa amb el responsable pel mig, dubtaran uns minuts, després una hora, després ho callaran. Canviaríem uns pocs clics evitats per tornar a la ceguesa. I el risc que ens fa mal no és el clic, és el temps fins a saber-ho: això és el que va decidir la gravetat de 02-06.»

Tres accions per al trimestre següent:

I una acció d'enquadrament que no costa res: fixar que les campanyes es comparen sempre contra altres del mateix nivell de dificultat, i publicar el nivell al costat del resultat. La meitat de les males decisions sobre programes de sensibilització vénen de comparar números que no són comparables.

Has vist per què la formació en seguretat no és «la xerrada anual obligatòria» i per què el curs de quatre hores amb test final fracassa: la corba de l'oblit, la distància entre saber i fer, el moment equivocat i —el pitjor— que ensenya a témer l'error en lloc de reportar-lo. D'aquí el canvi d'objectiu que ordena tota la lliçó: no es tracta que ningú no hi caigui mai, perquè un phishing prou bo enganya qualsevol, sinó que quan algú hi caigui se sàpiga en minuts. Amb la frase que ho resumeix: l'error no és l'incident; el silenci sí.

Distingeixes sensibilització, formació i cultura —atenció sostinguda, capacitat i comportament per defecte—, amb els seus formats, freqüències i horitzons diferents, i saps que cap no substitueix les altres. Tens l'anàlisi de necessitats per rol amb el que cada perfil de Nimbus ha de fer, no només saber: la Marta decidint amb un registre de riscos, l'Iván escrivint autorització correcta, la Lucía executant RB-01, el Rubén verificant identitat per canal registrat, la Sara verificant un canvi de compte bancari, i una base comuna curta per a tothom. I el programa anual complet en yaml, amb dotze píndoles temàtiques, quatre simulacres, tallers per rol i tabletop semestral, dins de 1.400 € i 6 hores per persona sense rol tècnic, amb l'argument de l'aprenentatge espaiat al darrere.

Saps muntar l'acollida —acceptació de POL-04 i MFA abans del primer accés, gestor de contrasenyes instal·lat amb acompanyament, res de dades reals fins a completar-la— i la sortida, amb la seva revocació en 24 hores, el seu recordatori de confidencialitat i la pregunta que més mitiga R-09: què saps que no està escrit. I la baula oblidada del canvi de lloc de treball, que es tracta com una baixa seguida d'una alta per no acumular privilegis. Coneixes els formats que funcionen, amb l'avís contextual com el de millor retorn —no ensenya res i canvia comportament— i amb la regla sobre el material comprat: compra el marc, produeix tu els exemples, perquè la Marta explicant l'incident de 02-06 en vuit minuts val per deu cursos genèrics.

Saps dissenyar simulacres de phishing ben fets: objectiu declarat de mesurar i entrenar el report, quatre nivells de dificultat, la regla ètica que prohibeix esquers sobre nòmines, acomiadaments, ajuts o salut —perquè funcionen sempre i per això no mesuren res—, formació immediata i privada per a qui hi pica i mai una llista pública. I saps llegir les dades: la taula de tres campanyes de Nimbus, on la taxa de clic puja i el programa ha millorat enormement perquè la taxa de report es va multiplicar per quatre, el temps al primer report va caure de 47 minuts a 4 i les credencials introduïdes van passar de 4 a 0. Amb la regla que convé escriure abans de la primera campanya: la taxa de clic mesura la dificultat de l'esquer; la taxa de report i el temps al primer report mesuren la salut del programa.

Tens el botó de reportar amb els seus cinc requisits —un gest, disponible on passa el risc, resposta el mateix dia, agraïment sense excepció i sense fricció emocional— i el seu circuit complet fins al runbook, amb les dues conseqüències que sorprenen: els falsos positius són bon senyal i el volum de reports mesura confiança, no amenaça. Comprens la cultura justa i la seva taula d'error humà, conducta arriscada, temeritat i dol, amb el raonament econòmic que la sosté: culpar qui hi pica compra ceguesa a canvi de res, perquè canvia uns pocs clics evitats per un augment enorme del temps de detecció. Saps mesurar el programa separant indicadors de vanitat d'indicadors de comportament, amb el més ignorat de tots —les consultes preventives— com a millor senyal primerenc de canvi cultural. I saps escalar amb campions de seguretat amb hores explícites, formar desenvolupament amb el codi real de Nimbus inclòs l'exercici de trencar un control per veure que el CI t'atura, i formar la direcció, que és qui més decideix, qui més responsabilitat legal assumeix des de NIS2 i qui més mal fa al programa si se salta els seus propis controls.

I queda una última peça. Tot el que hem construït —controls, evidències, hàbits, programes— pressuposa que qui maneja aquest coneixement el fa servir bé. Però el mateix saber que permet defensar permet atacar; el mateix nmap que verifica la teva segmentació escaneja la xarxa d'un altre; la mateixa persona que troba una fallada a la teva API pot trobar-la a la d'un tercer i no saber què fer-ne. On és exactament la línia legal? Què fa vàlida una autorització? Què fas si la teva empresa et demana una cosa que no has de fer? I com es reporta —i com es rep— una vulnerabilitat? A Ètica, Aspectes Legals i Divulgació Responsable (06-06) tanquem el mòdul i la part lectiva del curs amb el que 05-03 va deixar pendent: el Codi Penal espanyol aplicat al que és informàtic, el marc de la divulgació responsable, la política que Nimbus ha de publicar per rebre avisos, i la responsabilitat de qui sap fer això.