Due anni fa Daniel A. ha spostato nel cloud la posta e le cartelle condivise della sua officina di lavorazione meccanica. « Almeno adesso è presso un grande fornitore, alla sicurezza ci pensano loro », si era detto, sollevato di essersi liberato del vecchio server che ronzava in uno sgabuzzino. È andata così fino alla mattina in cui un link di condivisione rimasto aperto ha esposto un disegno tecnico a chiunque disponesse dell'indirizzo — e Marc K., il suo referente informatico a mezza giornata, ha dovuto spiegargli che no, chiudere quel link non spettava al fornitore.
La responsabilità condivisa nel cloud, in chiaro
Il cloud non è magia: sono semplicemente server ospitati da un fornitore — Microsoft, Google, un host svizzero — a cui si accede tramite Internet, invece di tenere la propria macchina in sede. Quando una PMI mette la posta, i file o il software di produzione « nel cloud », non trasferisce tutta la sicurezza al fornitore. Entra in una ripartizione dei ruoli che il settore chiama responsabilità condivisa: il fornitore protegge l'infrastruttura, lei protegge i suoi accessi e i suoi dati.
L'immagine più semplice è quella di una cassetta di sicurezza in banca. La banca garantisce i muri, la porta blindata, gli allarmi, la sorveglianza dell'edificio. Ma è lei a scegliere il codice, a decidere a chi affidare una chiave e a decidere cosa mettere all'interno. Se lascia la chiave sul bancone, la banca non c'entra. Il cloud funziona esattamente così.
Il fornitore si occupa di tutto ciò che sta « sotto »: i centri dati, l'energia, l'hardware, la manutenzione dei server, la protezione fisica dei locali. È enorme, e nessuna PMI potrebbe farlo altrettanto bene da sola. Ma tutto ciò che sta « sopra » resta suo: chi possiede un account, con quale password, chi può vedere quale cartella, cosa condivide verso l'esterno e cosa fa delle sue copie di backup.
Questa linea di separazione si sposta un po' a seconda del servizio. Quando affitta solo potenza di calcolo grezza — ciò che il settore chiama IaaS, « l'infrastruttura su richiesta » —, gestisce quasi tutto ciò che vi gira sopra. Quando usa un software pronto all'uso, come una posta o una suite d'ufficio — il SaaS, « il software come servizio » —, il fornitore ne gestisce di più. Ma una costante non cambia mai: i suoi account, i suoi diritti di accesso e i suoi dati non sono, in nessun caso, responsabilità del fornitore.
L'equivoco di Daniel A. è il più diffuso di tutti gli equivoci sul cloud. « È presso un grande fornitore » rassicura sulla solidità della cassetta — non sulla chiave lasciata sul bancone. E nei fatti, la grande maggioranza degli incidenti cloud non deriva da un'intrusione nei server del fornitore, ma da un'impostazione trascurata: una condivisione troppo aperta, un account dimenticato, una seconda verifica mai attivata.
L'Ufficio federale della cibersicurezza (UFCS, noto anche con la sigla NCSC) pubblica raccomandazioni pratiche per le PMI che vanno esattamente in questa direzione: il cloud è una buona decisione, a condizione di sapere cosa spetta a lei. Anche i riferimenti riconosciuti come la ISO 27001:2022 — la norma che i grandi committenti citano spesso, anche nell'orologeria — descrivono queste misure di accesso e di protezione dei dati come compito del cliente, mai del solo fornitore. In altri termini: il giorno in cui un cliente le chiederà come protegge i suoi disegni nel cloud, la risposta giusta non sarà « ci pensa il fornitore », ma l'elenco di ciò che lei ha messo in atto.
Cosa tenere a mente
- Il fornitore protegge l'infrastruttura, lei protegge i suoi accessi e i suoi dati. È la frase da appendere sopra lo schermo. Il cloud non elimina la sua parte di sicurezza; la sposta su ciò che controlla direttamente — gli account, i diritti, le condivisioni.
- La maggior parte degli incidenti cloud deriva da un'impostazione, non da un exploit. Una condivisione troppo aperta, un account senza seconda verifica, un ex collaboratore ancora attivo: sono le sue impostazioni, quindi la sua responsabilità. La buona notizia è che sono anche le più facili ed economiche da correggere.
- In Svizzera la legge la considera responsabile. La nLPD — la nuova legge federale sulla protezione dei dati, in vigore da settembre 2023 — ritiene l'azienda responsabile dei dati che detiene, anche quando sono ospitati altrove. Affidare i propri dati a un fornitore non trasferisce questa responsabilità. I suoi dati aziendali possono essere ospitati in Svizzera se lo richiede, ma sta a lei verificarlo nel contratto, non al fornitore indovinarlo.
I gesti da adottare questa settimana
1. Faccia l'elenco di chi ha accesso a cosa
Apra il suo spazio cloud principale — posta e file condivisi — e guardi, senza alcuno strumento speciale, chi possiede un account e chi può accedere alle cartelle sensibili: da Daniel A. sono i disegni di lavorazione affidati dai clienti. Quasi sempre troverà l'account di un ex collaboratore ancora attivo, o una cartella « visibile a tutta l'azienda » che non dovrebbe esserlo. Chiuda ciò che non ha ragione di essere aperto. È gratuito, non richiede un informatico ed è il gesto che elimina più rischio in una sola mattinata.
2. Attivi l'autenticazione a due fattori sugli account
L'autenticazione a due fattori (MFA) aggiunge, oltre alla password, una seconda prova — di solito un codice o una conferma sul telefono. Una password rubata non basta più per entrare. La attivi in via prioritaria sugli account di direzione e su quelli che riguardano pagamenti e dati dei clienti. È l'impostazione che, da sola, blocca la grande maggioranza delle intrusioni tramite password rubata, e la maggior parte dei fornitori cloud la offre senza costi aggiuntivi.
3. Riprenda il controllo di condivisioni e backup
Passi in rassegna i link di condivisione impostati su « accessibile a chiunque abbia il link »: li sostituisca con condivisioni nominative, con una data di scadenza quando possibile. Poi si ponga la domanda che Marc K. si pone sempre troppo tardi: se una cartella cloud viene cancellata o cifrata per errore, si riesce a recuperarla? Il fornitore garantisce il buon funzionamento dei suoi server, non necessariamente una copia dei suoi file cancellati oltre qualche giorno. Un backup che le appartiene — una copia dei suoi dati che lei controlla — resta la sua rete di sicurezza.
A che punto è davvero?
La responsabilità condivisa non è un vincolo in più: è un chiarimento. Una volta che si sa dove passa la linea — il fornitore per l'infrastruttura, lei per gli accessi e i dati —, la sicurezza cloud di una PMI torna a essere un elenco di impostazioni gestibili, e non un tema riservato ai grandi gruppi con un intero reparto informatico.
Resta una domanda onesta: su questa linea di separazione, a che punto è davvero? L'autovalutazione Cyber Passport non certifica nulla e non promette alcuna conformità: le mostra, punto per punto, cosa spetta a lei nel suo cloud, cosa è già in atto e cosa poggia ancora su un « pensavo fosse gestito ». È il punto di partenza per riprendere il controllo — senza gergo e senza passarci le serate.
