- Els programes de divulgació de ciberseguretat i els VDP creen canals estructurats per reportar vulnerabilitats i reduir el risc de ciberatacs.
- Serveis com “El teu Ajuda en Ciberseguretat”, CONFIA, Activa Ciberseguretat i el 017 apropen suport expert i formació a ciutadania, pimes i menors.
- Iniciatives de cooperació com a Cibercooperants, +Ciberseguretat i l'Estratègia de Ciberseguretat de la UE reforcen la resiliència digital a nivell nacional i europeu.
En un entorn on cada clic deixa rastre, la ciberseguretat i la seva divulgació ja no són opcionals , sinó una part essencial de la vida digital de persones, empreses i administracions públiques. Passem bona part del dia connectats: treballem, comprem, parlem amb la nostra família, gestionem la nostra empresa i fins i tot acudim al metge a través d'Internet.
Aquest canvi massiu al món en línia ha portat molts avantatges, però també riscos: els ciberatacs s'han multiplicat i professionalitzat , apuntant tant a ordinadors personals com a xarxes corporatives, sistemes industrials o hospitals. Aquí és on entren en joc els programes de divulgació de ciberseguretat i, de manera molt concreta, els programes de divulgació de vulnerabilitats, les línies d'ajuda, els plans de capacitació i les iniciatives de col·laboració publicoprivada.
Què són els programes de divulgació de ciberseguretat i per què són tan necessaris
Quan parlem de programes de divulgació de ciberseguretat ens referim a iniciatives organitzades per informar, formar i coordinar la societat davant les amenaces digitals . Poden estar impulsades per institucions públiques, empreses privades, organismes internacionals o col·laboracions mixtes, i comprenen des de campanyes de conscienciació fins a serveis d'assessorament, cursos o marcs formals per reportar vulnerabilitats.
Dins aquest paraigua, un pilar clau són els anomenats programes de divulgació de vulnerabilitats o VDP (Vulnerability Disclosure Program). Un VDP és un marc estructurat que ofereix a tercers un canal clar per avisar fallades de seguretat en sistemes i aplicacions d'una organització, abans que aquests errors puguin ser explotats per delinqüents.
Les infraestructures de TI, per molt cuidades que semblin, amaguen sempre punts febles: errors de programació, fallades de configuració, serveis mal exposats o components desactualitzats . Els atacants es dediquen de manera contínua a buscar aquests buits. Per això, cada cop més companyies han entès que és millor comptar amb l'ajuda de hackers ètics, investigadors de seguretat i ciutadania informada per localitzar aquests problemes com més aviat millor.
Els VDP apliquen una lògica de crowdsourcing: es convida la comunitat de ciberseguretat a revisar sistemes i notificar vulnerabilitats per un canal segur i regulat . A canvi, l'organització es compromet a tractar aquests avisos de manera responsable, sense accions legals contra els qui actuïn dins de les regles del programa i, en molts casos, oferint reconeixement o fins i tot compensacions.
Programes de divulgació de vulnerabilitats (VDP): com funcionen i què han d'incloure
Darrere d'un VDP sòlid hi ha molt més que una simple adreça de correu per reportar errors. Un programa ben plantejat defineix amb precisió com es detecten, comuniquen, analitzen i corregeixen les vulnerabilitats , a més d‟establir la relació entre l‟entitat i la persona que reporta.
En una aplicació de programari estàndard és habitual trobar desenes d'errors per cada mil línies de codi . Algunes d'aquestes fallades poden passar desapercebudes durant el desenvolupament i sortir a producció. Si un atacant els descobreix primer, es poden convertir a la porta d'entrada a un incident greu. El mateix passa amb configuracions insegures, una cosa especialment delicada en entorns cloud , on un ajustament erroni pot exposar dades sensibles de forma massiva.
El propòsit central d'un VDP és, doncs, reduir el risc lligant la detecció primerenca de vulnerabilitats amb la seva correcció ràpida i ordenada . Per aconseguir-ho, com a mínim, un bon programa de divulgació de vulnerabilitats hauria d'aportar:
- Una política clara sobre com l'organització gestiona les vulnerabilitats, definint principis, responsabilitats i expectatives tant internes com externes.
- Un mètode de reporti senzill i accessible (correu electrònic, formulari web, portal especialitzat, etc.) que no exigeixi passos innecessaris a l'investigador.
- Un procés de resposta ben documentat, amb terminis orientatius, possibles resultats, temps de remediació i maneres de reconèixer la contribució de l'investigador.
- Un flux intern per analitzar i corregir la vulnerabilitat, contemplant també fórmules de col·laboració i, si escau, recompenses econòmiques o d'un altre tipus.
- Un abast ben definit: quins actius, sistemes o aplicacions estan inclosos al programa i quines pràctiques queden expressament fora del permès.
- Una declaració explícita de salvaguarda legal perquè les activitats de recerca realitzades dins de les normes del programa no derivin en accions judicials contra l'informant.
En implantar un VDP, una organització llança també un missatge extern: mostra compromís real amb la seguretat i transparència cap a clients, inversors i opinió pública . A més, fomenta una col·laboració constructiva amb la comunitat d'investigadors, alineant els interessos de totes les parts al voltant de la detecció i la mitigació d'amenaces.
Com un VDP ben gestionat redueix el cost dels incidents de seguretat
Quan es produeix un incident de ciberseguretat, les despeses més visibles solen ser les directes: pèrdua d'ingressos per parades, pagament de rescats, sancions, danys de reputació que afecten la confiança de clients i socis. Tot i això, hi ha un altre bloc de costos que moltes vegades passa desapercebut: l'esforç intern que requereix gestionar cada incident o vulnerabilitat.
Cada informe que arriba implica que una o diverses persones el revisin, documentin, valorin la seva gravetat, estudiïn possibles solucions, facin seguiment i verifiquin la correcció . No només parlem de l'equip de TI o de seguretat, sinó també de servei d'atenció al client, responsables de negoci, personal jurídic o fins i tot l'alta direcció, en funció de la gravetat del problema.
Quan no hi ha un procés ordenat per tractar les vulnerabilitats, es produeixen duplicitats, colls d'ampolla i retards : informes que es perden, respostes que arriben tard, investigadors frustrats que acaben publicant errors sense coordinació o vulnerabilitats que romanen obertes més temps del desitjable.
Un VDP ben estructurat garanteix que cada reporti segueixi un circuit eficient i predictible , des de la recepció inicial fins a la correcció i, si escau, la divulgació pública coordinada. Això redueix el temps que els empleats dediquen a tasques repetitives o desorganitzades i, per tant, retalla directament els costos operatius associats a la gestió d'incidents i vulnerabilitats.
A més, en oferir respostes ràpides i clares als investigadors s'eviten situacions de tensió o de divulgacions prematures que podrien agreujar l'impacte d'una vulnerabilitat. D'aquesta manera, el VDP actua com a esmorteïdor entre les troballes de tercers i l'exposició pública, guanyant temps perquè l'entitat afectada pugui aplicar les mesures correctores necessàries.
VDP gestionats per tercers: alleugerir càrrega i guanyar en eficàcia
A la pràctica, moltes organitzacions reconeixen la importància de comptar amb un VDP, però els seus equips de seguretat ja estan saturats amb el treball diari : monitorització, resposta a incidents, compliment normatiu, projectes de transformació digital, etc. Per a elles, és complicat dedicar recursos addicionals a dissenyar, posar en marxa i mantenir un programa de divulgació viu.
Una opció cada cop més estesa és recórrer a serveis de VDP gestionats per proveïdors especialitzats . Es tracta d'empreses amb experiència en proves de penetració, gestió de vulnerabilitats i coordinació amb investigadors externs que assumeixen la part més feixuga del procés.
Plataformes com Synack, posicionades en l'àmbit del pentesting i la seguretat ofensiva controlada, ofereixen programes de divulgació de vulnerabilitats d'extrem a extrem , que poden incloure la recepció i classificació de reports, la verificació tècnica de les fallades, la comunicació amb els investigadors, el reconeixement de les seves contribucions i la preparació de mètriques per a informes a direcció.
D'aquesta manera, les organitzacions poden continuar connectades a la comunitat global de ciberseguretat , beneficiar-se dels seus coneixements i mantenir un flux constant d'informació sobre noves amenaces, sense que això suposi una sobrecàrrega inassumible per als equips interns.
En última instància, els VDP –siguin interns o gestionats per tercers– permeten visualitzar amb més rapidesa el mapa d'amenaces, prioritzar què corregir primer i coordinar la resposta abans que els atacants aprofitin els buits de seguretat. És un enfocament que impulsa la col·laboració formal i constant entre totes les parts implicades i que millora la qualitat de les decisions sobre gestió de riscos.
Bones pràctiques de notificació responsable de vulnerabilitats
Més enllà del disseny d'un VDP, és fonamental que hi hagi una metodologia clara de notificació responsable que marqui temps i expectatives per a totes les parts. Un exemple habitual és establir terminis raonables entre el moment en què es reporta una vulnerabilitat i la seva divulgació pública.
En molts programes, quan es rep un avís i es confirma que la vulnerabilitat és real, l'entitat afectada és informada immediatament mitjançant canals de comunicació segurs, amb l'objectiu que disposi del temps necessari per analitzar la decisió i aplicar-hi la solució corresponent.
És habitual fixar un termini aproximat –per exemple, uns 45 dies des de la notificació inicial– perquè l'organització corregeixi el problema. En casos especialment crítics, quan l'explotació podria tenir un impacte molt greu, es pot acordar un període de gràcia addicional, com ara dues setmanes més o un altre marge que es consideri raonable de manera conjunta.
Una vegada que la decisió ha estat solucionada, se sol fer una divulgació coordinada , en què tant l'investigador com l'entitat afectada comparteixen la informació de manera que serveixi per aprendre, millorar i, alhora, protegir els usuaris finals.
Si, per contra, l'entitat ignora reiteradament les notificacions o mostra una actitud de desinterès clar cap a la correcció, alguns programes contemplen la possibilitat de fer pública la vulnerabilitat per alertar els potencials afectats. Aquesta mesura es considera darrer recurs, però compleix una funció de pressió perquè no es minimitzi el risc.
Programes d'ajuda i divulgació per a ciutadania, empreses i menors
La divulgació de ciberseguretat no es limita als entorns tècnics: també abasta serveis pensats per a persones sense coneixements avançats en seguretat en línia , que necessiten orientació en el seu dia a dia digital. A Espanya, un dels referents és l'Institut Nacional de Ciberseguretat (INCIBE), que desplega diferents programes adreçats a ciutadans, empreses i menors.
Entre ells destaca el servei “La teva Ajuda en Ciberseguretat” , un recurs nacional, gratuït i confidencial que INCIBE posa a disposició de qualsevol que tingui dubtes o problemes relacionats amb la seguretat en línia. Està dirigit a tres grans col·lectius: usuaris en general, empreses i professionals, i menors al costat del seu entorn (famílies, educadors i professionals especialitzats en protecció de la infància a Internet).
Aquest servei és atès per un equip multidisciplinari d'experts que ofereixen assessorament des de diferents perspectives: tècnica, psicosocial i legal. Un aspecte diferencial és el seu ampli horari d'atenció: es pot contactar de 8 del matí a 11 de la nit, els 365 dies de l'any, fet que el converteix en un recurs molt accessible per a emergències i consultes urgents.
El contacte es fa a través de diferents canals habilitats per INCIBE, que faciliten comunicacions segures i adaptades a les necessitats de cada usuari . Aquesta proximitat és clau perquè la ciutadania s'animi a demanar ajuda davant de fraus, suplantacions, ciberassetjament, problemes de privadesa o dubtes sobre configuracions de seguretat.
INCIBE, a més, impulsa altres iniciatives de divulgació, formació i suport que busquen implicar tota la societat en una cultura sòlida de ciberseguretat , cosa imprescindible per reduir la superfície d'atac que representen comportaments insegurs o manca de coneixement bàsic.
Programa CONFIA d'INCIBE: cultura de ciberseguretat i confiança digital
Entre les iniciatives més ambicioses hi ha el programa CONFIA d'INCIBE , concebut per reforçar tant les capacitats en ciberseguretat com la confiança digital de ciutadans i empreses. El seu propòsit és impulsar una autèntica cultura de ciberseguretat compartida , combinant accions de sensibilització, formació, cooperació i desenvolupament de ferramentes específiques.
El programa es vertebra al voltant de quatre eixos principals. El primer són les accions de conscienciació i comunicació , que inclouen campanyes massives dirigides a ciutadania, menors i teixit empresarial, així com esdeveniments i activitats presencials o de proximitat de la mà de les comunitats autònomes.
El segon eix és la capacitació en ciberseguretat , mitjançant el desenvolupament de programes formatius i recursos concrets per millorar les competències digitals en aquest àmbit. Es busca que diferents perfils –des de personal de pimes fins a famílies– disposin de continguts adaptats a la seva realitat.
Un tercer bloc gira al voltant de la cooperació i la coordinació , a través d'acords bilaterals i multilaterals orientats a consolidar aquesta cultura de ciberseguretat, millorar la gestió d'incidents i teixir una xarxa sòlida d'actors rellevants a l'ecosistema digital.
El quart eix se centra en eines i solucions de ciberseguretat , promovent el desenvolupament i adopció de tecnologies específiques per a menors, ciutadania en general i empreses. Aquestes solucions busquen facilitar la protecció a la pràctica, més enllà de la teoria.
Totes aquestes actuacions es despleguen mitjançant els diferents serveis i mecanismes d'INCIBE enfocats als seus tres grans públics objectius: Empreses, Ciutadania i Menors . Dins de CONFIA també s'hi inclou la millora dels serveis de resposta de la Línia d'Ajuda en Ciberseguretat 017 i el reforç dels mecanismes d'atenció a incidents a través d' INCIBE-CERT , el centre de resposta a incidents de seguretat de referència.
Activa Ciberseguretat: assessoria especialitzada per a pimes
Més enllà de la conscienciació general, moltes petites i mitjanes empreses necessiten un acompanyament molt més específic per avaluar-ne la situació i planificar millores . Per donar resposta a aquesta necessitat s'ha impulsat Activa Ciberseguretat , un programa d'assessorament especialitzat i personalitzat orientat a pimes, especialment industrials.
Aquest programa s'articula com un servei de consultoria en ciberseguretat gestionat per la Secretaria General d'Indústria i de la Pime (SGIPYME), les comunitats autònomes i l'EOI , i finançat mitjançant els fons del Mecanisme de Recuperació i Resiliència i/o l'aplicació pressupostària de la SGIPYME del Ministeri d'Indústria i Turisme.
Els ajuts es concedeixen en forma dajuts en espècie, en règim de concurrència no competitiva , seguint lordre darribada de sol· licituds i mentre hi hagi crèdit disponible. La quantia per beneficiari és de 2.140 euros, i és la mateixa empresa qui escull la consultora —entre les homologades mitjançant Acordo Marc— que li prestarà el servei.
El programa està dirigit a pimes amb personalitat jurídica pròpia a Espanya, legalment constituïdes i degudament inscrites . El contingut inclou 20 hores d'assessorament per part de consultores de primer nivell, un diagnòstic i auditoria de ciberseguretat , l'elaboració d'un Pla de Ciberseguretat personalitzat i tallers temàtics per ajudar a implantar les mesures proposades.
Activa Ciberseguretat s'emmarca a l' Estratègia Nacional d'Indústria Connectada 4.0 , que persegueix augmentar el valor afegit industrial, promoure ocupació qualificada i potenciar el desenvolupament de solucions digitals pròpies. El seu objectiu és que les pimes puguin conèixer el nivell real de seguretat i dissenyar un pla de millora adaptat als seus recursos i prioritats.
Com a norma general, la durada del programa és d'uns quatre mesos per empresa beneficiària , durant els quals es realitzen reunions individualitzades a la pròpia seu de la pime, auditories tècniques i treball remot per part de la consultora, a més de tallers de sensibilització sobre la importància d'integrar la ciberseguretat a l'estratègia empresarial.
Marc d'ajuts, governança i col·laboració interministerial
Els ajuts associats a Activa Ciberseguretat es concedeixen en concurrència no competitiva a pimes , d'acord amb el que estableix l'Ordre de Bases ICT/819/2022, de 12 d'agost (BOE de 25 d'agost de 2022). A les convocatòries nacionals es detallen terminis, requisits específics, procediment de sol·licitud i condicions de les ajudes, cosa que permet a les empreses interessades planificar la seva participació.
El programa forma part del Programa de Capacitats per al Creixement de la PIME , integrat al Component 13 del Pla de Recuperació, Transformació i Resiliència. Comparteix espai amb altres iniciatives com Activa Crecimiento i Activa Industria 4.0, i compta amb una dotació global de 101 milions d'euros amb l'objectiu de donar suport a unes 11.000 pimes.
La naturalesa interministerial d'aquest marc reforça la importància de la ciberseguretat com a palanca estratègica per a la competitivitat i la transformació digital . En aquest context, també destaca la col·laboració d'INCIBE, que se suma amb recursos i experiència per oferir suport addicional.
Per exemple, l'Institut Nacional de Ciberseguretat posa a disposició de les empreses una línia telefònica gratuïta d'ajuda en ciberseguretat: el 017 , disponible igualment per a ciutadans, pares, menors i educadors. Les consultes es poden fer tots els dies de l'any, inclosos els festius, en horari de 9.00 a 21.00 hores, facilitant un contacte directe amb especialistes.
Complementàriament, INCIBE i Google ofereixen un MOOC gratuït orientat a pimes titulat “Protegeix el teu negoci: Ciberseguretat al teletreball” , que ajuda a conèixer les amenaces associades a les noves formes de connectivitat ia establir polítiques segures de treball remot complint amb requisits legals i de protecció de dades.
La construcció d'una societat digital segura no depèn només de lleis i tecnologies: també exigeix implicar persones voluntàries, associacions, empreses i centres educatius . En aquest terreny, el programa Cibercooperants d'INCIBE s'ha consolidat com a destacat exemple de participació ciutadana en la divulgació de la ciberseguretat.
Aquest programa, centrat a apropar la ciberseguretat a la ciutadania mitjançant xerrades, tallers i activitats divulgatives, compta amb més de 500 col·laboradors repartits per tota Espanya. La seva tasca ha estat reconeguda amb premis, com ara el guardó al Millor Projecte sobre Ciutadania Digital en el marc del 20è aniversari del Dia Mundial d'Internet.
Gràcies a aquests cibercooperants, s'aconsegueix portar missatges clau de seguretat digital a col·legis, associacions, petites empreses i col·lectius vulnerables , adaptant-los a un llenguatge senzill i proper. Aquest treball complementa els grans programes institucionals, tot reforçant el canvi cultural des de la base.
En paral·lel, es desenvolupen projectes com a +Ciberseguretat , impulsat conjuntament per INCIBE, Fundació CEOE, CEOE, CEIM i amb la col·laboració de la Guàrdia Civil, Policia Nacional i la Fundació Hermes. És una iniciativa nacional que busca enfortir la resiliència del teixit productiu a través de la formació, la conscienciació i la cooperació entre actors públics i privats.
Jornades com les celebrades a la seu de CEIM reuneixen líders empresarials, experts i responsables institucionals per posar la protecció digital al centre de l'estratègia empresarial , compartir bones pràctiques i coordinar esforços davant les amenaces creixents.
Estratègies i accions de la Unió Europea en ciberseguretat
A nivell supranacional, la Unió Europea ha definit una Estratègia de Ciberseguretat amb l'objectiu de reforçar la seguretat col·lectiva i la capacitat de resposta dels Estats membres. La idea és clara: la transició digital només serà un èxit si ciutadans i empreses es poden beneficiar de les noves tecnologies sense veure compromesa la seva seguretat.
L´estratègia europea s´organitza al voltant de tres grans eixos d´actuació. El primer se centra en la resiliència, la sobirania tecnològica i el lideratge , buscant que Europa redueixi dependències crítiques i disposi de capacitats pròpies per protegir les seves infraestructures i serveis essencials.
El segon eix s'orienta a la capacitat operativa per prevenir, dissuadir i respondre a ciberatacs, fomentant la cooperació entre Estats, la millora de la intel·ligència compartida i el desenvolupament de capacitats de defensa coordinades al ciberespai.
El tercer component aposta per la cooperació internacional en un ciberespai global i obert , promovent una Internet estable i segura on es respectin l'Estat de dret, els drets humans i els valors democràtics.
La UE treballa, a més, per reforçar les capacitats de ciberseguretat i coordinar accions eficaces en benefici de la ciutadania . La ciberseguretat és un pilar clau del programa Europa Digital, que finança projectes per incrementar la resiliència davant de ciberatacs i millorar la coordinació entre els països membres.
El novembre de 2020, la Comissió i l'Alt Representant van presentar una Comunicació conjunta sobre la nova política de ciberdefensa de la UE , per tal de millorar la cooperació i la inversió en aquest àmbit i oferir una protecció més robusta davant l'augment dels atacs. Es preveu un seguiment anual dels avenços i, fins i tot, elaborar un pla d'aplicació detallat juntament amb els Estats membres.
Pla d'acció europeu per reforçar la ciberseguretat al sector sanitari
Un dels sectors més sensibles davant dels ciberatacs és el sanitari. El 15 de gener del 2025, la Comissió Europea va llançar un pla d'acció específic per reforçar la ciberseguretat d'hospitals i proveïdors d'assistència sanitària, en línia amb les prioritats del mandat 2024-2029.
Aquest pla té com a objectiu millorar la detecció d'amenaces, la preparació i la resposta a crisis cibernètiques a l'àmbit de la salut. Per això, s'han previst mesures per oferir orientació, eines, serveis i formació adaptats a les necessitats concretes d'hospitals i altres prestadors sanitaris.
Al llarg de 2025 i 2026 s'aniran desplegant accions específiques en col·laboració amb els Estats membres, el sector sanitari i la comunitat de ciberseguretat . És la primera iniciativa sectorial que posa en marxa, de manera integrada, tota la bateria de mesures de ciberseguretat de la UE aplicada a un àmbit concret i especialment crític per a la ciutadania.
A la pràctica, això implica reforçar protocols, sistemes, infraestructures tecnològiques i capacitats humanes d'hospitals i serveis de salut, de manera que puguin resistir millor atacs que intentin robar dades clíniques, paralitzar serveis o manipular sistemes mèdics.
El conjunt de programes i estratègies descrits -VDP, línies d'ajuda, plans de capacitació, iniciatives de cooperació i marcs europeus- dibuixa un ecosistema en què la ciberseguretat es tracta com un esforç compartit entre institucions, empreses, professionals i ciutadania, amb la divulgació i la col·laboració com a eines centrals per anticipar-se a les amenaces.
