Un venerdì sera, un cliente scrive a Sophie B.: «In concreto, come proteggete i nostri dati contabili?». Lei sa che il suo studio fa le cose «più o meno» nel modo giusto. Ma sarebbe in grado di dimostrarlo, punto per punto, se glielo chiedessero? È esattamente ciò che un audit di cybersicurezza mette nero su bianco — non per spaventare, ma per sapere finalmente a che punto si è.
Un audit di cybersicurezza non è riservato alle grandi aziende
La parola «audit» intimidisce. Nei fatti, un audit di cybersicurezza significa semplicemente passare in rassegna, in modo ordinato, le protezioni attorno ai Suoi dati e ai Suoi strumenti di lavoro. Non un giudizio, non un voto: una fotografia in un dato momento di ciò che è solido e di ciò che poggia ancora sulla fiducia o sull'abitudine.
In uno studio fiduciario di una decina di persone, senza un informatico interno, la sicurezza dipende spesso da due cose: i riflessi del team e «il fornitore, che se ne occupa». Il problema è che nessuno ha una visione d'insieme. Chi ha davvero accesso al software di contabilità, oggi? Il backup della scorsa notte ha funzionato? Il portatile del collaboratore che se n'è andato l'anno scorso è ancora attivo da qualche parte? Un audit risponde a queste domande una per una, invece di lasciarle in sospeso.
Per uno studio fiduciario la posta in gioco è particolare. Lei custodisce ciò che un'azienda ha di più riservato: la sua contabilità, i suoi salari, i suoi dati fiscali e bancari. Il segreto professionale non è un'opzione, è il cuore del mestiere — e una fuga di dati non costa solo denaro, intacca la fiducia che La fa vivere. È proprio questo che un audit protegge: non le macchine in quanto tali, ma la relazione con i Suoi clienti.
È anche, sempre di più, il linguaggio che parlano i Suoi clienti e i loro stessi revisori. Quando una PMI cliente Le affida i propri salari e la propria contabilità, si aspetta — a volte per iscritto — che Lei sappia descrivere le Sue misure di sicurezza. Un audit, per quanto modesto, trasforma un «stiamo attenti» in qualcosa di verificabile.
In parole semplici (Camille, consulente Cyber Passport). Un audit non è un esame che si supera o si fallisce. È un elenco di domande semplici a cui, oggi, Lei risponde «sì», «no» oppure «non lo so». I «non lo so» sono le Sue priorità: non sono errori, sono punti ciechi. Portarli alla luce è già la maggior parte del lavoro.
Bene a sapersi: un primo audit non deve per forza essere condotto da uno studio esterno né costare diverse migliaia di franchi. La versione più utile, per cominciare, è un'autodiagnosi onesta — un'autovalutazione in cui si pone con calma le domande giuste, prima che siano le circostanze a porle per Lei.
Cosa ricordare
L'idea non è verificare tutto in una volta, ma coprire i pochi ambiti che concentrano la maggior parte del rischio per una PMI di servizi.
- Un audit risponde a una domanda molto concreta. Se domani si verificasse un incidente — un'e-mail trappola, una postazione bloccata, un cliente che reclama lo storico dei suoi dati —, saprebbe subito cosa è protetto e cosa no? L'audit è questa risposta, preparata in anticipo e con calma anziché nell'urgenza.
- Quattro ambiti coprono l'essenziale. Gli accessi (chi può entrare, e dove), i backup (si può davvero recuperare tutto), gli aggiornamenti (gli strumenti sono ancora supportati e aggiornati) e il fattore umano (il team riconosce una trappola). A questo, per uno studio fiduciario, si aggiunge la questione dei dati sensibili ai sensi della nLPD, la legge svizzera riveduta sulla protezione dei dati, in vigore dal 2023.
- Iniziare è meglio che attendere l'audit perfetto. Un primo passaggio imperfetto, fatto questa settimana, Le insegna già più del rapporto ideale che non arriva mai. Si annotano i punti ciechi, si chiudono i più urgenti, poi si affina a intervalli regolari.
Le azioni da introdurre questa settimana
Tre azioni, senza budget e senza competenze tecniche, per trasformare l'intenzione in un primo audit reale.
1. Elencare chi ha accesso a cosa
Prenda un foglio ed elenchi gli strumenti che contengono dati dei clienti: posta elettronica, software di contabilità, spazio di condivisione dei file. Accanto a ciascuno, annoti chi vi ha accesso oggi. Quasi sempre spuntano due o tre sorprese: un ex collaboratore ancora attivo, un account condiviso di cui nessuno ricorda più davvero la password, un accesso «temporaneo» mai revocato. Già solo chiudendo queste porte riduce il rischio in modo molto concreto. Ne approfitti per verificare che gli accessi sensibili siano protetti dall'autenticazione a due fattori (MFA) — oltre alla password, una seconda prova d'identità, per esempio un codice ricevuto sul telefono.
2. Verificare che un backup esista — e di saperlo ripristinare
«Abbiamo i backup» è la frase più ingannevole in materia, perché rassicura senza dimostrare nulla. Il vero test si riduce a una domanda: se il software di contabilità fosse inaccessibile domattina, in quanto tempo — e a partire da cosa — tornereste operativi? Chieda al Suo fornitore di mostrarLe un ripristino reale, non solo di confermare che «funziona». Un buon riferimento, senza entrare nel tecnico: la cosiddetta regola 3-2-1 — tre copie dei dati, su due tipi di supporto diversi, di cui una conservata fuori dai Suoi locali. L'importante non è mettere tutto in atto questo lunedì, ma sapere a che punto si è rispetto a questo riferimento. Un backup mai testato con un ripristino è solo un'ipotesi, e il momento peggiore per scoprirlo è il giorno in cui ne ha bisogno.
3. Porre al team la domanda della «peggiore e-mail»
Riunisca il team per dieci minuti e descriva insieme lo scenario più credibile: una fattura falsa di un fornitore abituale, o un messaggio urgente che sembra provenire da una socia e reclama un bonifico immediato. Il phishing — quelle e-mail fraudolente che imitano un interlocutore di fiducia per spingerLa a pagare o a cliccare — prende di mira proprio i mestieri che maneggiano denaro e dati. Concordare ad alta voce un riflesso semplice («in caso di dubbio su un pagamento, si riaggancia e si richiama su un numero conosciuto») protegge meglio di qualsiasi software e non costa nulla.
A che punto è davvero?
Queste tre azioni sono, letteralmente, le prime righe di un audit di cybersicurezza. Le danno un'idea — non la fotografia completa. Per andare oltre senza affogare, l'autovalutazione Cyber Passport riprende questi ambiti domanda per domanda e li mette a confronto con i quadri di riferimento riconosciuti: la nLPD per i Suoi obblighi svizzeri e quadri strutturanti come il NIST CSF 2.0 o l'Allegato A della norma ISO 27001:2022, che i Suoi committenti parlano quando La sottopongono a verifica.
Diciamolo chiaramente: Cyber Passport non certifica nulla e non La dichiara «conforme». Fa qualcos'altro, probabilmente più utile nel quotidiano: Le mostra, nero su bianco, dove il Suo studio è solido e dove poggia ancora sulla fiducia tra le persone — e poi Le dà di che parlarne con serenità, sia con i Suoi clienti sia con il Suo fornitore. È il punto di partenza di un audit che Lei conduce, invece di subirlo — e il primo passo per rispondere, la prossima volta, senza esitare a quel cliente del venerdì sera.
