Un lunedì mattina, Sophie B. arriva allo studio fiduciario e il software di contabilità si rifiuta di aprirsi. Gli stipendi di un cliente devono partire nel pomeriggio, un altro attende la sua dichiarazione IVA. In quell'ora di attesa, mette per la prima volta in parole una cosa evidente: tutta l'attività dello studio dipende da una manciata di strumenti che devono funzionare — e dalla fiducia di clienti che le affidano le loro cifre più delicate.
Quella mattina era solo un aggiornamento andato male. Ma la domanda che resta è quella giusta: per una piccola impresa, che cosa succede il giorno in cui gli strumenti non rispondono più? La cybersicurezza non è, prima di tutto, una questione tecnica. È una questione di continuità operativa e di fiducia. E, contrariamente a quanto si crede spesso, è un tema che si affronta a piccoli passi.
La cybersicurezza è anzitutto una questione di continuità operativa
Parliamo chiaro. La continuità operativa è semplicemente la sua capacità di continuare a lavorare — o di ripartire in fretta — quando qualcosa si rompe: un guasto, un blocco, un errore umano, un incidente di sicurezza. Non è un concetto da informatici. Risponde a una domanda molto concreta: «Se quello strumento si ferma domani mattina, posso comunque servire i miei clienti questo pomeriggio?»
Per uno studio fiduciario la risposta è vitale, perché lo studio non vende un prodotto che si può rifare più tardi. Vende due cose: affidabilità e riservatezza. Un cliente le affida i suoi stipendi, i suoi conti, i suoi dati fiscali perché confida che sarà puntuale e che le sue cifre non finiranno in giro. Il giorno in cui un sistema si blocca — o peggio, dei dati fuoriescono — non è soltanto un fastidio tecnico: è la promessa fatta al cliente che si incrina.
Il punto spesso frainteso è che la maggior parte delle interruzioni non ha nulla di spettacolare. Non è per forza un attacco da film. È una postazione cifrata da un software dannoso (il cosiddetto ransomware — un programma che blocca i suoi file e chiede un riscatto), una casella di posta violata perché una password era in giro, un backup che tutti credevano valido e che poi non si ripristina. In altre parole: situazioni ordinarie, che diventano gravi solo quando alcune semplici abitudini non sono state adottate.
Molti titolari di PMI danno per scontato che «l'informatica la gestisce il fornitore». I fornitori svolgono spesso un buon lavoro su ciò che viene loro chiesto — ma intervengono su richiesta; non sono lì per decidere, al suo posto, che cosa conta per la sua attività. La continuità resta una decisione del titolare: è lei a sapere che gli stipendi del 25 non possono attendere.
C'è una seconda dimensione, più discreta ma altrettanto decisiva: la fiducia. Un cliente che scopre che il suo studio è rimasto senza accesso ai documenti per tre giorni non ricorda la causa tecnica — ricorda che non ha potuto contare su di lei. E un cliente che dubita della sicurezza dei propri dati non sempre lo dice: se ne va al rinnovo, in silenzio. Al contrario, una piccola impresa capace di rispondere con calma alla domanda «che cosa succede se si verifica un incidente?» rassicura e si distingue. Vista così, la cybersicurezza non è un costo difensivo: è un segno di serietà.
Che cosa ricordare
Bastano tre idee per cambiare sguardo sul tema.
La cyber non è un tema IT, è un tema di continuità e di fiducia. La vera domanda non è «sono all'avanguardia tecnologica?» ma «la mia attività regge se uno strumento cade, e i miei clienti possono continuare a fidarsi di me?». Formulato così, il tema torna a essere suo, non di uno specialista.
La maggior parte dei rischi si riduce con abitudini semplici. Si immaginano budget importanti e progetti pesanti. Nei fatti, le misure che proteggono meglio una piccola impresa sono poco costose e riguardano soprattutto le abitudini: sapere da cosa dipende la sua attività, proteggere i suoi accessi, verificare i suoi backup. È gestibile, e non richiede di essere informatici.
In Svizzera la legge chiede il proporzionato, non il perfetto. La nLPD — la nuova legge federale svizzera sulla protezione dei dati, in vigore da settembre 2023 — chiede a qualsiasi organizzazione che detiene dati personali di adottare misure di sicurezza «adeguate». La parola conta: adeguate alla sua dimensione e ai suoi mezzi. Nessuno si aspetta da un piccolo studio il dispositivo di una banca. Ci si aspetta basi solide e scelte consapevoli.
Abitudini da adottare questa settimana
Ecco da dove cominciare, senza budget particolare e senza competenze tecniche. Tre abitudini, realizzabili in poche ore distribuite nella settimana.
1. Sapere da cosa dipende la sua attività
Prenda un foglio ed elenchi ciò senza cui lo studio si ferma: il software di contabilità, la posta, l'accesso ai dossier dei clienti, il sistema degli stipendi. Per ciascuno annoti due cose: dove sono i dati (su un server svizzero? presso un fornitore? su una postazione?) e chi chiamare se cade. Questo elenco sta su una pagina. Il giorno di un incidente vale oro, perché trasforma il panico in una sequenza di passi noti. È anche la base di tutto ciò che segue: si protegge bene solo ciò che si è prima reso visibile.
2. Proteggere gli accessi con l'autenticazione a due fattori
L'autenticazione a due fattori (spesso chiamata MFA) consiste nel richiedere, oltre alla password, una seconda prova — di solito un codice o una conferma sul suo telefono. In pratica, anche se una password viene indovinata o rubata, la porta resta chiusa. La attivi come priorità sulla posta e sul software gestionale, dove transitano i dati dei clienti. La maggior parte dei servizi professionali come Microsoft 365 la offre senza costi aggiuntivi: è una questione di impostazione, non di investimento. La chieda questa settimana al suo fornitore e la renda la regola per tutti, soci compresi.
3. Verificare di poter davvero ripartire
«Abbiamo i backup» è una frase rassicurante — e insufficiente. Un backup vale qualcosa solo se si ripristina. L'abitudine concreta: chieda che venga testato un ripristino reale, cioè che un file recente venga effettivamente recuperato dal backup, per verificare che torni e che sia completo. Annoti la data del test. Se nessuno sa dirle quando è stato tentato l'ultimo ripristino, ha appena individuato il suo punto debole più importante — e il più facile da correggere.
A che punto è davvero?
Queste tre abitudini la mettono in movimento, ma non rispondono alla domanda di fondo: su tutta la sua attività, dov'è solida e dove si affida ancora alla fortuna o alla fiducia tra le persone? È esattamente ciò che fa un'autovalutazione Cyber Passport. Non certifica nulla e non promette alcuna conformità: le mostra, domanda dopo domanda, lo stato reale della sua continuità operativa e della sua protezione dei dati, poi la aiuta a stabilire le priorità. Ottiene un quadro chiaro, che può anche condividere con un cliente o un revisore che le chiede «come protegge i miei dati?».
Cominciare non significa risolvere tutto in una volta. Significa sapere a che punto è e procedere nell'ordine giusto. È gestibile — ecco il punto di partenza.
