Guia pràctica · 10 min de lectura
Aquesta checklist reuneix 10 mesures bàsiques de ciberseguretat per a entitats. Segons Hiscox, entre les organitzacions atacades, les del sector sense ànim de lucre en reben de mitjana uns vuit.
Us encalleu? Reserveu una trucada gratuïta
La xifra de Hiscox ve de la seva enquesta de ciberpreparació (octubre del 2025), feta a 5.750 empreses de menys de 250 persones de set països, amb el treball de camp entre juliol i agost del 2025. És una enquesta d'una asseguradora i no parla només de l'Estat espanyol, així que l'hem de llegir com un ordre de magnitud, no com una promesa. El que sí que és segur és que les mesures que recomana són les que us proposem aquí: autenticació multifactor, gestor de contrasenyes, actualitzacions, còpies provades regularment i accés mínim necessari.
Aquesta guia és la versió «feu-ho vosaltres». No cal ser tècnic: la majoria de mesures són decisions i hàbits, no programari. Quan arribeu a una mesura que no sabeu fer, o quan voleu que algú deixi tot el sistema ordenat, podem ordenar el correu i el núvol de l'entitat amb el Setup Fonaments. Base Ferma és un proveïdor independent: no és partner ni revenedor de Google, Microsoft ni cap de les eines que esmentem.
Aquesta és la taula de la checklist. Més avall teniu cada mesura explicada, agrupada per temes. Els costos són orientatius i depenen de l'eina; no afirmem cap descompte per a entitats que no puguem verificar.
| # | Mesura | Per què | Quant costa | Qui ho pot fer |
|---|---|---|---|---|
| 1 | Verificació en dos passos als comptes importants (correu, núvol, web, xarxes, banca) | Una contrasenya robada no obre el compte sola | Normalment cap cost addicional: és una opció dels comptes que ja teniu | Cada persona, amb l'administrador |
| 3 | Comptes nominals i a nom de l'entitat, amb dos administradors | Que cap compte depengui d'una sola persona | Cap | Responsable de l'entitat |
| 4 | Còpies de seguretat provades, també fora del núvol principal | Sincronitzar no és fer còpia, i només una còpia restaurada serveix | Depèn del volum de dades i d'on es guardin | Qui administra els comptes |
| 5 | Procediment de baixa d'accessos quan algú marxa | Un exvoluntari amb accés és una porta oberta | Cap | Responsable de l'entitat i administrador |
| 6 | Domini a nom de l'entitat i certificat digital custodiat | Qui té el domini té la web, el correu i la reputació | Cap cost afegit: és titularitat | Responsable de l'entitat |
| 7 | Actualitzacions de la web, els complements i els dispositius | Els atacs aprofiten fallades ja conegudes | Temps, o manteniment contractat | Administrador o proveïdor |
| 8 | HTTPS a la web i còpia de la web | Protegeix els formularis i evita avisos del navegador | Sol venir inclòs al hosting: comproveu-ho | Qui porta la web |
| 9 | Hàbit de reconèixer el phishing i el frau | La majoria d'incidents comencen amb un correu o un missatge | Cap: formació de l'equip | Tothom |
| 10 | Un pla d'una pàgina per si us ataquen | A l'hora de la veritat no hi ha temps per improvisar | Cap: un full amb noms i telèfons | Responsable de l'entitat |
Aquest bloc és el més rendible: tres decisions que no costen gairebé res i tanquen la majoria de portes.
1. Activeu la verificació en dos passos. Afegeix una segona prova (un codi o una aprovació al mòbil) a la contrasenya. Comenceu pel correu, perquè qui controla el correu pot recuperar la resta de comptes. A la guia de Google Workspace per a entitats teniu el context del compte de Google; si l'entitat fa servir les llicències donades de Microsoft, mireu quines condicions té ara i activeu-ho al panell d'administració. Hiscox també l'inclou entre els seus consells (octubre del 2025).
2. Feu servir un gestor de contrasenyes. Un gestor guarda contrasenyes llargues i diferents per a cada servei i permet compartir-les sense enviar-les per missatge. És la solució als paperets al despatx. El que incloem al Setup Fonaments és Bitwarden; no hem trobat cap descompte vigent per a entitats i no n'afirmem cap, segons la nostra verificació del 15 d'octubre del 2026.
3. Cap compte personal ni contrasenya compartida. Cada persona entra amb el seu usuari, i l'entitat té almenys dos administradors. Si el correu d'administració és el d'una sola persona, tot depèn d'ella.
Una còpia de seguretat només val si se sap restaurar: sincronitzar amb el núvol replica també errors i esborrats, per això cal provar de recuperar fitxers.
Moltes entitats creuen que tenen còpies perquè tenen els arxius a Google Drive o a OneDrive. Però això és sincronització: si algú esborra un fitxer o un atac el xifra, el canvi es replica. Una còpia útil és independent, s'ha fet recentment i s'ha provat de restaurar.
Dues raons més per tenir una còpia pròpia. La primera: segons The Register (28 de setembre del 2026), Microsoft va esborrar abans d'hora dades d'algunes entitats després de retirar la donació de Business Premium, i diu que no pot saber què es va perdre. La segona: segons IT User, que cita Hiscox (gener del 2026), només el 57 % de les pimes espanyoles que van pagar un rescat va recuperar algunes de les seves dades o totes, i el 86 % va restaurar dades des de còpies. Una còpia que funciona us estalvia haver de decidir si pagueu.
El que cal fer: tingueu les dades importants en dos llocs, proveu de recuperar un fitxer concret cada cert temps i apunteu qui sap fer-ho. Si només una persona ho sap, torneu a la mesura 3.
Les entitats canvien de persones més sovint que les empreses: voluntaris que arriben, voluntaris que marxen, càrrecs que roten. Dues mesures resolen la part tècnica.
5. Doneu de baixa els accessos el mateix dia. Feu una llista de tots els serveis (correu, núvol, web, xarxes, gestor de contrasenyes, banca) i, quan algú marxa, repasseu-la: traieu-li l'accés, canvieu les contrasenyes compartides si n'hi havia i traspasseu la titularitat de qualsevol cosa que fos seva. La part humana del problema la tractem a l'article què passa si marxa el voluntari que ho porta tot.
6. Domini i certificat digital, a nom de l'entitat. Si el domini està a nom d'una persona, aquesta persona és la propietària de la vostra web. Consulteu qui el té registrat i traspasseu-lo. El mateix passa amb el certificat digital de l'entitat, que permet fer tràmits amb l'Administració: tracteu-lo com una clau de l'edifici. Ho expliquem a qui ha de custodiar el certificat digital.
Si l'entitat té web, és una porta oberta a Internet. Tres mesures.
7. Mantingueu-la actualitzada. La web, els complements i els dispositius han d'estar al dia: Hiscox ho recomana. Si no és feina de ningú, no es fa; per això existeix el manteniment web per a entitats del Sistema Viu, des de 120 €/mes + IVA, que inclou còpies verificades i actualitzacions de seguretat.
8. Comproveu que la web va per HTTPS. Si el navegador mostra «no segur», el problema és de la web, no del navegador. Normalment ho resol el hosting, però cal comprovar-ho.
9. Apreneu a reconèixer el phishing. L'INCIBE va detectar 122.223 incidents el 2025, un 26 % més que l'any anterior, i el frau en línia va ser quatre de cada deu, amb 25.133 casos de phishing (nota de premsa d'INCIBE del febrer del 2026). Aquestes xifres són del conjunt del país; INCIBE no publica el repartiment per tipus d'organització. La regla: si un correu us fa pressa, us demana diners o dades, o surt de qui no esperàveu, verifiqueu-ho per un altre canal.
Si us ataquen, canvieu les contrasenyes des d'un dispositiu net, aviseu el proveïdor, truqueu a la línia 017 d'INCIBE i, si hi ha dades personals, valoreu notificar-ho en 72 hores.
10. Tingueu un pla d'una pàgina. Escriviu-lo abans que el necessiteu. Els passos:
Talleu l'accés
Canvieu les contrasenyes dels comptes afectats des d'un dispositiu que no estigui compromès, i activeu la verificació en dos passos. 2. Aviseu el proveïdor del web, del correu o del núvol: poden bloquejar l'accés o aïllar el sistema. Si la web està compromesa, mireu què fer si hackegen la web. 3. Demaneu ajuda. La línia 017 d'INCIBE va atendre 142.767 consultes el 2025. 4. Valoreu si hi ha una bretxa de dades personals. L'article 33 del RGPD obliga a notificar-la a l'autoritat de control sense dilació indeguda i, si és possible, en un màxim de 72 hores des que se'n té constància, tret que sigui improbable que suposi un risc. El termini és «si és possible», i si es retarda cal explicar-ne el motiu. Per a la part tècnica, mireu la part tècnica del RGPD a l'entitat. No som una assessoria jurídica: en cas de dubte, consulteu un professional. 5. Restaureu des de la còpia i documenteu què ha passat: què va fallar, qui ho va veure i què canvieu.
Les entitats guarden dades de persones i sovint comparteixen comptes. Segons Hiscox, el sector sense ànim de lucre va rebre uns vuit atacs de mitjana.
No tenim dades específiques per a les entitats espanyoles; el que sabem és això. Hiscox (octubre del 2025): el 59 % de les empreses petites enquestades va patir un ciberatac en els darrers dotze mesos, i el 27 % un ransomware. L'AEPD, a la seva memòria del 2025 (nota de premsa del 6 de maig del 2026), va registrar 77 procediments per bretxes de dades (30 l'any anterior), amb 19,8 milions d'euros de sancions: el 40 % de l'import total. L'AEPD no desglossa les sancions per mida d'organització, així que no podem dir quantes van ser a entitats.
Aquests són els patrons que es repeteixen:
Contrasenyes en paperets, o en un full de càlcul compartit amb tothom.
Arxius en ordinadors personals, sense còpia, de manera que si l'ordinador falla o la persona marxa, l'entitat perd el material.
Tot depèn d'una persona
El domini, el correu d'administració o el compte de les xarxes són seus.
Confondre sincronització amb còpia
No donar de baixa els exvoluntaris
Verificació en dos passos al mòbil personal d'una sola persona, sense codis de recuperació guardats.
Podeu fer tot això vosaltres. Us convé que ho fem nosaltres quan no hi ha ningú amb temps, quan voleu que el sistema quedi documentat i a nom de l'entitat, o quan teniu por de tocar-ho.
Setup Fonaments, des de 1.500 € + IVA: correu corporatiu, núvol ordenat, verificació en dos passos, gestor de contrasenyes (Bitwarden) i còpies, amb manual d'accés, formació gravada i acta de traspàs. La durada és de 15 dies laborables des que tenim tots els accessos.
Mínim Tècnic Comú, 140 € + IVA: el mínim que ha d'existir abans de construir res (domini sota control, correu corporatiu, destí de contactes i una còpia mínima).
Sistema Viu, des de 120 €/mes + IVA: manteniment mensual amb còpies verificades i actualitzacions de seguretat.
Peça solta de còpies i verificació en dos passos, com a serveis puntuals amb preu des de.
Sempre comencem per una trucada gratuïta, i no us vendrem res que el diagnòstic no hagi mostrat necessari. Si dubteu per on començar, el Diagnòstic Base (des de 350 € + IVA) revisa accessos, comptes, correu, arxius i seguretat, i deixa el mapa de tot el que depèn d'una sola persona.
Comenceu per la verificació en dos passos al correu i per un gestor de contrasenyes: són les dues mesures que més portes tanquen i les que Hiscox recomana.
Després, feu una llista de tots els comptes de l'entitat i assegureu-vos que cap no depèn d'una sola persona. Les còpies provades i la baixa d'accessos venen tot seguit. Amb aquestes quatre decisions ja heu fet la major part de la feina.
El que l'equip faci servir de debò: ha de tenir usuaris nominals, permetre compartir contrasenyes sense enviar-les per missatge i oferir una manera de recuperar l'accés.
Nosaltres instal·lem Bitwarden al Setup Fonaments. No hem trobat cap descompte vigent per a entitats i no en prometem cap; abans de decidir, comproveu el preu actual a la web de l'eina.
Cap font fixa una periodicitat exacta: Hiscox recomana còpies provades regularment. Una pauta raonable és provar de restaurar un fitxer almenys dues vegades l'any i després de cada canvi important.
La prova és senzilla: trieu un fitxer, recupereu-lo de la còpia i comproveu que s'obre. Apunteu la data i qui ho ha fet, perquè no depengui d'una sola persona.
Parlem-ne
Si voleu que us diguem per on començar, reserveu la trucada de descobriment: 30 minuts, sense compromís, i us ho diem encara que no ens contracteu.
[ Continueu el recorregut ]
Cap on aneu ara?
Construint el futur digital de marques que s’atreveixen a destacar. Estratègia, disseny i tecnologia amb fonaments sòlids.
© 2026 BASEFERMA AGENCY.
DESIGNED FOR IMPACT.