Un lunedì mattina Daniel A. varca la porta della sua officina e trova le macchine ferme. Gli schermi di supervisione mostrano un messaggio che non capisce, e Marc K., il suo referente informatico part-time, è già al telefono, pallido. Quella mattina nessuno sa ancora quanto costerà davvero l'attacco informatico — ed è proprio questa incertezza a fare più male.
Il costo di un attacco informatico è ben più del riscatto
Quando si parla di attacco informatico, si immagina un riscatto da pagare: una somma richiesta dai criminali per restituire l'accesso ai file. È l'immagine del ransomware (un programma che cifra i vostri dati, li rende illeggibili e poi esige un pagamento in cambio della chiave). Ma in una PMI industriale come quella di Daniel A., il riscatto non è quasi mai la voce di costo più pesante.
In un'azienda di lavorazione meccanica, una parte del sistema non assomiglia ai computer d'ufficio: sono le macchine stesse, i loro controllori e la postazione che le pilota — ciò che si chiama OT (le tecnologie «operative», in contrapposizione all'informatica d'ufficio). Questa postazione di supervisione gira spesso su un vecchio sistema che non viene più aggiornato, «perché il software della macchina non supporta nulla di più recente». E molto spesso l'officina e gli uffici condividono la stessa rete piatta. Il risultato: un'e-mail trappola aperta in contabilità può, passo dopo passo, raggiungere la macchina che lavora i pezzi. È questo che trasforma un normale incidente informatico in un fermo di produzione.
Una volta che l'officina è ferma, il conto cresce in silenzio, su più voci che non si vedono arrivare. È ciò che rende il costo di un attacco informatico così ingannevole: la cifra che fa notizia — il riscatto — è quasi sempre la fetta più piccola del totale. Il resto non compare da nessuna parte il lunedì mattina; si rivela giorno dopo giorno, mentre l'azienda cerca di tornare alla normalità. Per Marc K., che «spegne gli incendi» da solo, è anche un peso invisibile: ogni ora spesa a ricostruire è un'ora sottratta al resto dell'azienda.
La prima voce è il fermo di produzione. Una linea di lavorazione che non gira significa ordini in ritardo, scadenze promesse a un committente che non saranno rispettate, collaboratori pagati per aspettare. Questo costo non si misura in ore ma spesso in giorni: il tempo di capire, di ripulire, poi di rimettere tutto in moto. Per un'officina è quasi sempre la voce dominante — ben prima del riscatto.
La seconda è il ripristino tecnico. Rimettere in piedi i server, reinstallare le postazioni, ricostruire i dati a partire dai backup — quando esistono e funzionano davvero. Molte PMI scoprono proprio in quel momento che i loro backup non erano mai stati testati, oppure erano collegati alla stessa rete di tutto il resto e quindi cifrati anch'essi. Per tutto questo tempo, la fattura del fornitore esterno continua a correre.
La terza voce è la più silenziosa e la più duratura: la fiducia. Un committente che scopre che il suo subfornitore è stato paralizzato si chiede se i suoi disegni tecnici — la sua proprietà intellettuale — siano ancora riservati. Può esigere garanzie, rinviare un ordine, o semplicemente guardare altrove. Questo costo non figura su nessuna fattura, ma si paga nei mesi che seguono.
Si aggiunge infine la dimensione normativa. Se sono coinvolti dati personali — uno schedario clienti, dati del personale —, la nLPD (la legge svizzera sulla protezione dei dati) si aspetta che il titolare adotti misure di sicurezza adeguate e, in caso di violazione che possa comportare un rischio elevato per le persone, che la notifichi all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Gestire tutto questo nel pieno della crisi, senza averci pensato prima, aggiunge tempo e stress in un momento in cui entrambi già scarseggiano.
Nessuna di queste voci si lascia quantificare in anticipo con precisione, ed è proprio per questo che conviene ragionare in ordini di grandezza anziché in promesse. Ciò che si può dire senza sbagliare è la classifica: in una PMI che produce, il fermo pesa di più, il ripristino viene dopo, e la fiducia perduta è quella che impiega più tempo a ricostruirsi. Conoscere questa classifica dice già dove concentrare gli sforzi prima di un incidente, invece di scoprire tutto in una volta il giorno in cui arriva.
In parole semplici (Camille). La domanda giusta non è «quanto costa il riscatto», ma «quanto mi costa una giornata in cui non gira nulla, moltiplicata per il numero di giorni che mi servono per ripartire». Questa sola frase rimette il rischio al suo giusto posto — e non richiede alcuna competenza tecnica per rispondere.
Cosa tenere a mente
- Il vero costo di un attacco informatico è la somma di più voci invisibili: fermo di produzione, rimessa in funzione, fiducia dei clienti, obblighi di legge. Il riscatto, quando c'è, è spesso solo la punta dell'iceberg.
- Una PMI industriale è particolarmente esposta perché la sua officina e la sua informatica d'ufficio condividono spesso la stessa rete: un'infezione che parte da un'e-mail in contabilità può finire sulla macchina che lavora i pezzi.
- Questo costo non è una fatalità. Non lo si riduce mai a zero, ma lo si rende molto più sostenibile preparando, a mente fredda, ciò che si gioca sotto pressione.
I gesti da adottare questa settimana
1. Metti una cifra su una giornata di fermo
Prendetevi dieci minuti con il vostro responsabile di produzione. Quanti ordini fa slittare una giornata senza officina? Quante persone finiscono ad aspettare? Quell'importo, anche approssimativo, in franchi, è la vostra vera esposizione. Trasforma un rischio astratto in una decisione aziendale — e non richiede alcuno strumento informatico.
2. Chiedete di vedere un ripristino, non un backup
«Abbiamo i backup» non significa nulla finché non si è verificato di saper davvero risalire da quei backup. Come titolare, non dovete farlo voi stessi: chiedete semplicemente al vostro referente o al vostro fornitore di mostrarvi un file realmente ripristinato, e in quanto tempo. La risposta — o la sua assenza — vi dirà a che punto siete.
3. Scrivete la vostra rubrica di crisi prima della crisi
Su una sola pagina: chi chiamare se tutto si ferma. Il vostro fornitore informatico, la vostra assicurazione (con il numero di contratto), l'Ufficio federale della cibersicurezza (UFCS/NCSC), che riceve le segnalazioni, e l'IFPDT se sono coinvolti dati personali. Cercare questi numeri durante l'incidente significa perdere le ore che costano di più.
A che punto siete davvero?
Questi tre gesti non eliminano il rischio — nulla lo elimina — ma spostano il costo di un attacco informatico dall'ignoto al gestibile. Resta una domanda onesta: oltre a questi primi passi, dove la vostra organizzazione è davvero solida, e dove si regge sulla speranza che «qui non succederà»?
È esattamente ciò che l'autovalutazione Cyber Passport mette in chiaro, domanda dopo domanda, senza gergo. Non certifica nulla e non vi dichiara «protetti»: vi mostra nero su bianco i vostri punti di forza e i vostri punti ciechi, in un rapporto che potete condividere con un cliente o un revisore. Abbastanza per decidere, a mente fredda, cosa preparare prima del prossimo lunedì mattina difficile.
