80 postazioni,
zero spaventi.

Dall'autenticazione a due fattori sulla posta e sull'accesso remoto, e dal verificare che i backup si ripristinino davvero. Sono le due misure che tolgono più rischio per ogni euro investito, e nessuna richiede di rinnovare i computer o di fare lavori sull'infrastruttura: sono configurazioni su ciò che esiste già. Il doppio fattore chiude la via d'ingresso più comune, che non è qualcuno che buca un firewall ma una password riutilizzata finita in una fuga di dati di un altro servizio senza alcun legame con l'azienda. I backup verificati chiudono l'uscita: se qualcosa va storto comunque, c'è un modo reale di recuperare i dati in ore e non in giorni. Dopo queste due, la cosa successiva con il miglior rapporto tra costo e rischio evitato è di solito l'inventario dei dispositivi e l'applicazione regolare delle patch. I cambiamenti di architettura più costosi, come la segmentazione o i desktop virtuali, possono aspettare una seconda fase.

Va molto bene per le postazioni d'ufficio e di gestione, che in una società di consulenza sono di solito la maggior parte del team: contabilità, analisi, assistenza clienti, qualsiasi attività che si svolga soprattutto su fogli di calcolo, posta e applicativi gestionali. Lì il vantaggio è chiaro, perché i dati non escono mai dall'ambiente controllato (ciò che arriva fino al computer di casa è solo l'immagine dello schermo) e un portatile perso o rubato non significa perdere informazioni, perché non ce n'era nessuna salvata sopra. Dove bisogna valutare con più calma è la grafica, il montaggio video o qualsiasi calcolo che richieda molta potenza grafica: lì il computer locale resta in vantaggio, perché un desktop virtuale dimensionato bene per quell'uso risulta costoso. La soluzione abituale nelle società di consulenza con profili misti è non forzare un modello unico: desktop virtuale dove conviene, computer fisico gestito dove no.

Per legge, in generale, non lo è, anche se diverse normative di settore e sulla protezione dei dati spingono sempre più in quella direzione. Ciò che conta davvero non è l'obbligo formale ma ciò che cambia in pratica: una credenziale trapelata da un terzo estraneo all'azienda (qualcosa su cui l'azienda non ha alcun controllo) non serve più per entrare se occorre un secondo fattore che ha solo il dipendente, di solito il cellulare. In uno studio che tratta dati di clienti con informazioni finanziarie o personali sensibili, considerare il doppio fattore facoltativo è difficile da giustificare il giorno in cui qualcosa va storto. Introdurlo non è costoso né complesso: la maggior parte dei servizi di posta e di accesso remoto lo include già, basta attivarlo e spiegarlo bene al team. Come si inserisce tutto questo in un contratto di manutenzione più ampio lo spieghiamo in cosa deve includere un contratto di manutenzione.

Dipende da quale parte del cambiamento si guarda. Il doppio fattore e le patch regolari si notano in fretta, nel giro di settimane, perché eliminano alla radice lo stillicidio di piccoli incidenti che prima occupava ore ogni settimana: password compromesse, computer non aggiornati che si guastano, virus entrati da una vulnerabilità già nota e mai corretta. È il tipo di miglioramento che si vede nel numero di ticket prima che in qualsiasi report. I cambiamenti di architettura, come la segmentazione della rete interna o l'adozione dei desktop virtuali, sono diversi: si introducono per fasi, postazione per postazione o reparto per reparto, e il loro effetto si apprezza lungo tutto il progetto anziché di colpo. Non conviene giudicare l'intero progetto da quanto sembra lento all'inizio, quando il nuovo convive ancora con il vecchio mentre si completa la migrazione.

Il riferimento resta la regola 3-2-1: almeno tre copie di ciò che non può permettersi di perdere, su due supporti diversi, con una di esse fuori dall'ufficio. In una società di consulenza con dati dei clienti, a questo vanno aggiunte due cose concrete. La prima è la cifratura: una copia con informazioni finanziarie o personali che esce dall'ufficio (su un disco esterno o presso un fornitore cloud) deve viaggiare ed essere conservata cifrata, altrimenti perdere quel supporto è grave quanto perdere i dati sul computer originale. La seconda è la prova di ripristino: una copia che nessuno ha verificato di poter recuperare non è una copia, è una supposizione. Se è indeciso tra un NAS proprio e un backup in cloud, in NAS o cloud per i backup lo spieghiamo in base a quale sia il Suo vero punto di guasto.

Nessuna misura azzera il rischio, quindi conviene avere chiaro cosa fare nelle prime ore prima che serva. La prima cosa è isolare subito dalla rete il computer o i computer colpiti, scollegando il cavo o il Wi-Fi, per impedire che la cifratura si estenda alle cartelle condivise o ad altre postazioni collegate alle stesse risorse. La seconda è non pagare il riscatto: non c'è alcuna garanzia di recuperare qualcosa in cambio, e pagare non chiude la via d'ingresso che ha reso possibile l'attacco. Con i backup verificati della domanda precedente, la via d'uscita è di solito ripristinare dall'ultima copia pulita, una volta confermato che l'origine dell'attacco è stata individuata e chiusa. Proprio per questo i backup verificati e il doppio fattore sono le due misure che decidono se un incidente del genere resta uno spavento di un pomeriggio o diventa diversi giorni di fermo. I dettagli sono in ransomware: le prime ore.