En el marc del Mes Europeu de la Ciberseguretat, que se celebra cada octubre, la protecció dels entorns digitals torna a situar-se al centre del debat tecnològic. Les empreses, les administracions públiques i la ciutadania depenen cada vegada més de serveis connectats, mentre que els ciberdelinqüents perfeccionen les seves estratègies i aprofiten les noves tecnologies per multiplicar l’abast dels atacs. La intel·ligència artificial afegeix una nova dimensió a aquesta cursa: pot ajudar a detectar amenaces, però també facilita la creació de missatges fraudulents més convincents i l’explotació de vulnerabilitats.

Josep Guasch Pons coneix el sector tecnològic des de diferents perspectives. Amb més de trenta anys de trajectòria, ha estat vinculat a l’emprenedoria i a grans empreses com HP i Pfizer, i avui és el CEO de Brontobyte Cloud. La seva experiència també l’ha portat a impulsar l’Associació de Ciberseguretat de Catalunya (ASCICAT), que presideix amb la voluntat de reforçar l’ecosistema català, connectar les empreses amb les institucions i apropar la formació a les necessitats reals del sector.

Per a Guasch, Catalunya encara no disposa dels recursos ni de les capacitats necessàries per afrontar tots els escenaris d’amenaça. La manca de professionals, la preparació desigual de les empreses i la necessitat de millorar la coordinació entre els diferents actors són alguns dels principals reptes. En aquesta entrevista amb Metadata, defensa que la ciberseguretat ha de deixar de ser una qüestió que es resol quan apareix un problema i convertir-se en una prioritat estratègica per al país.

Quins són actualment els principals reptes de ciberseguretat que afronta Catalunya? Estem prou preparats per respondre a un escenari d’amenaces cada vegada més complex?

Si m’ho preguntes directament, no: no estem prou preparats, estem lluny d’estar-ho. És positiu que ara es parli molt més de ciberseguretat i que hi hagi més conscienciació, però això encara no s’ha traduït en els recursos i les capacitats que necessitem, sobretot a les administracions públiques i a les petites i mitjanes empreses.

Un indicador d’aquest repte és la manca de professionals. Un informe d’ACCIÓ estima que a Catalunya falten 13.500 professionals de ciberseguretat. És una dada concreta d’una de les mancances, però no mesura per si sola el grau de preparació del país.

“La ciberseguretat ha de deixar de ser una qüestió que es resol quan apareix un problema i convertir-se en una prioritat estratègica.”

Normatives europees com la directiva NIS2 ens poden ajudar a avançar, perquè obliguen les organitzacions a prendre’s més seriosament la gestió del risc i la resposta als incidents. Però una norma, tota sola, no aporta pressupost ni personal. Cal acompanyar-la de recursos i comptar de manera sostinguda amb el coneixement del sector. 

Com han evolucionat les ciberamenaces en els darrers anys? Quins tipus d’atacs haurien de preocupar especialment les empreses i les administracions?

Les amenaces han evolucionat, però també ho ha fet la manera d’actuar dels atacants. Busquen el moment més feble: quan hi ha menys gent pendent, menys capacitat de resposta o més desconnexió. Sovint això passa a les portes del cap de setmana, per exemple un divendres.

També aprofiten tot el que poden saber de nosaltres. A les xarxes socials compartim informació que els pot ajudar a preparar un missatge creïble, saber qui som i trobar la manera d’entrar.

En els atacs més dirigits, de vegades no fan soroll de seguida. Poden passar molt de temps dins d’una empresa, obtenint accessos, entenent com funciona i extraient informació a poc a poc perquè no es noti. Quan finalment actuen, ja coneixen prou bé l’entorn per fer molt de mal en poc temps i deixar l’organització amb poc marge per recuperar-se.

La intel·ligència artificial està canviant les regles del joc en ciberseguretat. Com l’aprofiten els ciberdelinqüents i quines oportunitats ofereix per detectar i prevenir atacs?

La intel·ligència artificial permet als ciberdelinqüents crear missatges més creïbles i personalitzats, i fer-ho a més escala. També pot ajudar les organitzacions a detectar patrons estranys i a reaccionar més de pressa. Però la tecnologia, per si sola, no ens protegirà.

Hem de parar i pensar abans d’actuar. De vegades rebem una petició que sembla real, ve d’algú conegut i, tot i així, no encaixa amb el moment o amb la manera habitual de fer les coses. Pot ser una petició urgent de diners, un canvi de compte bancari o un enllaç inesperat.

“La intel·ligència artificial pot ajudar a detectar amenaces, però també facilita la feina als ciberdelinqüents.”

Encara que sembli legítima, si alguna cosa no quadra, cal comprovar-la per un altre canal abans de fer res. La intel·ligència artificial cada vegada ho farà més difícil de detectar. Per això, més que mai, no podem deixar que la urgència ens faci apagar el criteri.

Les grans empreses acostumen a disposar de més recursos per protegir-se. Què passa amb les pimes i quines mesures haurien de prioritzar?

Les pimes han de començar a veure la ciberseguretat com una inversió en el seu negoci, no com una despesa. Si guardem o tractem dades dels nostres clients, tenim la responsabilitat de protegir-les. I cada vegada hi ha més exigències perquè les organitzacions gestionin bé aquests riscos.

La inversió ha de ser proporcional a la mida i a l’activitat de cada empresa. No sempre cal començar amb grans desplegaments: el més important és començar i fer bé les coses bàsiques. Cal tenir protocols clars, mantenir els sistemes actualitzats, protegir els accessos, fer còpies de seguretat externalitzades i comprovar que es poden recuperar. Són mesures que poden marcar una gran diferència.

Davant d’un ciberatac, la rapidesa de resposta pot ser decisiva. Estan prou preparades les organitzacions catalanes per detectar, contenir i gestionar un incident?

La preparació és molt desigual. Moltes organitzacions tenen alguna mesura de seguretat, però no sempre han definit bé què és prioritari, qui ha d’actuar si hi ha un incident ni quant de temps poden estar sense els seus sistemes. Sovint, a més, els plans de resposta i recuperació no s’han provat.

“Un protocol guardat en un calaix no és preparació. La preparació es demostra quan l’organització sap reaccionar, continuar treballant i recuperar-se quan alguna cosa falla”

Això es veu, per exemple, quan una empresa no pot perdre ni un dia de dades, però només en fa còpies setmanals. No s’ha ajustat la protecció a les necessitats reals del negoci. Cal saber què s’ha de recuperar primer, quant de temps podem estar aturats i quanta informació ens podem permetre perdre. Després, cal provar-ho.

Fins a quin punt la ciberseguretat és una qüestió tècnica i fins a quin punt és un repte de cultura i conscienciació?

La ciberseguretat comença per ser conscients dels riscos. Si les persones no saben què han de detectar ni com han d’actuar, per més tecnologia que tinguem, no ens ajudarà prou.

Aquesta consciència ha de començar per la direcció. Si qui dirigeix l’empresa no s’ho creu, no prioritza la formació dels treballadors ni incorpora la seguretat en les decisions, és difícil que la resta de l’organització ho faci. La formació no pot ser una acció puntual: ha d’ajudar les persones a reconèixer situacions reals i a saber què fer.

Després ve la tecnologia, que és imprescindible, però ha d’anar acompanyada de criteri i de bons hàbits. La tecnologia sola no pot protegir una organització que no sap com fer-la servir.

Un dels reptes del sector és disposar de professionals qualificats. Quines mancances de talent i formació detecteu a Catalunya?

El talent és un repte, però també ho és acostar la formació a la realitat del dia a dia. Des d’ASCICAT hi estem treballant: volem connectar les empreses amb les universitats i els instituts que formen el nou talent, i fer arribar als centres les necessitats i els reptes que les empreses es troben de veritat.

No es tracta només d’explicar tecnologia, sinó d’ajudar els futurs professionals a entendre com es protegeix una organització, com es respon davant d’un incident i quines decisions s’han de prendre en el món real.

“No estem prou preparats per afrontar tots els escenaris d’amenaça.”

La relació ha de funcionar en les dues direccions: les empreses també han d’obrir les portes a les pràctiques i acompanyar les persones que comencen, assumint que formar talent requereix temps i recursos. Si volem professionals preparats, hem de construir aquest pont entre formació i empresa.

Catalunya compta amb empreses tecnològiques, universitats i centres de recerca vinculats a l’àmbit digital. Quina fortalesa té l’ecosistema català de ciberseguretat?

Catalunya té una fortalesa important perquè compta amb universitats, centres tecnològics, recerca i iniciatives públiques que ajuden a generar coneixement i talent. Però el cor de l’ecosistema de ciberseguretat són també les pimes especialitzades que treballen cada dia per protegir les organitzacions.

Són empreses que, enmig de les exigències del dia a dia, inverteixen en coneixement, tecnologia i persones per estar més preparades i oferir un millor servei. Transformen l’experiència i el coneixement en protecció concreta per a empreses, institucions i ciutadania.

Aquest teixit empresarial és una capacitat estratègica del país. Perquè l’ecosistema català creixi i guanyi competitivitat, cal reconèixer el paper d’aquestes pimes i ajudar-les a consolidar-se, créixer i retenir talent. La fortalesa de Catalunya no és només el coneixement que genera, sinó també les empreses que el posen en pràctica cada dia.

Quin paper haurien de tenir les administracions públiques per reforçar la ciberseguretat del país?

Les administracions han de posar la ciberseguretat entre les prioritats i ajudar a fer-la arribar també al comerç i a la ciutadania. Ho dic també per experiència: al meu municipi he intentat impulsar accions de conscienciació per al comerç local i per a la població, però sovint hi ha altres necessitats que passen davant. Ho entenc: els ajuntaments han d’atendre molts temes. Però, si no hi dediquem temps i recursos abans que hi hagi un incident, després serà molt més difícil ajudar.

“La manca de professionals és un dels grans reptes del sector de la ciberseguretat.”

No tots els municipis poden tenir equips especialitzats propis. Per això cal que les administracions amb més capacitat els ofereixin suport, serveis compartits i recursos pràctics, i que treballin amb les empreses i les associacions del sector.

Des d’ASCICAT, quines són les prioritats per als pròxims anys per reforçar el sector de la ciberseguretat a Catalunya?

Des d’ASCICAT tenim un objectiu clar: que el potencial de la ciberseguretat catalana es tradueixi en capacitat real per protegir el país. Això vol dir connectar les empreses del sector amb les administracions, les pimes, els centres de coneixement i el món educatiu.

Volem acostar a les organitzacions coneixement que puguin aplicar, ajudar que la formació respongui a les necessitats reals del sector, donar més visibilitat a les empreses que hi treballen i facilitar que els diferents actors col·laborin abans que hi hagi una crisi.

El nostre valor és conèixer de prop els professionals i les empreses, i ajudar que la seva experiència arribi més lluny. Volem contribuir a tenir organitzacions més preparades, una millor connexió amb el nou talent i una resposta més coordinada davant les amenaces.

Mesurarem el progrés pels canvis que aconseguim impulsar, no només per les activitats que organitzem. Catalunya té el talent i les empreses per ser més ciberresilient; volem ajudar a fer-ho possible.

Si Catalunya patís un ciberatac greu contra infraestructures crítiques o serveis públics, estaríem preparats per resistir-lo?

Jo no diria que estem preparats per afrontar qualsevol ciberatac greu. Dependrà molt del tipus d’atac i dels serveis afectats, però en alguns escenaris ens costaria reaccionar i recuperar-nos.

L’apagada general del 2025 no va ser un ciberatac, però ens va fer veure fins a quin punt depenem de serveis connectats i com una fallada pot tenir conseqüències en cadena. Davant d’un atac digital a infraestructures o serveis públics, també ens hem de preguntar com mantindríem els serveis essencials, com ens coordinaríem i quant trigaríem a recuperar-nos.

“La ciberseguretat no és només una qüestió tecnològica: també és una qüestió de persones, formació i coordinació.”

Aquí encara tenim molta feina. No n’hi ha prou amb protegir cada sistema per separat: cal provar com respondria el conjunt davant d’una crisi i assegurar que els serveis essencials puguin continuar funcionant.

Les vulnerabilitats crítiques detectades recentment a PHP, amb l’ajuda de la intel·ligència artificial, han posat en alerta milions de webs arreu del món. Què ens diu aquest incident sobre la capacitat dels ciberdelinqüents per explotar vulnerabilitats a gran escala?

Aquest incident ens avança un repte que anirà a més: la intel·ligència artificial pot accelerar el descobriment de vulnerabilitats, i els atacants poden buscar sistemes exposats a gran escala. En el cas de PHP, les fallades podien permetre executar codi a distància sense autenticar-se, i se'n van publicar correccions.

Estem prou preparats? Encara no, i el temps per reaccionar probablement serà cada vegada més curt. Cal que les organitzacions sàpiguen quins sistemes utilitzen, qui n’és responsable i com actualitzar-los o aïllar-los amb rapidesa. En el futur, tenir aquesta informació al dia i saber actuar de seguida serà una part essencial de la ciberseguretat.

Si hagués de posar una nota a la ciberseguretat de Catalunya, quina seria? Quin canvi és més urgent?

El canvi més urgent és un canvi de mentalitat, i ha de començar pels governs i les institucions. Igual que s’ha fet amb altres qüestions estratègiques, la ciberseguretat s’ha d’incorporar a les decisions, les prioritats i els recursos.

Avui, la ciberseguretat ja no es pot tractar com una opció que podem deixar per més endavant. És una responsabilitat compartida que ens interpel·la a tots: administracions, empreses i ciutadania. Com més depenem dels serveis digitals, més responsabilitat tenim de protegir-los.