Hi ha una conversa que es repeteix a gairebé totes les empreses que ens truquen: volen automatitzar. Volen que la IA els classifiqui les factures, els respongui els correus, els extregui dades dels albarans i els munti els informes del dilluns. Rarament algú comença dient que vol protegir-se. I, tanmateix, l'automatització és precisament el moment en què una empresa es torna més interessant per a qui vol entrar-hi.

La raó és simple: quan un procés és manual, la informació viu repartida entre persones que saben què fan i que nota quan una cosa no quadra. Quan el procés s'automatitza, la informació passa a viatjar per sistemes, per comptes de servei, per integracions i per models externs. Guanyem velocitat i perdem vigilància. Automatitzar sense haver protegit abans no és digitalitzar: és exposar.

Aquest article no va de productes ni de por. Va de l'ordre de les coses: què convé tenir protegit abans de connectar res, i per què.

L'error de base: automatitzar sobre una casa oberta

El patró que veiem més sovint no és un atac sofisticat. És una empresa que posa en marxa un assistent que llegeix el correu i, de cop, tot el que arriba a un dels comptes més exposats de l'organització —que és el correu— entra en un sistema nou sense que ningú hagi revisat qui hi té accés.

“Automatitzar és fàcil. Automatitzar amb les dades sota control és el que costa. I és el que distingeix una empresa que creix d’una que improvisa.”

Abans d'automatitzar un procés convé respondre tres preguntes incòmodes: quines dades tocarà aquest procés, on viuen avui i qui hi pot accedir. Si la resposta és «a tot arreu», «en un full de càlcul que només té la Montse» o «no ho sabem», el problema no és tècnic: és que encara no hi ha res a automatitzar de manera segura.

Les capes que cal protegir, per ordre

No tot té la mateixa prioritat. En la nostra experiència, aquest és l'ordre que més risc elimina per esforç invertit:

1. Les identitats i els accessos. És la porta principal i la que més sovint trobem descuidada. Comptes compartits, contrasenyes que es repeteixen, accés d'administrador per comoditat, ex-empleats que encara hi són. Regla de treball: cada persona, el seu compte; cada compte, els permisos mínims que necessita; i doble factor a tot el que sigui administratiu o estigui exposat a internet. El correu, per començar.

2. El correu, que és el vector número u. La majoria d'incidents greus a la PIME no comencen amb un atac informàtic espectacular, sinó amb un correu que sembla de veritat. Justament per això, protegir el correu no és només tenir un bon filtre: és assumir que algun correu dolent passarà, i dissenyar el que ve després. Si automatitzem la lectura del correu, aquesta premissa passa de ser una recomanació a ser un requisit de disseny.

“Automatitzar sense haver protegit abans no és digitalitzar: és exposar.”

3. La informació: on és, qui la veu, com es recupera. Abans de fer circular dades noves, convé saber quines dades són sensibles (de clients, de treballadors, de proveïdors, financeres, de salut si n'hi ha), qui hi pot accedir i quant temps es guarden. I una pregunta que gairebé ningú no fa fins que arriba el problema: si aquesta informació desapareix avui, quant trigaríem a tornar a treballar? Una còpia de seguretat que no s'ha provat mai no és una còpia de seguretat; és una esperança.

4. Els proveïdors i les eines connectades. Cada servei al núvol que connectem és una porta més. No es tracta de fer-ne menys, sinó de saber quines n'hi ha, qui les administra i què hi ha a dins. Una automatització que envia dades de clients a tres serveis diferents de tres països diferents és una decisió jurídica, no només tècnica.

5. La capa nova: què li donem a la IA. Aquí hi ha el canvi de fons. Quan fem servir models externs, una part del procés surt de casa. Convé tenir clar quines dades surten, cap a on, amb quina base jurídica i què en fa el proveïdor. No tota la feina requereix el mateix nivell: no és el mateix classificar un tiquet genèric que processar dades personals o informació financera. I sovint hi ha solucions intermèdies —processament local, dades anonimitzades, models dins del nostre entorn— que ningú no es para a valorar perquè la primera eina que es prova és la més còmoda.

Cinc errors que veiem repetir

1. Automatitzar abans de saber què hi ha. Es connecta el procés sense inventariar dades ni accessos. Després toca endreçar-ho amb el sistema ja en marxa, que és molt més car.
2. Tractar la seguretat com una cosa que «ja es farà». Si no és al disseny, no arriba mai. I si arriba, arriba quan l'automatització ja està en producció i tocar-la fa por.
3. Confiar en el filtre i oblidar el pla B. Cap filtre és perfecte. El que marca la diferència és com respon l'empresa el dia que alguna cosa passa: qui ho detecta, qui decideix, què es fa primer.
4. Deixar la privacitat i el compliment per al final. Quines dades es tracten, amb quina base jurídica, quant es guarden i qui respon de les decisions no és un annex del projecte: és part del projecte.
5. Automatitzar accessos per comoditat. Els comptes de servei amb permisos de més, les credencials dins d'un script o en un fitxer compartit, les claus que «de moment» es deixen aquí. És la manera més silenciosa d'obrir una porta gran.

Què convé tenir resolt abans de començar

Sis coses, i cap és una eina:

• Inventari mínim: quins sistemes tenim, qui hi accedeix i quines dades hi ha.
• Doble factor als accessos crítics, i contrasenyes úniques per persona.
• Còpies de seguretat provades, amb una restauració feta de veritat, no només configurada.
• Un responsable de seguretat amb nom i cognoms, encara que no sigui el seu treball a temps complet.
• Un pla de resposta escrit i curt: a qui avisem, què aturem primer, com comuniquem.
• Claredat sobre les dades que surten cap a models i proveïdors externs, amb base jurídica i amb algú que respongui de la decisió.

Protegir no vol dir aturar-se

Hi ha una por que paralitza: com que no estem segurs, no automatitzem res. És una mala decisió per la banda contrària. La PIME que no automatitza no és més segura; és més lenta, i la seva informació acaba igualment en fulls de càlcul i en carpetes compartides, que és on és més difícil de protegir.

El camí que funciona és el mateix que defensem per a qualsevol projecte d'automatització, amb una capa més: abast petit, un procés, dades acotades, permisos mínims, mesura des del primer dia i un responsable que en respongui. Primer es protegeix el que hi ha; després es connecta el procés; i només després es deixa que la IA hi faci feina de debò.

“La seguretat no és el que frena l’automatització. Sol ser el que decideix si, d’aquí a un any, el sistema continua funcionant o és la crònica d’un problema.”

La seguretat no és el que frena l'automatització. Sol ser el que decideix si, d'aquí a un any, el sistema continua funcionant o és la crònica d'un problema.

Automatitzar és fàcil. Automatitzar amb les dades sota control és el que costa. I és el que distingeix una empresa que creix d'una que improvisa.