Cybersecurity per le PMI: difendersi dagli attacchi

Perché le PMI sono un bersaglio

La maggior parte degli attacchi informatici non è mirata. Funziona come la pesca a strascico: vengono inviati milioni di messaggi fraudolenti e cade chi è più esposto, indipendentemente dal settore e dalle dimensioni. Un'azienda di venti persone con una posta elettronica poco presidiata, password riutilizzate e nessun backup verificato è, per un attaccante automatizzato, un obiettivo più conveniente di una grande impresa con un reparto di sicurezza interno.

A questo si aggiunge un fattore strutturale: le PMI sono spesso anello di una catena più ampia. Forniscono servizi a clienti più grandi, accedono ai loro sistemi, trattano i loro dati. Attaccare il fornitore piccolo e poco difeso può essere la strada più semplice per arrivare al cliente grande e ben difeso. È una dinamica che sta cambiando le richieste commerciali: sempre più capitolati e contratti richiedono ai fornitori requisiti minimi di sicurezza, e la capacità di dimostrarli sta diventando un fattore competitivo, non solo un costo.

L'ultimo elemento è la perdita in caso di incidente. Oltre al possibile pagamento di un riscatto, che raccomandiamo sempre di valutare con estrema cautela, i costi reali sono l'interruzione dell'attività, la ricostruzione dei sistemi e dei dati, le verifiche legali e, se sono coinvolti dati personali, gli adempimenti previsti dal Regolamento europeo sulla privacy. Per un'azienda con poca liquidità, anche pochi giorni di fermo possono pesare più dell'intero intervento di sicurezza che non è stato fatto.

Gli attacchi più comuni, spiegati bene

Conoscere il meccanismo di ogni attacco serve a capire perché le difese funzionano. Ne descriviamo cinque, che coprono la grande maggioranza degli incidenti che le imprese italiane si trovano ad affrontare.

Phishing e ingegneria sociale

Il phishing è un messaggio che finge di provenire da un mittente affidabile per indurre chi lo riceve a fare qualcosa: aprire un allegato, cliccare un collegamento, inserire le proprie credenziali in una pagina che sembra quella della banca o di Microsoft, autorizzare un pagamento. Le versioni mirate, chiamate spear phishing, partono da informazioni reali sull'azienda: il nome del titolare, una commessa in corso, la firma di un collega. Sono le più efficaci, perché non presentano i segnali evidenti del truffatore generico.

Una variante che colpisce in particolare le PMI è la frode del presidente, o business email compromise: un'email che sembra arrivare dall'amministratore delegato e chiede a chi si occupa di amministrazione di eseguire un bonifico urgente e riservato. Non ci sono virus, non ci sono vulnerabilità da correggere: c'è solo una persona convinta di fare la cosa giusta. La difesa non è tecnica ma procedurale: una regola aziendale che richiede una verifica telefonica, su un numero noto, per ogni pagamento fuori dal consueto.

Ransomware

Il ransomware è un programma che cifra i file dell'azienda e chiede un riscatto per la chiave di decifrazione. Entra in genere attraverso un allegato, un collegamento fraudolento, un software scaricato da fonti non ufficiali o una vulnerabilità senza patch in un servizio esposto a internet. Le varianti più recenti esfiltrano prima i dati e poi li cifrano, aggiungendo alla richiesta di riscatto la minaccia della pubblicazione.

Il punto cruciale è che il ransomware cifra tutto ciò che riesce a raggiungere con le credenziali dell'account compromesso, compresi i backup collegati in rete. Per questo il backup, da solo, non basta: conta dove sta, con quali permessi, e se il ripristino è mai stato provato. Un'azienda con backup verificati e isolati affronta un ransomware come un inconveniente; un'azienda senza, come una crisi esistenziale.

Furto di credenziali

Molte violazioni non superano nessuna difesa tecnica: semplicemente entrano con le chiavi giuste. Le credenziali vengono rubate con il phishing, recuperate da violazioni di servizi terzi dove il dipendente ha usato la stessa password del lavoro, o semplicemente indovinate quando la password è debole. Se l'account è quello dell'amministrazione di sistema o del gestionale, l'attaccante ha di fatto le chiavi dell'azienda.

La difesa principale è l'autenticazione a due fattori, che rende inutile una password rubata se l'attaccante non ha anche il secondo fattore. La seconda è non riutilizzare mai le password: un gestionale di password aziendale costa pochi euro per utente all'anno ed elimina alla radice il problema dei post-it sullo schermo e delle password identiche su dieci servizi.

Attacchi alla catena dei fornitori

Il consulente che si collega con il proprio account, il software gestionale del commercialista, il fornitore che accede al server per la manutenzione: ogni accesso esterno è una porta, e la sicurezza dell'azienda dipende anche da come quella porta viene presidiata. Un fornitore compromesso può diventare il punto d'ingresso verso tutti i suoi clienti.

Questo non significa chiudere ogni accesso esterno, che spesso è necessario al funzionamento. Significa: account dedicati e nominativi, non condivisi; permessi limitati al necessario; attivazione dell'accesso solo quando serve, non permanente; e tracciamento di chi è entrato, quando e con quali risultati. Sono misure di ordine più che di tecnologia.

L'errore interno

Non tutti gli incidenti sono attacchi. La cancellazione accidentale di una cartella condivisa, il sovrascrivimento di un file importante, la configurazione sbagliata di un servizio appena installato, il laptop perso in treno senza crittografia: producono gli stessi effetti di un attacco e si prevengono con le stesse misure, a cominciare dal backup e dai permessi calibrati. Quando progettiamo un sistema di sicurezza, l'errore umano è il primo scenario che teniamo in considerazione, perché è anche il più frequente.

Le difese che funzionano davvero

Il mercato della sicurezza propone decine di prodotti. Nella pratica, la maggior parte del rischio si elimina con un numero piccolo di misure ben applicate, in gran parte organizzative più che tecnologiche. Queste sono quelle da cui partire, in ordine di importanza.

Autenticazione a due fattori ovunque

È il intervento con il miglior rapporto tra costo e beneficio in assoluto. Si attiva in pochi minuti sulla posta elettronica aziendale e sui servizi cloud, e richiede un secondo elemento oltre alla password: un codice generato da un'app, una notifica da confermare o una chiave fisica. La prima scelta, per le PMI, è l'app di autenticazione; le chiavi fisiche hanno senso per gli account più critici, come quello dell'amministratore. Va prevista un'eccezione gestita per chi perde il telefono, altrimenti la pressione di emergenza farà saltare il sistema.

Backup secondo la regola 3-2-1, con il test del ripristino

La regola classica: tre copie dei dati, su due supporti diversi, con una copia fuori sede. Oggi si aggiunge una quarta condizione: almeno una copia non raggiungibile con le credenziali quotidiane, cioè immutabile o offline, perché il ransomware va specificamente alla ricerca dei backup collegati in rete.

La parte che quasi tutti tralasciano è la verifica. Un backup che non è mai stato ripristinato è un'ipotesi, non una garanzia: i file possono essere incompleti, corrotti o semplicemente non comprendere ciò che si credeva. Il test consiste nel ripristinare, ogni mese o trimestre, un campione di dati e di verificarne l'integrità e la completezza. Sono un'ora di lavoro che trasforma il backup da speranza a strumento.

Aggiornamenti costanti

Le vulnerabilità note sono la porta d'ingresso più usata negli attacchi automatizzati, perché esistono elenchi pubblici di ciò che non è stato aggiornato. Gli aggiornamenti automatici vanno attivati su sistemi operativi, browser e applicazioni; i servizi esposti a internet, come il sito aziendale, il firewall e il gestionale remoto, richiedono un presidio esplicito, perché non si aggiornano da soli. Un vecchio server che funziona ancora è una responsabilità, non un risparmio.

Gestione delle password

Le regole sono due, semplici: ogni account ha una password propria, e nessuna password viene condivisa. Per farlo stare nella pratica serve uno strumento: un password manager aziendale, in cui ogni persona memorizza una sola password principale e il sistema si ricorda tutte le altre. In più, le password di default di router, stampanti, telecamere e sistemi embedded vanno cambiate al primo avvio: sono pubbliche, e gli scanner le provano tutte.

Protezione della posta elettronica

La posta è il canale d'attacco principale, e va protetta su due livelli. Il primo è tecnico: configurazioni di autenticazione del dominio (SPF, DKIM e DMARC) che impediscono a terzi di spacciarsi per l'azienda, e filtri antiphishing con collegamento sicuro degli allegati. Il secondo è organizzativo: una regola chiara che richiede doppia verifica, con canale diverso, per i pagamenti e per le variazioni di coordinate bancarie dei fornitori. È la misura che costa zero e previene il danno più costoso.

Segmentazione della rete e controllo degli accessi

Rete della produzione, rete degli ospiti, sistemi amministrativi, telecamere: in molte aziende convivono sulla stessa rete, e basta un dispositivo compromesso per raggiungere tutto. Separare le aree, assegnare a ciascuna persona solo i permessi di cui ha bisogno e togliere i diritti di amministrazione agli account di uso quotidiano limita la propagazione di qualsiasi incidente. È il principio del minimo privilegio: noioso da applicare, prezioso al momento del bisogno.

Formazione del personale

Ogni misura tecnica può essere aggirata da una persona che non la conosce. La formazione non è la presentazione annuale che nessuno ricorda: è una pratica breve e ricorrente, con esempi reali di messaggi fraudolenti ricevuti davvero, istruzioni chiare su cosa fare in caso di dubbio e, soprattutto, la garanzia che segnalare un errore non porta a conseguenze negative. Un'azienda in cui chi clicca il collegamento sbagliato ha paura di dirlo è un'azienda in cui l'incidente si scopre una settimana dopo.

Per capire quali contromisure hanno priorità nel vostro caso, partite da un assessment mirato sul servizio cybersecurity.

Quanto costa difendersi: i fattori reali

Le voci di spesa sono quattro, e conviene distinguerle perché hanno andamenti diversi nel tempo.

Misure una tantum

L'analisi iniziale, la configurazione dei sistemi, la segmentazione di rete, la messa a punto dei backup. È l'investimento principale, e la sua entità dipende molto dal punto di partenza: un'infrastruttura ordinata e recente richiede interventi limitati, un parco sistemi eterogeneo e non documentato richiede prima un lavoro di messa in ordine.

Abbonamenti e licenze

Il password manager, l'antivirus di nuova generazione, il servizio di backup, i filtri di posta: in genere si parla di importi mensili per utente nell'ordine di poche decine di euro complessivi. Sono costi ricorrenti e prevedibili, e vanno confrontati con il costo di un solo giorno di attività interrotta.

Presidio e manutenzione

Verifica dei backup, aggiornamento dei sistemi, revisione degli accessi, controllo dei log. Può essere interno, con poche ore al mese ben organizzate, o esterno con un contratto di assistenza. L'importante è che sia qualcuno's responsabilità esplicita: la sicurezza che dipende dal buon cuore di chi «ci pensa quando si ricorda» non è sicurezza.

Il costo dell'incidente che non si è prevenuto

È la voce che va sempre messa a confronto: ricostruire i sistemi, perdere giorni di lavoro, avvisare i clienti, gestire le conseguenze legali. Nella maggior parte dei casi con cui entriamo in contatto, l'intero programma di sicurezza annuale costa meno di quello che un solo incidente serio sarebbe costato.

Cosa fare nei primi minuti di un incidente

La domanda utile non è solo come prevenire, ma cosa fare quando la prevenzione non ha funzionato. Nei primi minuti la fretta è il nemico principale, perché le azioni sbagliate distruggono le prove e allargano il danno.

Isolare, non spegnere

La macchina compromessa va scollegata dalla rete, ma non spenta: la memoria volatile contiene informazioni utili a capire cosa è successo, e lo spegnimento può cifrare ulteriormente i dati o eliminare le tracce. Se si sospetta un ransomware, interrompere anche i backup automatici, per evitare di sovrascrivere copie buone con dati compromessi.

Agire come se fosse serio

La valutazione «forse è solo un falso allarme» è il motivo per cui le reazioni partono in ritardo. Un'email sospetta segnalata, un account con accessi anomali, un file che si è cifrato da solo: in tutti questi casi, attivare subito chi si occupa di IT, interno o esterno. Le prime ore contano molto più delle successive settimane.

Documentare tutto

Annotare orari, messaggi ricevuti, azioni svolte, schermate. Serve a chi indaga, al legale, all'assicurazione e, se coinvolti dati personali, alle comunicazioni previste dal Regolamento sulla privacy, che in alcuni casi prevedono una notifica all'autorità entro settantadue ore.

Comunicare con misura

Se l'incidente può coinvolgere clienti e fornitori, la comunicazione va preparata con attenzione: dire ciò che si sa senza anticipare ciò che non si sa, e aggiornare man mano. Nascondere un problema che poi emerge dall'esterno costa molto di più, in termini di reputazione, dell'avviso tempestivo.

Tutto questo va deciso prima, non durante la crisi. Un piano di risposta di una pagina, con i contatti di chi chiamare, chi decide e chi parla con l'esterno, è uno dei documenti più preziosi che un'azienda possa scriversi, e non richiede nessun investimento tecnico.

Privacy e obblighi: cosa richiede la normativa

Il Regolamento europeo sulla privacy impone, da sempre, misure tecniche e organizzative adeguate al rischio: pseudonimizzazione e cifratura, capacità di ripristinare la disponibilità dei dati, test periodici. In caso di violazione con rischio per le persone, serve la notifica al Garante entro settantadue ore e, in alcuni casi, la comunicazione agli interessati. La sicurezza non è quindi solo prudenza: è un adempimento, e in caso di verifica la documentazione delle misure adottate fa la differenza tra una posizione difendibile e una sanzione.

Il quadro si sta restringendo ulteriormente con la direttiva NIS2, che estende gli obblighi di sicurezza e segnalazione a settori e dimensioni d'impresa sempre più ampi, e che si sta riflettendo nei requisiti richiesti dai grandi committenti ai propri fornitori. Per una PMI la lettura corretta non è «un'altra burocrazia», ma un calendario: le misure descritte in questo articolo sono esattamente quelle che la normativa chiede, e farle in anticipo costa meno che farle sotto richiesta.

Checklist di valutazione

Prima di qualsiasi altro investimento, questa lista dà un quadro onesto del punto di partenza. Se la maggior parte delle risposte è negativa, le prime cinque misure di questo articolo sono il programma giusto per il prossimo trimestre.

• L'autenticazione a due fattori è attiva sulla posta elettronica e sui servizi principali.
• Esiste un backup automatico dei dati aziendali, con una copia non raggiungibile dalla rete.
• Il ripristino dei backup è stato provato negli ultimi tre mesi.
• Gli aggiornamenti automatici sono attivi su computer, server e sito aziendale.
• Nessuna password viene condivisa tra persone, e c'è un gestionale di password aziendale.
• Esiste una regola di verifica telefonica per bonifici e variazioni di coordinate bancarie.
• Le password di default di router, stampanti e telecamere sono state cambiate.
• Chi si occupa di IT sa esattamente cosa fare nei primi minuti di un incidente.

Un percorso in cinque passi

Passo 1 — Fare l'inventario

Elencare ciò che esiste: computer, server, servizi cloud, dispositivi di rete, account amministrativi, dati custoditi e dove. Non serve strumentazione: un foglio condiviso basta. Non si può difendere ciò di cui non si sa l'esistenza.

Passo 2 — Chiudere le porte principali

Attivare l'autenticazione a due fattori, cambiare le password di default, attivare gli aggiornamenti automatici. Sono interventi di pochi giorni che eliminano la maggior parte del rischio immediato.

Passo 3 — Mettere in sicurezza i dati

Configurare il backup secondo la regola 3-2-1, con una copia isolata, e provare il ripristino. È il passo che determina la sopravvivenza in caso di ransomware o di errore grave, e va fatto prima di qualsiasi altra raffinatezza.

Passo 4 — Organizzare le persone

Scrivere le due regole procedurali che valgono più di tanti strumenti: la verifica telefonica dei pagamenti e la procedura di segnalazione degli episodi sospetti. Poi fare una sessione di formazione breve, con esempi veri, e ripeterla ogni sei mesi.

Passo 5 — Presidiare nel tempo

Definire chi verifica backup, accessi e aggiornamenti, con quale frequenza e con quale budget. La sicurezza non è un progetto che si conclude: è una pratica di manutenzione, e come tutte le pratiche funziona solo se ha un responsabile e un calendario.

Gli errori più frequenti

Il primo è comprare tecnologia prima di fare ordine: un firewall di fascia alta non serve a niente se le password si condividono via email e i backup non sono mai stati ripristinati. Il secondo è il backup che non viene provato: dà una sensazione di sicurezza che si dissolve esattamente nel momento in cui servirrebbe.

Il terzo è puntare tutto sulla formazione senza misure tecniche, o viceversa: le due cose funzionano insieme, perché ogni misura tecnica viene aggirata se le persone non la capiscono, e ogni buona volontà crolla davanti a un attacco ben costruito. Il quarto è la sicurezza fatta una volta sola: sistemi che non si aggiornano, accessi di ex dipendenti mai revocati, procedure scritte e dimenticate. Il quinto è il silenzio: l'azienda in cui segnalare un errore è pericoloso per chi lo segnala scopre gli incidenti quando sono già diventati problemi.

In sintesi

La sicurezza informatica di una PMI non è una questione di prodotti sofisticati, ma di poche misure elementari applicate con costanza: autenticazione a due fattori, backup verificati e isolati, aggiornamenti, gestione delle password, regole procedurali chiare e persone formate. Nessuna di queste misure è costosa; la loro assenza, sì.

L'approccio che consigliamo è lo stesso che applichiamo nei progetti: partire dall'inventario di ciò che esiste, chiudere le vulnerabilità più evidenti, mettere in sicurezza i dati, organizzare le persone e poi presidiare nel tempo con responsabilità definite. È un percorso meno spettacolare di una piattaforma di sicurezza all-in-one, ma è quello che, nei fatti, tiene fuori la maggior parte degli attacchi e limita i danni quando qualcosa passa.