Sicurezza informatica per una PMI:
da dove cominciare

Sì, proprio perché è piccola. Gli attacchi che arrivano a una PMI non sono diretti a lei: sono campagne massive di email con fatture false, avvisi della banca o password rubate su altri siti, che tentano la sorte con migliaia di aziende contemporaneamente. Entra chi trova la porta chiusa peggio, e le PMI hanno le porte chiuse peggio perché nessuno ne è incaricato. L'attaccante non sa chi è Lei e non gli interessa: sa che un'azienda di otto persone senza backup pagherà prima di una grande con un reparto di sicurezza. Gli avvisi dell'INCIBE, l'istituto spagnolo per la cybersicurezza, e i rapporti annuali del settore lo ripetono ogni anno: la maggior parte degli incidenti nelle aziende spagnole colpisce PMI, e la maggior parte comincia da un'email.

Un antivirus blocca sul computer ciò che riconosce, ed è necessario, ma non copre ciò che entra più spesso. Non impedisce che qualcuno inserisca la propria password su un falso sito della banca, né che si paghi una fattura con l'IBAN cambiato, né che un Windows non aggiornato abbia una falla nota, né che i backup si trovino sullo stesso disco che il ransomware cifra. I sette punti di questa guida sono ciò che l'antivirus non fa. Ciò che invece conviene è che l'antivirus sia gestito: che qualcuno verifichi dall'esterno se è attivo su tutti i computer e che cosa ha rilevato, invece di affidarsi al fatto che ognuno guardi la propria icona.

Meno di quanto costi un solo incidente. Backup verificati, aggiornamenti, doppio fattore e revisione degli account sono soprattutto lavoro, non acquisti: un password manager e un backup nel cloud per una piccola azienda costano pochi euro per utente al mese. Ciò che è davvero un investimento è il firewall aziendale e, se c'è un server, un UPS. Ciò che costa di più è il tempo per farlo e per mantenerlo, ed è per questo che nelle PMI di solito rientra in un contratto di manutenzione, con un tecnico che lo controlla ogni mese. Nel nostro caso, il piano Essenziale con backup gestiti, antivirus e aggiornamenti parte da 49 €/mese, e il Gestito con tecnico dedicato e monitoraggio da 99 €; che cosa deve includere un contratto di manutenzione spiega che cosa chiedere in ogni caso.

Disattivarli lo stesso giorno in cui la persona se ne va, e verificare ogni pochi mesi che non ne sia rimasto aperto nessuno. È uno degli errori più comuni e più facili da evitare: un ex dipendente con l'email ancora attiva, l'accesso al gestionale o la password del Wi-Fi mai cambiata. Non serve pensare male di nessuno; basta che la sua password, magari riutilizzata su altri siti, finisca in una fuga di dati. Lo stesso vale per fornitori e tecnici esterni che hanno avuto accesso per un lavoro specifico. L'elenco di chi ha accesso a che cosa, rivisto ogni trimestre, è lo strumento; richiede un'ora.

Diversi, che già valgono per qualsiasi azienda, e uno che potrebbe arrivare. Il GDPR impone di proteggere i dati personali con misure adeguate e di notificare una violazione all'autorità di controllo, in Spagna l'AEPD, entro 72 ore; una PMI con dati dei clienti ci rientra già, e lo spieghiamo in dettaglio nella checklist GDPR per studi professionali e cliniche. La direttiva europea NIS2, che la Spagna sta recependo nella propria legislazione, riguarda medie e grandi imprese di settori specifici, non la PMI tipica, ma sì alcuni dei suoi clienti, che iniziano a imporre misure ai propri fornitori per contratto. E se tratta dati sanitari o lavora per la pubblica amministrazione, ci sono requisiti specifici. Ciò che propone questa guida copre quanto è ragionevole per qualsiasi PMI; ciò che aggiunge il Suo settore, lo valuti con il Suo consulente.

Dipende da che cosa. Se qualcuno ha abboccato a un'email e ha fornito una password, in che cosa fare se si è già abboccato trova l'ordine delle prime due ore: cambiare gli accessi, avvisare la banca se necessario, sporgere denuncia. Se i file risultano cifrati o compare una nota che chiede denaro, in ransomware: le prime ore trova che cosa fare e che cosa no: isolare, non spegnere, non pagare, avvisare. In entrambi i casi, in Spagna il numero gratuito 017 dell'INCIBE assiste aziende e privati e orienta sui passi da compiere e sulla denuncia. E dopo l'incidente, questo elenco di sette punti è proprio ciò che va rivisto, perché qualcosa mancava.