Un lunedì mattina, Sophie B. riceve il messaggio di un "fornitore" che annuncia, come nulla fosse, un cambio di coordinate bancarie per la prossima fattura. Il logo è corretto, il tono è cortese, la richiesta sembra banale. Quel giorno non è stato un firewall a proteggere il suo studio fiduciario: è stata una collaboratrice che ha alzato il telefono per verificare con il contatto reale. In una PMI la cybersicurezza è affare di tutti, molto prima di essere una questione informatica.
Perché la cybersicurezza è prima di tutto affare di tutti
Immaginiamo spesso la sicurezza come un muro tecnico: un firewall, un antivirus, un fornitore esterno che "gestisce l'informatica". Questi strumenti sono necessari, ma proteggono qualcosa che gli aggressori non prendono quasi mai di mira per primo — le macchine. Ciò che prendono di mira è una persona, un momento di distrazione, un'abitudine.
La maggior parte degli attacchi che colpiscono una PMI svizzera comincia con un gesto umano del tutto ordinario: cliccare un link, aprire un allegato, approvare un bonifico, rispondere a una richiesta urgente. È ciò che si chiama ingegneria sociale: invece di forzare una porta tecnica, l'aggressore manipola la fiducia, l'urgenza o la routine per ottenere ciò che vuole. La sua forma più comune è il phishing — un messaggio che si spaccia per un interlocutore legittimo (un fornitore, una banca, un collega, la direzione) per farvi agire in fretta e senza riflettere.
In uno studio fiduciario questa realtà è particolarmente delicata. I dati che transitano ogni giorno — contabilità, salari, informazioni fiscali e bancarie di decine di clienti — non hanno prezzo per un truffatore. E non passano solo dal computer dell'informatico: passano dalla casella di posta della reception, dal foglio condiviso della contabile, dal telefono del socio che approva un pagamento tra due appuntamenti. Ogni funzione tratta informazioni sensibili, quindi ogni funzione fa parte della difesa.
Il miglior strumento del mondo non sostituisce questo riflesso umano. Un messaggio di phishing ben scritto supera i filtri se nessuno, in fondo alla catena, si prende un secondo per dubitare. Al contrario, un team che sa esitare al momento giusto recupera ciò che la tecnica lascia passare. Per questo la sicurezza si basa prima di tutto su due cose molto poco tecniche: i comportamenti quotidiani di ciascuno e la governance — le semplici decisioni che la direzione prende per organizzare chi fa cosa e con quali regole.
Questo cambio di prospettiva cambia tutto per una piccola realtà. Finché si vede la sicurezza come un problema informatico, la si delega a un fornitore e la si dimentica — fino al giorno in cui qualcosa va storto. Non appena la si vede come un problema di organizzazione, entra nel campo che una direzione sa gestire: fissare regole, parlarne con il team, decidere chi approva cosa. Una PMI non ha bisogno di un esperto interno per progredire; ha bisogno che alcune buone abitudini diventino la norma condivisa. È rassicurante, perché mette la sicurezza alla portata di tutti, senza gergo e senza investimenti pesanti.
Cosa ricordare
La tecnologia è necessaria, ma non basta. Firewall e antivirus fanno la loro parte, ma non decidono al posto di un collaboratore di fretta. La vera sicurezza di una PMI si gioca in una serie di piccole decisioni umane, ogni giorno, a ogni livello.
La responsabilità è condivisa — ed è una buona notizia. Se la sicurezza fosse solo affare del fornitore, una PMI senza IT interno sarebbe sguarnita. Non è così: le misure più efficaci (verificare, parlarsi, segnalare) non richiedono né budget né competenze tecniche. Richiedono un'abitudine collettiva, sostenuta dalla direzione.
In Svizzera, la legge si aspetta proprio questo. La nLPD — la legge federale sulla protezione dei dati, in vigore da settembre 2023 — chiede a ogni azienda che detiene dati personali di adottare misure di sicurezza "adeguate". Queste misure sono tanto organizzative (regole chiare, collaboratori sensibilizzati) quanto tecniche. In altre parole, la legge stessa considera la cybersicurezza una questione di governance, non solo di informatica. Sul piano pratico, l'Ufficio federale della cibersicurezza (UFCS, noto con la sigla NCSC) pubblica regolarmente consigli per le PMI — e anche lì si parla tanto di riflessi umani quanto di impostazioni tecniche.
Abitudini da adottare questa settimana
Nessuna di queste azioni richiede un budget, un software o l'intervento di un fornitore. Richiedono una decisione della direzione e una conversazione con il team.
1. Nominare un referente e dirlo ad alta voce
Designate una persona — non necessariamente la più tecnica — come punto di contatto per la "sicurezza". Il suo ruolo non è sapere tutto, ma essere colei a cui ci si rivolge in caso di dubbio: un messaggio strano, una chiamata che sembra falsa, una chiavetta USB trovata nel parcheggio. Annunciatelo a tutto il team. Il semplice sapere a chi rivolgersi trasforma un dubbio isolato in un riflesso collettivo. È il primo atto di governance, ed è gratuito.
2. Introdurre la regola "verifico su un altro canale"
Ogni richiesta sensibile ricevuta per iscritto — un cambio di coordinate bancarie, un bonifico insolito, l'invio urgente di un documento riservato — si verifica tramite un secondo canale scelto da voi e non dal mittente. Si riaggancia e si richiama il numero conosciuto; non si risponde all'e-mail, si telefona. Questa regola sta in una frase, vale per tutti e neutralizza gran parte delle frodi che puntano sull'urgenza. È esattamente il riflesso che ha salvato lo studio di Sophie B.
3. Fare della segnalazione un riflesso, mai una colpa
Il peggior nemico della sicurezza non è l'errore: è il silenzio che lo segue. Un collaboratore che ha cliccato su un link sbagliato e lo dice entro un minuto permette di reagire; chi teme di essere biasimato lascia crescere il problema per tutto il fine settimana. Dite chiaramente, una volta, che segnalare un errore è un buon gesto e non una sciocchezza da nascondere. Questa frase, pronunciata dalla direzione, vale più di molti strumenti. Per radicarla, concordate un canale semplice — una parola a voce, un messaggio al referente — e ringraziate sempre chi segnala, anche quando l'allarme si rivela innocuo. È così che un riflesso si consolida: rendendolo comodo.
A che punto siete davvero?
Queste tre abitudini appartengono alla sensibilizzazione e alla governance — due ambiti in cui spesso non si sa a che punto si è finché non ci si pone le domande giuste. È esattamente ciò che propone l'autovalutazione Cyber Passport: non certifica nulla e non rilascia alcuna etichetta; vi mostra, domanda dopo domanda, dove la vostra organizzazione è solida e dove poggia ancora solo sulla buona volontà di ciascuno.
Poiché la cybersicurezza resterà sempre affare di tutti, il vero punto di partenza non è comprare un altro strumento, ma rendere visibili i vostri punti ciechi. Per andare oltre e costruire un piano di sensibilizzazione concreto, adatto a una PMI svizzera, il nostro blueprint dedicato vi indica la strada, passo dopo passo.
