Els smartphones i tablets s’han convertit en eines de treball imprescindibles. Correu electronic, missatgeria, acces al CRM, banca online, signatura de documents, videotrucades: gran part de l’activitat empresarial passa avui per dispositius mobils. Tanmateix, la seguretat mobil continua sent una assignatura pendent per a la majoria de PIMEs espanyoles.
Segons l’informe de Zimperium sobre amenaces mobils del 2024, el 60% dels endpoints que accedeixen a recursos corporatius son dispositius mobils, pero nomes el 35% de les empreses aplica alguna politica de seguretat especifica per a ells. A les PIMEs, aquest percentatge es encara menor.
BYOD vs dispositius corporatius
La primera decisio que ha de prendre una PIME es si els empleats faran servir els seus dispositius personals per treballar (Bring Your Own Device - BYOD) o si l’empresa proporcionara dispositius corporatius.
| Aspecte | BYOD | Dispositiu corporatiu |
|---|---|---|
| Cost inicial | 0 EUR (l’empleat posa el dispositiu) | 300-800 EUR per dispositiu |
| Control de l’empresa | Limitat | Total |
| Privacitat de l’empleat | Pot ser conflictiva | Clara separacio |
| Seguretat | Mes dificil de garantir | Mes facil de gestionar |
| Satisfaccio de l’empleat | Alta (usa el seu propi mobil) | Variable |
| Gestio de baixes | Complexa (dades en dispositiu personal) | Simple (es retorna el dispositiu) |
Recomanacio per a PIMEs
Per a empreses de menys de 20 empleats, el BYOD amb politica clara sol ser l’opcio mes practica. El cost de proporcionar mobils corporatius es alt i la gestio duplicada (mobil personal + corporatiu) es incomoda per als empleats.
Si optes pel BYOD, necessites:
- Una politica escrita que defineixi les regles del joc.
- Una solucio de separacio de dades (contenidor corporatiu).
- Capacitat d’esborrat remot de les dades corporatives (no del dispositiu complet).
Amenaces mobils mes comunes
1. Phishing mobil (smishing i vishing)
El phishing en mobils es mes perilles que en ordinadors per diverses raons:
- Les pantalles petites dificulten veure la URL completa.
- Els navegadors mobils mostren menys informacio de seguretat.
- Els SMS de phishing (smishing) tenen una taxa de clic 6 vegades superior als emails de phishing.
- Les trucades fraudulentes (vishing) son mes creibles quan arriben al mobil personal.
Exemples habituals a Espanya:
- SMS de “Correos” demanant pagar despeses de duana.
- SMS del “banc” alertant d’un acces no autoritzat.
- Trucades fent-se passar per Microsoft, l’Agencia Tributaria o la Seguretat Social.
- WhatsApp d’un “fill” demanant diners urgents.
2. Aplicacions malicioses
Encara que Google Play i App Store tenen controls de seguretat, les apps malicioses continuen colant-se. El 2024, Google va eliminar mes de 2,3 milions d’apps que violaven les seves politiques. Els riscos principals son:
- Apps que roben credencials: Imiten apps legitimes (banca, correu) per capturar usuaris i contrasenyes.
- Spyware: Apps que accedeixen al microfon, camera, GPS o contactes sense justificacio.
- Adware agressiu: Apps que mostren publicitat invasiva i recopilen dades de navegacio.
3. Xarxes WiFi publiques
Connectar el mobil de treball a la WiFi d’una cafeteria, hotel o aeroport exposa les comunicacions a atacs de tipus man-in-the-middle. Un atacant a la mateixa xarxa pot interceptar trafic no xifrat i fins i tot injectar contingut maliciós.
4. Perdua o robatori del dispositiu
Un mobil perdut o robat que no te bloqueig de pantalla, xifrat o capacitat d’esborrat remot es una porta oberta a totes les dades corporatives que conte: correus, contactes, documents, acces a apps empresarials.
5. Sistemes operatius desactualitzats
Els mobils Android que no reben actualitzacions de seguretat (habitual en dispositius de mes de 2-3 anys de gamma baixa) acumulen vulnerabilitats conegudes que els atacants exploten activament.
Configuracio segura de dispositius
Android (versio 13 o superior recomanada)
Bloqueig de pantalla: Configura PIN de 6 digits minim, patro complex o biometria (empremta/facial). Ajustos > Seguretat > Bloqueig de pantalla.
Xifrat del dispositiu: Els Android moderns tenen xifrat activat per defecte. Verifica a Ajustos > Seguretat > Xifrat.
Google Play Protect: Assegura’t que esta actiu. Play Store > Perfil > Play Protect. Analitza les apps instal.lades automaticament.
Actualitzacions automatiques: Ajustos > Sistema > Actualitzacions. Activa les actualitzacions automatiques de seguretat.
Permisos d’apps: Revisa periodicament a Ajustos > Apps > Permisos. Pregunta’t: necessita aquesta app acces a la meva camera, microfon o ubicacio?
Fonts desconegudes desactivades: No permetis la instal.lacio d’apps fora de Google Play. Ajustos > Seguretat > Instal.lar apps desconegudes > Tot desactivat.
Buscar el meu dispositiu: Activa a Ajustos > Seguretat > Trobar el meu dispositiu. Permet localitzar, bloquejar i esborrar el mobil de forma remota.
Perfil de treball: Si la teva empresa usa Google Workspace o un MDM, configura el perfil de treball que separa apps i dades personals de les corporatives.
iOS (iPhone, versio 17 o superior recomanada)
Codi d’acces: Configura un codi de 6 digits o alfanumeric. Ajustos > Face ID i codi > Activar codi.
Face ID / Touch ID: Activa la biometria per al desbloqueig i autenticacio en apps.
Actualitzacions automatiques: Ajustos > General > Actualitzacio de programari > Actualitzacions automatiques > Activar tot.
Buscar el meu iPhone: Ajustos > [el teu nom] > Buscar > Buscar el meu iPhone > Activar tot, incloent “Enviar ultima ubicacio”.
Esborrat automatic: Ajustos > Face ID i codi > Esborrar dades (esborra l’iPhone despres de 10 intents fallits de codi).
Revisio de permisos: Ajustos > Privacitat i seguretat. Revisa quines apps tenen acces a ubicacio, camera, microfon, contactes, fotos.
Informe de privacitat d’apps: Ajustos > Privacitat i seguretat > Informe de privacitat d’apps. Mostra quines dades accedeix cada app i amb quina frequencia.
Mode d’aillament: Per a perfils d’alt risc, iOS ofereix el Mode d’aillament que limita drasticament la superficie d’atac.
Solucions MDM per a PIMEs
Un MDM (Mobile Device Management) permet gestionar centralment els dispositius mobils de l’empresa. Per a PIMEs, les opcions mes accessibles son:
| Solucio MDM | Preu | Ideal per a | Caracteristiques clau |
|---|---|---|---|
| Microsoft Intune (inclos a M365 Business Premium) | ~20 EUR/usuari/mes | PIMEs amb Microsoft 365 | Gestio completa, politiques de compliment, esborrat remot |
| Google Endpoint Management (inclos a Workspace) | 0 EUR (basic) | PIMEs amb Google Workspace | Gestio basica, esborrat remot, politiques de contrasenya |
| Jamf Now | 2 EUR/dispositiu/mes (3 gratis) | PIMEs amb iPhone/iPad | Especific Apple, molt intuitiu, ideal per a flotes iOS |
| Scalefusion | Des de 2 EUR/dispositiu/mes | PIMEs amb Android | Mode quiosc, gestio remota, suport Android excel.lent |
| Hexnode | Des de 1 EUR/dispositiu/mes | PIMEs mixtes | Multiplataforma, bon preu, funcions completes |
Si la teva PIME ja usa Google Workspace o Microsoft 365, el mes logic es fer servir el MDM integrat abans de buscar solucions externes.
Politica de seguretat mobil: plantilla
La teva politica de dispositius mobils hauria de cobrir aquests punts:
Requisits minims del dispositiu
- Sistema operatiu actualitzat (Android 13+ o iOS 17+).
- Bloqueig de pantalla amb PIN de 6 digits minim o biometria.
- Xifrat de l’emmagatzematge activat.
- Antivirus instal.lat (Android).
- “Buscar el meu dispositiu” activat.
Us acceptable
- Nomes instal.lar apps de botigues oficials (Google Play, App Store).
- No fer root/jailbreak al dispositiu.
- No connectar a xarxes WiFi publiques sense VPN.
- No emmagatzemar contrasenyes corporatives en notes o missatges.
- Reportar immediatament la perdua o robatori del dispositiu.
Separacio de dades
- Usar perfil de treball o contenidor corporatiu.
- No copiar dades corporatives a apps personals.
- No fer captures de pantalla d’informacio confidencial.
En cas de baixa de l’empleat
- Esborrat remot de dades corporatives abans de l’ultim dia.
- Revocacio d’acces a comptes corporatius.
- Verificacio que no queden dades corporatives al dispositiu personal.
Que fer si perds o et roben el mobil de treball
- Immediatament: Avisa el responsable d’IT de la teva empresa.
- En els primers 15 minuts: Accedeix a “Buscar el meu dispositiu” (Google o Apple) des d’un altre dispositiu i bloqueja el mobil perdut.
- Si no el pots recuperar: Inicia l’esborrat remot.
- Canvia contrasenyes: De tots els comptes corporatius accessibles des d’aquell mobil (correu, CRM, banca).
- Revoca sessions: Tanca les sessions actives a Google/Microsoft/qualsevol servei cloud.
- Denuncia: Si es un robatori, denuncia a la Policia (necessari per a l’asseguranca).
- Notifica el DPD: Si el dispositiu contenia dades personals de clients, pot ser necessari notificar una bretxa de dades sota el RGPD.
Conclusio
Els dispositius mobils son l’eslao mes feble de la seguretat de moltes PIMEs. Una politica clara, una configuracio segura per defecte i la capacitat de gestio remota son els tres pilars que necessites.
No necessites un MDM car ni un equip d’IT dedicat. Comenca per assegurar que tots els mobils tenen bloqueig de pantalla, xifrat, actualitzacions automatiques i “Buscar el meu dispositiu” activat. Aquestes quatre mesures, combinades amb una VPN per a xarxes publiques, cobreixen el 80% dels riscos.
Aquest article es de caracter educatiu i no constitueix un servei professional de ciberseguretat. Consulteu un especialista certificat per a solucions especifiques a la vostra empresa.
