Un venerdì sera, Sophie B. rilegge la richiesta di un fornitore che chiede di aggiornare le proprie coordinate bancarie. A prima vista non c'è nulla di strano: l'e-mail è curata, il logo è quello giusto. Come spesso accade, si rassicura con un «tanto, l'informatica la gestisce il fornitore». In questo riflesso molto umano si nascondono due false credenze sulla cybersicurezza — ed è proprio a causa loro che le PMI svizzere pagano il prezzo più alto.
Due false credenze sulla cybersicurezza che espongono la tua PMI
Una società fiduciaria tratta ciò che un'impresa ha di più sensibile: contabilità, salari, dati fiscali e bancari di decine di clienti. Eppure la sicurezza vi poggia spesso su due convinzioni comode che, messe insieme, lasciano la porta socchiusa. Guardiamole in faccia, senza drammatizzare.
«La sicurezza la gestisce il fornitore»
Molte PMI senza informatico interno affidano la propria infrastruttura a un fornitore esterno e ne concludono di non doversene più preoccupare. È confondere due cose diverse: delegare un compito non significa trasferire una responsabilità.
Ai sensi della nLPD — la legge svizzera sulla protezione dei dati, in vigore da settembre 2023 — resta lei, come impresa che decide l'uso dei dati dei propri clienti, il «titolare del trattamento». In altre parole, se i suoi dati vengono sottratti, la responsabilità resta sua, anche quando i sistemi erano gestiti da qualcun altro. Il fornitore, agli occhi della legge, è un «responsabile del trattamento»: esegue, ma non porta il suo obbligo di proteggere.
La nLPD non si ferma qui: si attende una sicurezza «adeguata» ai rischi e prevede che una violazione dei dati possa dover essere notificata all'Incaricato federale della protezione dei dati. In concreto, un cliente danneggiato non chiederà «chi gestiva il server?», ma «aveva adottato misure ragionevoli?». Affidarsi interamente a un terzo, senza mai verificare ciò che fa, non è una misura ragionevole: è un'ipotesi. E un'ipotesi non protegge né i suoi clienti né la sua responsabilità.
Il secondo punto cieco è più concreto. Un fornitore mal inquadrato crea una falsa sicurezza. Grandi organizzazioni sono state violate non per una falla propria, ma attraverso gli accessi di un fornitore mal protetto, usati come porta d'ingresso verso la rete principale. Per una PMI la logica è la stessa su scala ridotta: il suo fornitore ha accessi estesi ai suoi sistemi. Se quegli accessi sono mal gestiti, diventano il suo punto debole — senza che lei l'abbia mai deciso.
Il problema non è avere un fornitore: è del tutto ragionevole, e spesso la scelta migliore. Il problema è non sapere che cosa copre davvero. Chi verifica che i backup funzionino? Chi installa gli aggiornamenti di sicurezza, e con quale cadenza? Chi si chiama, una domenica sera, se qualcosa va storto? Finché queste risposte vivono in un «pensavo fosse gestito», nessuno le porta.
«Un attacco si vede subito»
La seconda falsa credenza è ancora più tenace: immaginiamo un cyberattacco come uno schermo rosso, un computer che si rifiuta di avviarsi, un allarme evidente. Nei fatti, gli attacchi più costosi sono silenziosi.
Un intruso che riesce a rubare una password non rompe nulla. Si collega come un utente normale, legge le e-mail, osserva chi parla con chi, individua le abitudini di pagamento. Gli specialisti chiamano «tempo di permanenza» (in inglese dwell time) il periodo durante il quale un aggressore resta in un sistema prima di essere scoperto. Si misura spesso in settimane, a volte in mesi.
In parole chiare, come riassume Camille, la nostra consulente cyber: il silenzio non è la prova che tutto vada bene. Molto spesso è la firma di un attacco ben condotto. Il momento in cui «si vede» — un bonifico partito, file cifrati, un cliente che segnala un'e-mail strana dal suo indirizzo — arriva alla fine della storia, non all'inizio.
Per una società fiduciaria, questo ritardo invisibile è particolarmente pericoloso: basta che un aggressore capisca i suoi circuiti di fatturazione per inserire, al momento giusto, una falsa richiesta di cambio di coordinate bancarie che non sorprende nessuno. La discrezione non è un dettaglio tecnico: è il cuore del modello di business dei truffatori.
Che cosa ricordare
- La responsabilità dei suoi dati non si può delegare. Può affidare la gestione tecnica, ma l'obbligo di proteggere resta suo. Un fornitore è un partner da inquadrare, non un ombrello giuridico.
- Il silenzio non è la prova che tutto vada bene. Gli attacchi efficaci sono concepiti per restare invisibili il più a lungo possibile. Non vedere un incidente non significa che non ce ne sia uno.
- Questi due punti ciechi si sommano. Credere che «il fornitore gestisce» e pensare che «un attacco lo vedremmo» significa non sorvegliare né la porta, né ciò che accade una volta varcata.
I gesti da adottare questa settimana
1. Mettere per iscritto chi fa cosa con il suo fornitore
Prenda una pagina. Scriva nero su bianco, insieme al suo fornitore, ciò che copre e ciò che non copre: backup e test di ripristino, aggiornamenti di sicurezza, monitoraggio degli accessi e soprattutto il numero da chiamare in caso di incidente. Bastano tre domande per iniziare: «Che cosa salvate esattamente, e l'avete mai testato?», «Chi ha accesso da noi, e da quando?», «Che cosa facciamo, concretamente, se la chiamo una domenica?». L'Ufficio federale della cibersicurezza (UFCS / NCSC) raccomanda proprio di definire per iscritto ciò che fa un fornitore.
2. Rendere gli attacchi silenziosi meno silenziosi
Probabilmente usa già Microsoft 365: sa segnalare un accesso insolito (un Paese lontano, un orario improbabile). Chieda di attivare questi avvisi e, soprattutto, indichi chi li guarda. Attivi anche l'autenticazione a due fattori (MFA) — oltre alla password, una seconda prova, per esempio un codice sul suo telefono: è ciò che impedisce a una password rubata di bastare. Un accesso che non dipende più dalla sola password, e avvisi che qualcuno legge davvero, riducono di colpo il tempo in cui un intruso resta inosservato.
3. Installare un riflesso di verifica per il denaro
Ogni richiesta insolita che riguarda un pagamento — un cambio di coordinate bancarie, un bonifico urgente — si verifica su un canale conosciuto: richiama il fornitore al numero che ha già nei suoi archivi, mai quello indicato nell'e-mail. Aggiunga una verifica trimestrale di cinque minuti: «chi ha accesso a cosa, da noi e presso i nostri fornitori?». Questi due riflessi non costano nulla e chiudono la porta che le due false credenze lasciavano aperta.
A che punto è davvero?
Smontare queste false credenze sulla cybersicurezza è già un passo avanti — ma una convinzione rassicurante non sostituisce un quadro chiaro della situazione. La domanda onesta non è «sono protetto?», ma «che cosa, nella mia organizzazione, poggia ancora su un'ipotesi mai verificata?».
È esattamente ciò che struttura l'autovalutazione Cyber Passport. Non certifica nulla e non la dichiara «conforme»: domanda dopo domanda, le mostra dove la sua organizzazione è solida e dove poggia su un «pensavo fosse gestito». Abbastanza per trasformare due false credenze in un piano chiaro.
