Com és un diagnòstic tecnològic (i què t'emportes)

Quasi tots els negocis arriben a un diagnòstic tecnològic per la mateixa porta: alguna cosa ha fallat o alguna cosa canviarà. Es va caure la web en plena campanya, un empleat se'n va anar i ningú no sabia les contrasenyes, va arribar una factura de llicències que ningú no entenia, o simplement el propietari es va adonar que fa anys que suma eines sense que ningú hagi parat a mirar si tenen sentit juntes.

Un diagnòstic és aquest moment de parar a mirar. En aquest article t'expliquem, sense tecnicismes, què és exactament, què es revisa, com és el procés de principi a fi, què t'emportes en acabar i com distingir un diagnòstic seriós d'una venda disfressada. Està escrit per a qui dirigeix un negoci, no per a qui programa.

Què és un diagnòstic tecnològic (i què no és)

Un diagnòstic tecnològic és una revisió ordenada de tota la tecnologia que sosté el teu negoci —web, correu, equips, programes, dades, accessos, còpies de seguretat, proveïdors— per respondre quatre preguntes:

Què tinc? Un inventari real, no el que recordes.
En quin estat és? Què funciona bé, què és al límit i què és una bomba de rellotgeria.
Quins riscos i quins costos ocults hi ha? Des de llicències duplicades fins a dades sense còpia.
Què convé fer, en quin ordre i quant costa? És a dir, una fulla de ruta que puguis decidir.

El que importa és l'última pregunta. Un diagnòstic que acaba en un informe descriptiu i res més («tens 14 aplicacions i 3 ordinadors antics») és un inventari, no un diagnòstic. El valor és a prioritzar.

El que no és

No és una auditoria de seguretat profunda. Fa una revisió bàsica de seguretat, però una auditoria o un test d'intrusió són treballs diferents, més tècnics i més llargs. Si el diagnòstic detecta que cal, te'l recomanarà com a fase a part.
No és un pressupost encobert. Un bon diagnòstic pot acabar en «no necessites comprar res, necessites ordenar això». Si sempre conclou que necessites el producte del proveïdor que el fa, desconfia.
No és un projecte de diversos mesos. Per a una pime, entre una i tres setmanes des del primer contacte fins al lliurament és el més habitual, amb unes poques hores del teu temps repartides.
No és només per a empreses «grans». De fet, com més petit és el negoci, més habitual és que tota la tecnologia depengui d'una o dues persones i de decisions preses per urgència.

Quan té sentit fer-lo

Hi ha moments en què un diagnòstic es paga sol, perquè evita decidir a cegues:

Vas a invertir en alguna cosa important (web nova, botiga en línia, un programa de gestió, una migració al núvol) i vols saber si és el que toca ara.
Has passat un ensurt: pèrdua de dades, correu suplantat, web caiguda, un ordinador infectat.
La persona que «s'ocupava d'això» se'n va o no està disponible, i el coneixement és només al seu cap.
Els costos de tecnologia creixen sense que sàpigues per què: subscripcions, llicències, serveis que es renoven sols.
El negoci creix i els processos que servien amb tres persones es trenquen amb vuit.
Tens diversos proveïdors que no es coordinen i cada problema acaba en «això és cosa d'un altre».
Vols complir millor: RGPD, seguretat, requisits de clients grans que et comencen a demanar garanties.

I hi ha moments en què no té gaire sentit: si el teu ús de tecnologia és mínim, tot funciona i no canviaràs res, probablement n'hi ha prou amb una revisió ràpida del bàsic (còpies, accessos, actualitzacions).

Les àrees que es revisen

Un diagnòstic complet per a una pime recorre, com a mínim, aquestes àrees. Per a cadascuna t'expliquem què es mira i per què importa.

1. Identitat digital i accessos

És el primer perquè és el que més fa mal quan falla. Es revisa:

Dominis: qui n'és el titular, on estan registrats, quan caduquen i qui rep els avisos de renovació. Un domini a nom d'un antic proveïdor, o amb un correu de contacte que ja no existeix, és un problema clàssic.
Comptes principals: correu corporatiu, allotjament, serveis al núvol, xarxes socials, compte de Google o de Microsoft del negoci. Són a nom de l'empresa o d'una persona concreta?
Gestió de contrasenyes i doble factor: si es comparteixen per missatgeria, si es repeteixen, si el doble factor està activat als comptes crítics.
Altes i baixes de persones: quan algú se'n va, se li treuen els accessos el mateix dia? És una de les bretxes més comunes i menys vigilades.

2. Correu i comunicació

El correu és l'eina més usada i la més atacada. Es revisa:

Si el correu és professional (amb el teu domini) i en quina plataforma és.
La configuració d'autenticació del domini (els registres SPF, DKIM i DMARC), que serveix perquè el teu correu arribi al seu destí i perquè ningú et pugui suplantar fàcilment.
Regles de reenviament automàtiques sospitoses, bústies compartides sense control, llistes antigues.
Quines eines de missatgeria i videotrucada es fan servir, i si hi ha duplicitats.

3. Equips i llocs de treball

Ordinadors, mòbils, impressores, xarxes Wi-Fi. Es mira:

Inventari amb edat i estat: un portàtil de vuit anys pot funcionar, però convé saber quant li queda.
Sistema operatiu i actualitzacions: equips que ja no reben pedaços de seguretat són un risc real.
Xifrat de disc i bloqueig: què passa si es perd un portàtil amb dades de clients.
Antivirus o protecció de punt final, i si algú vigila que estigui actiu.
Wi-Fi i xarxa: separar la xarxa de convidats de la de treball, contrasenyes per defecte del router, equips de xarxa sense actualitzar.

4. Dades, còpies de seguretat i continuïtat

La pregunta clau és: si demà es perd tot, en quant de temps i fins a quin punt et pots recuperar? Es revisa:

On viuen realment les dades importants (sovint en llocs que ningú tenia a la llista: l'escriptori d'algú, un full de càlcul personal, un USB).
Si hi ha còpies, de quin tipus, cada quant i si algú ha provat de restaurar-les.
Si existeix una còpia fora del lloc i una altra que un ransomware no pugui xifrar. Sobre això tens més detall a la nostra guia de còpies de seguretat i la regla 3-2-1.

5. Programari i eines de negoci

Aquí es mira quins programes sostenen l'operativa: facturació, CRM, gestió de projectes, botiga en línia, programes sectorials. S'analitza:

Duplicitats: dues eines que fan el mateix perquè cada equip va triar la seva.
Eines infrautilitzades: pagues per funcions que ningú no fa servir.
Fulls de càlcul que fan de base de dades: funcionen fins que deixen de fer-ho. Són un senyal freqüent que falta un sistema.
Integració entre sistemes: quantes vegades es teclegen les mateixes dades en llocs diferents. Cada doble teclejat és temps perdut i un error esperant a passar.

6. Web i presència en línia

Es revisa la web amb ulls de negoci, no només tècnics: si carrega ràpid, si es veu bé al mòbil, si els formularis arriben a algú, si està actualitzada, si té còpia, si apareix a Google per al que t'interessa i si mesura alguna cosa. Per aprofundir, tens l'article sobre els senyals que la teva web et fa perdre clients.

7. Seguretat i compliment bàsic

Sense arribar a una auditoria, es fa una revisió d'higiene: actualitzacions, accessos amb privilegis innecessaris, doble factor, formació de l'equip, pla davant d'incidents i una primera ullada al RGPD (quines dades personals tractes, on, amb quins proveïdors). Els detalls del compliment web els tens a RGPD a la web: el bàsic que ha de complir la teva pime.

8. Proveïdors i contractes

Qui et dóna quin servei, amb quin contracte, a quin preu, amb quina permanència i qui respon quan alguna cosa falla. Moltes pimes descobreixen aquí que paguen tres vegades pel mateix servei o que depenen d'un proveïdor sense contracte escrit.

9. Costos

Es construeix una foto de la despesa tecnològica real: subscripcions, llicències, allotjament, suport, hores internes dedicades a «arreglar coses». Quasi sempre apareix una xifra més gran que la que el negoci tenia al cap, i quasi sempre hi ha una part que es pot retallar sense perdre res.

10. Persones i processos

La tecnologia no existeix sola. Es parla amb qui la fa servir per entendre on s'encallen, quines tasques repeteixen, què els fa perdre temps. És la part que més aporta i la que més es descuida en els diagnòstics «de paper».

El procés pas a pas

Així sol desenvolupar-se un diagnòstic ben fet. Els terminis són orientatius i depenen de la mida del negoci.

Pas 1. Primera conversa (30–60 minuts)

Sense documents ni preparació. Expliques què fa el teu negoci, què et preocupa i què has intentat. Qui fa el diagnòstic escolta, pregunta i et diu amb honestedat si creu que et pot ajudar i de quina manera. Aquí es defineix l'abast: quines àrees entren i quines no.

Pas 2. Recollida d'informació (3–7 dies)

Se't demana una llista curta d'accessos i dades, normalment en mode només lectura quan és possible: accés d'administrador al correu per revisar la configuració (no per llegir missatges), dades del domini, llistat de proveïdors, factures de serveis tecnològics, accés a la web per revisar-la. Un bon consultor t'explica què demana, per a què i quant de temps conservarà aquesta informació, i signa un acord de confidencialitat si el necessites.

També es fan entrevistes breus amb les persones que fan servir la tecnologia cada dia. Vint minuts amb cadascuna solen revelar més que qualsevol eina d'anàlisi.

Pas 3. Revisió tècnica (3–7 dies)

Amb la informació reunida, es revisa cada àrea: configuracions, estat d'equips, còpies, seguretat bàsica, web, costos. Es comproven coses que es poden comprovar de manera objectiva (per exemple, l'antiguitat dels equips o la configuració del correu) i s'anoten les que depenen de criteri.

Pas 4. Anàlisi i priorització

La part on es separa un diagnòstic d'un inventari. Cada troballa s'avalua amb tres preguntes:

Impacte: què passa si això falla o es queda com està?
Probabilitat: amb quina facilitat podria passar?
Esforç: quant costa i quant triga arreglar-ho?

Amb això s'ordenen les troballes en una matriu: el que és urgent i barat es fa ja; el que és important i car es planifica; el que no val la pena es descarta amb justificació.

Pas 5. Lliurament i explicació (60–90 minuts)

Et presenten el resultat en una reunió, no només en un PDF. És important perquè un informe sense explicar es queda en un calaix. És el moment de preguntar, discrepar i ajustar prioritats segons el que saps del teu negoci i el consultor no.

Pas 6. Decisió

Tu decideixes. Pots executar-ho tot amb qui ha fet el diagnòstic, executar-ne una part, executar-ho amb un altre proveïdor o deixar-ho al calaix. Un diagnòstic seriós et serveix encara que no contractis res més: l'informe és teu.

Què t'emportes: els lliurables

En acabar hauries de tenir, com a mínim, aquests documents:

Resum executiu (1–2 pàgines). Per a qui decideix: com estàs, les tres o quatre troballes més importants i què recomanem fer primer. Escrit en llenguatge de negoci.
Inventari actualitzat. Equips, comptes, dominis, programes, proveïdors, contractes i dades clau, amb responsables i dates de renovació.
Mapa de riscos. Cada risc amb el seu impacte, probabilitat i recomanació. Amb codis de color, perquè s'entengui d'un cop d'ull.
Fulla de ruta per fases. Què fer els primers 30 dies, els següents 90 i durant l'any. Cada acció amb responsable, esforç estimat i cost orientatiu.
Pressupost per fases. Per a les accions que requereixin inversió, amb abast clar, perquè puguis començar per la primera fase sense comprometre't amb tot.
Quick wins. Una llista de millores que es poden fer en una tarda i que ja redueixen riscos (activar el doble factor, treure accessos d'antics empleats, configurar una alerta de caducitat del domini).

Com és un bon informe

Algunes pistes de qualitat:

S'entén sense ser tècnic. Si necessites un traductor, està mal escrit.
Cada recomanació té un perquè. «Activar el doble factor perquè el correu és la clau de tota la resta» i no només «activar doble factor».
Distingeix fets d'opinions. «El domini caduca el 12 de març» és un fet; «crec que hauries de migrar a aquesta plataforma» és una recomanació amb les seves alternatives.
Reconeix el que està bé. Un informe que només critica sol estar escrit per vendre, no per ajudar.
Indica el que no s'ha pogut revisar i per què. L'honestedat sobre els límits és un senyal de seriositat.

Un exemple il·lustratiu

Perquè es vegi amb claredat, imaginem una clínica petita fictícia, amb vuit persones. No és un cas real, sinó un exemple de com solen veure's les troballes.

Situació inicial. La web la va fer un freelance fa quatre anys i ningú no l'ha tocada des de llavors. El correu és d'un proveïdor d'allotjament barat. Les dades de pacients són en un programa sectorial instal·lat en un ordinador de recepció, i les cites es coordinen a més en un full de càlcul compartit. Hi ha un tècnic que «ve quan alguna cosa falla».

Troballes.

Troballa	Impacte	Esforç	Prioritat
El domini és a nom de l'antic freelance	Alt (podrien perdre la web i el correu)	Baix	Ara
L'ordinador de recepció amb el programa sectorial no té còpia verificada	Molt alt (dades de pacients)	Mitjà	Ara
El Windows de dos equips ja no rep actualitzacions	Alt	Mitjà	Primer trimestre
El correu no té SPF, DKIM ni DMARC configurats	Mitjà (correu brossa i suplantació)	Baix	Ara
El full de cites i el programa sectorial dupliquen dades	Mitjà (errors i temps)	Alt	Segon trimestre
La web no carrega bé al mòbil i el formulari no avisa ningú	Mitjà	Mitjà	Segon trimestre
Dues subscripcions de videotrucada duplicades	Baix (estalvi)	Baix	Ara

Resultat. La fulla de ruta no diu «canvieu-ho tot». Diu: en les dues primeres setmanes, transferir el domini, arreglar la còpia i configurar el correu (cost baix, risc reduït d'un sol cop). Al primer trimestre, renovar els dos equips. Al segon, valorar una integració entre cites i programa sectorial i renovar la web. Amb això la clínica sap què fer, quant costa cada pas i què pot esperar.

Quant costa i de què depèn

No et donarem una xifra tancada, perquè seria enganyós: depèn de la mida i la complexitat. El que sí que et podem dir són els factors que ho determinen:

Nombre de persones i d'equips. Vuit llocs no són el mateix que quaranta.
Nombre de sistemes i proveïdors a revisar.
Profunditat: una revisió d'higiene bàsica o un diagnòstic amb entrevistes, anàlisi de costos i fulla de ruta detallada.
Si inclou seguretat més enllà del bàsic.
Si hi ha requisits de compliment específics del teu sector.

Algunes regles útils:

Demana sempre l'abast per escrit i quins lliurables rebràs.
Desconfia del «gratis» sense condicions clares. Gratuït pot ser honest —a Trewik el primer diagnòstic inicial és gratuït i sense compromís perquè ens permet saber si et podem ajudar— però convé que et diguin què cobreix i què no, i que un diagnòstic més profund es pressuposta a part.
Compara lliurables, no preus. Un diagnòstic més barat sense fulla de ruta ni explicació és més car a la pràctica.

Com preparar-te per treure'n profit

Com més preparat arribis, més útil serà. No cal tenir-ho tot, però aquestes deu coses ajuden molt:

Una llista de les eines i serveis que creus que pagues (encara que estigui incompleta).
Les factures dels últims mesos de tecnologia, allotjament, dominis, programari i suport.
El nom de qui gestiona cada cosa avui, encara que sigui «el meu cunyat».
Una llista de les persones amb accés als sistemes principals i de les que han sortit recentment.
Els problemes que et fan perdre més temps, amb exemples concrets.
Els ensurts de l'últim any. Què va fallar, com es va resoldre.
El que plantegis fer els pròxims 12 mesos, encara que sigui vague.
Contractes i condicions dels proveïdors principals, si els tens.
Dades sensibles que tractes (clients, pacients, alumnes) i on les guardes.
El teu pressupost aproximat o almenys quant és «massa» per a tu.

Errors habituals en contractar un diagnòstic

Lliurar tots els accessos sense control. Demana accés de només lectura quan sigui possible, fes servir comptes nominals (no la teva contrasenya personal) i revoca'ls en acabar.
Esperar que ho resolgui tot. El diagnòstic identifica i prioritza; resoldre és una altra fase.
No implicar l'equip. Si qui fa servir la tecnologia no hi participa, l'informe perd la meitat del seu valor.
Deixar que el que ven sigui el que diagnostica sense dir-ho. No és il·legítim, però ha d'estar clar. Pregunta: «Què passa si concloeu que no necessito els vostres serveis?».
Guardar l'informe sense actuar. Un informe sense una data per a la primera acció és un adorn. Fixa des del primer dia qui fa què i quan.
Perseguir la perfecció. No cal resoldre-ho tot. Cal resoldre primer el que més risc o més cost evita.

Senyals que et volen vendre fum

Et prometen resultats quantificats sense haver vist el teu negoci («estalviaràs un 40 %»).
Fan servir molta jerga i poques explicacions.
Totes les recomanacions passen per un producte o servei seu.
No parlen amb les persones que fan servir la tecnologia.
No volen deixar-te l'informe sense contractar la fase següent.
No et diuen quines dades veuran i què en faran.
Prometen «zero risc» o «seguretat total». Cap seguretat és total, i qui ho afirma o no ho sap o no t'ho diu.

Preguntes freqüents

Quant de temps em demanarà?

Entre quatre i vuit hores repartides en dues o tres setmanes per a una pime típica: la conversa inicial, alguna entrevista, el lliurament i la recopilació d'informació. El teu equip necessitarà uns vint minuts cadascun per a l'entrevista.

He de donar accés als meus sistemes?

El mínim imprescindible, i de manera controlada. Per a moltes revisions n'hi ha prou amb accés de lectura o amb captures i documentació. Per a d'altres (per exemple, revisar la configuració del correu) cal un compte d'administrador temporal. El raonable és que et diguin què demanen, per què i que ho revoquin en acabar.

Es pot fer a distància?

Sí, en la gran majoria dels casos. La part presencial sol ser útil per veure l'espai físic (xarxa, equips, cablatge), però no és imprescindible per a la resta. A Trewik treballem des de Barcelona i en remot.

I si ja tinc un tècnic de confiança?

Millor encara: el diagnòstic es pot recolzar en ell i deixar-li documentació i prioritats clares. No es tracta de substituir ningú, sinó que tots treballeu sobre el mateix mapa.

Quina diferència hi ha amb una auditoria?

Una auditoria compara la teva situació amb un estàndard o norma concreta (per exemple, un esquema de seguretat) i emet una conclusió de conformitat. Un diagnòstic és més ampli i pràctic: parteix del teu negoci, no d'una norma, i acaba en un pla. Pots veure'n més sobre auditoria tecnològica i auditoria de seguretat.

Cada quant convé repetir-lo?

Un cop l'any si el negoci canvia ràpid, cada dos o tres anys si és estable, i sempre abans d'una inversió gran. Pel mig, una revisió curta dels bàsics cada trimestre manté la foto actualitzada.

Què passa amb la confidencialitat?

El normal és signar un acord de confidencialitat abans d'accedir a informació sensible, i que et diguin on es guardarà el recopilat i quan s'esborrarà.

Després del diagnòstic: de la fulla de ruta a l'acció

La part més difícil no és l'informe, és el que ve després. Algunes recomanacions perquè no es quedi en paper:

Comença per les victòries ràpides. Donen confiança i redueixen risc des del primer dia.
Assigna un responsable per acció, amb nom i data.
Planifica per fases i revisa al final de cadascuna abans de comprometre la següent. Pressupostar per fases et permet parar si alguna cosa no funciona.
Mesura l'abans i el després: temps de resposta, incidències, cost mensual, hores dedicades a tasques repetitives.
Fixa una revisió als tres mesos per veure què s'ha fet i què ha canviat.

Si vols entendre com es converteix un diagnòstic en un pla de treball, tens més detall a fulla de ruta digital i al pla de digitalització.

En resum

Un diagnòstic tecnològic ben fet et dóna claredat, no només informació: saps què tens, quins riscos corres, què et costa de més i què fer primer. És curt, es fa amb poc temps teu, i hauria de continuar sent útil encara que no contractis res més.

Si vols que ho fem amb tu, a Trewik comencem amb un diagnòstic tecnològic inicial gratuït i sense compromís, i pressupostem per fases perquè controlis la inversió. Pots veure com pressupostem o demanar el teu diagnòstic gratuït i t'expliquem què revisaríem primer en el teu cas.