Un cliente importante scrive a Sophie B.: prima di rinnovare il mandato, vorrebbe capire «come proteggete i miei dati». Socia gerente di uno studio fiduciario svizzero, Sophie sa quanto siano sensibili i suoi dossier – salari, dichiarazioni fiscali, coordinate bancarie di decine di PMI clienti – eppure si accorge che faticherebbe a rispondere. L'informatica, finora, «se ne occupa il fornitore». Da dove si inizia quando non si è né informatici né una grande impresa?
La cybersicurezza di una PMI è una questione di dati, non di dimensioni
La prima idea da abbandonare è quella che Sophie si è ripetuta per anni: «siamo troppo piccoli perché qualcuno se ne interessi». È falsa, e per una ragione rassicurante. La grande maggioranza degli attacchi non prende di mira nessuno in particolare. Sono campagne automatizzate che setacciano internet e si fermano dove una porta è socchiusa. L'aggressore non conosce il nome della sua azienda: conosce il valore di ciò che trova.
Uno studio fiduciario concentra esattamente ciò che si trasforma in denaro: coordinate bancarie, salari, identità, accessi a conti di terzi. Non è il suo fatturato a renderla interessante, è il suo patrimonio di dati. E questo valore è lo stesso che siate in quattordici o in quattrocento.
Il secondo riflesso da correggere è credere che la sicurezza viva altrove, «dal fornitore». Un fornitore esterno tiene in funzione le macchine; ma non ha il mandato di decidere chi, nel suo team, possa accedere a quale dossier, né di verificare ogni mese che i suoi backup tengano. La sicurezza non è una prestazione che si compra una volta: è una postura che si mantiene. Finché non appartiene esplicitamente a nessuno, non appartiene a nessuno.
Due parole ricorrono spesso e meritano una definizione semplice. Il phishing è un'e-mail o un SMS che imita un mittente affidabile – una banca, un fornitore, un collega – per farle cliccare, pagare o consegnare una password. Il ransomware è un programma che cifra i suoi file e chiede un riscatto per renderli di nuovo leggibili; di solito entra con un semplice clic. Queste due minacce rappresentano la maggior parte di ciò che colpisce davvero le PMI, e nessuna richiede che lei sia un bersaglio designato.
Infine, c'è un quadro da conoscere – non per spaventarsi, ma per collocarsi. Da settembre 2023, la nuova legge svizzera sulla protezione dei dati (nLPD) si attende che ogni organizzazione che tratta dati personali adotti misure di sicurezza «adeguate» e annunci una violazione grave all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). La nLPD non impone un software preciso; la rende responsabile di aver riflettuto e agito in proporzione alla sensibilità dei suoi dati. Per Sophie, i cui dossier toccano il segreto d'affari dei clienti, è un buon stimolo: iniziare significa già rispondere a questa aspettativa.
La buona notizia: non è sola di fronte a queste domande. L'Ufficio federale della cybersicurezza (UFCS, anche NCSC) pubblica raccomandazioni concrete pensate per le PMI svizzere, gratuite e regolarmente aggiornate. È la prima risorsa ufficiale a cui rivolgersi quando sorge un dubbio tecnico, piuttosto che il primo articolo che capita. Collocarsi significa anche sapere dove trovare un'informazione affidabile.
Cosa portare a casa
Tre idee bastano a cambiare postura, ancora prima della prima misura tecnica.
- È un bersaglio per ciò che detiene, non per le sue dimensioni. I dati di una PMI di servizi si monetizzano subito, e gli attacchi non selezionano in base agli effettivi.
- La sicurezza è un'abitudine, non un acquisto. Poche abitudini ben tenute coprono la parte maggiore del rischio quotidiano. Non si tratta di blindare tutto in una volta, ma di chiudere prima le porte più usate.
- Si inizia senza budget e senza informatico. I primissimi passi sono organizzativi: sapere cosa si protegge e chi vi accede. È gratuito, ed è la base di tutto il resto.
In altre parole, «da dove iniziare» non è una questione di mezzi. È una questione di ordine: fare le cose giuste nella giusta sequenza, partendo dalla più semplice e dalla più redditizia.
I gesti da mettere in atto questa settimana
Tre azioni, realizzabili senza competenza tecnica e senza spesa. Non risolvono tutto – ed è proprio per questo che sono il punto di partenza di una tabella di marcia.
1. Fare l'inventario di ciò che conta davvero
Si protegge bene solo ciò che si è nominato. Prenda un foglio e elenchi, senza strumenti, le tre o quattro cose la cui perdita o fuga sarebbe più grave: il software di contabilità, la casella di posta, i dossier dei clienti, l'accesso alla banca online. Per ciascuna, annoti una sola informazione: chi, nel team, può accedervi oggi? Questo esercizio di un'ora rivela quasi sempre delle sorprese – un account condiviso che usano tutti, un accesso rimasto aperto per un collaboratore che se n'è andato, un dossier sensibile posato in uno spazio visibile a tutti. Non corregge ancora nulla: rende visibile ciò che era confuso. È la mappa senza la quale nulla di ciò che segue ha senso.
2. Attivare l'autenticazione a due fattori (MFA)
L'autenticazione a due fattori (MFA, per multi-factor authentication) aggiunge alla password una seconda prova – di solito un codice sul suo telefono o una conferma in un'applicazione. In concreto, anche se qualcuno indovina o ruba la sua password, non può entrare senza il suo telefono. A sforzo quasi nullo, è la misura che blocca il maggior numero di intrusioni. Cominci dall'account più esposto: la casella di posta professionale, la porta d'ingresso a quasi tutto il resto. La maggior parte dei servizi la attiva in pochi minuti nelle impostazioni di sicurezza, senza installare altro. Poi la estenda, un account dopo l'altro, ai suoi accessi sensibili.
3. Porre la domanda giusta sui suoi backup
«Abbiamo dei backup» è una frase che Sophie ha sentito mille volte, senza aver mai visto la prova che funzionino. Il gesto della settimana non è riconfigurare tutto, è porre tre domande al suo fornitore – e ottenere la risposta per iscritto. Dove sono i miei backup? A quando risale l'ultimo ripristino realmente testato? Quanto tempo servirebbe per recuperare i miei dossier se domani mattina tutto fosse perso? Un backup che non si è mai riusciti a ripristinare non è un backup, è una supposizione. Questa semplice conversazione le dirà dove si trova davvero, senza che lei tocchi una sola impostazione.
Dove si trova davvero?
Questi tre passi sono un inizio, non un piano. Chiudono le porte più frequenti, ma la vera domanda di Sophie – in quale ordine affrontare il resto nei prossimi mesi, e fino a dove spingersi – richiede una tabella di marcia. È proprio ciò che un articolo non contiene: il «come» dettagliato, passo dopo passo, con priorità e punti di controllo, vive nel blueprint dedicato.
Prima di arrivarci, occorre sapere dove ci si trova. L'autovalutazione Cyber Passport le mostra, domanda dopo domanda, dove la sua organizzazione è solida e dove poggia sulla fiducia o sull'abitudine. Non certifica nulla e non la dichiara conforme a nulla: struttura una fotografia onesta, che può condividere con un cliente o un revisore che le chiede, come a Sophie, «come proteggete i miei dati?». Avviare la cybersicurezza di una PMI non significa risolvere tutto in una settimana – significa darsi una mappa e poi avanzare nel giusto ordine.
