Falsi miti sulla cybersicurezza (3/5): la password forte e il cloud

Nello studio di Sophie B., socia gerente di uno studio fiduciario svizzero, la password del software di contabilità è lunga, complicata — e nota a tutto il team, perché condividerla è più comodo che crearne una per ciascuno. Quando un cliente si preoccupa di come sono protetti i suoi dati fiscali, Sophie lo rassicura: « ci pensa il nostro fornitore IT, e comunque è tutto nel cloud ». Due risposte rassicuranti, due falsi miti sulla cybersicurezza che la espongono molto più di quanto immagini.

Due falsi miti sulla cybersicurezza in cui cadono le PMI

Uno studio fiduciario tratta alcuni dei dati più sensibili che una PMI possa detenere: contabilità, stipendi, dati fiscali e bancari di decine di clienti. Il segreto professionale non è un'opzione: è il cuore del mestiere. Eppure la sicurezza poggia spesso su due certezze ereditate dagli anni 2000, che gli aggressori di oggi sanno perfettamente aggirare. Eccole, spiegate senza gergo.

« Una password complicata basta »

L'idea sembra solida: una password lunga, con maiuscole, cifre e simboli, è difficile da indovinare. Vero. Il problema è che la maggior parte degli attacchi moderni non cerca più di indovinarla — la aggira.

Il phishing — una falsa e-mail che imita la vostra banca, il vostro software di contabilità o Microsoft e vi invita a « confermare il vostro accesso » — cattura la password nel momento esatto in cui la digitate, per quanto sia complicata. Il credential stuffing (la prova in massa di password già rubate su altri siti) sfrutta un'abitudine diffusa: riutilizzare la stessa password ovunque. Se quella della posta apre anche il software di contabilità, una sola fuga di dati apre entrambe le porte. E una password scritta su un foglietto adesivo o inviata in un'e-mail interna, per definizione, non è più un segreto.

C'è persino un effetto perverso: più si impongono password complicate e cambiate spesso, più le persone le annotano da qualche parte per non dimenticarle. La regola che dovrebbe proteggere finisce per indebolire.

Una buona password resta utile. Ma da sola è solo una serratura su una porta — efficace fino al giorno in cui qualcuno ottiene la chiave. La vera protezione consiste nell'aggiungere una seconda prova: è il ruolo dell'autenticazione a due fattori (MFA, per multi-factor authentication) — oltre alla password, un codice sul vostro telefono o una conferma in un'app. Anche rubata, la password da sola non basta più per entrare. Non è un lusso da esperti: è uno dei primissimi gesti che l'UFCS (NCSC), l'Ufficio federale della cibersicurezza, raccomanda alle PMI.

« Il cloud è per forza più rischioso del mio server »

Il riflesso opposto è altrettanto diffuso: « i miei dati sarebbero più al sicuro su un server qui, nel mio ufficio, che nel cloud ». Il cloud — servizi e file ospitati presso un fornitore anziché su una macchina nei vostri locali — inquieta proprio perché non lo si vede; è « da un'altra parte ».

Eppure l'esperienza del settore è costante: quando un incidente colpisce un ambiente cloud, molto raramente deriva da una falla nell'infrastruttura del fornitore. Deriva quasi sempre dal modo in cui il cliente lo ha configurato e amministrato — un accesso rimasto aperto, un ex collaboratore mai disattivato, una cartella condivisa resa pubblica per errore, l'assenza di autenticazione a due fattori. È il principio del modello di responsabilità condivisa: il fornitore mette in sicurezza le fondamenta (i server, gli edifici, la rete), e voi restate responsabili dei vostri accessi, delle vostre impostazioni e di chi può vedere cosa.

In parole chiare, come riassume Camille, la nostra consulente: la domanda giusta non è « cloud o non cloud », ma « chi fa cosa, ed è fatto bene? ». Anche il server « in casa » ha i suoi punti ciechi: qualcuno deve salvarlo, aggiornarlo e sorvegliarlo — tre compiti che, in uno studio senza IT interno, finiscono presto nel dimenticatoio. Un disco che si guasta o un locale allagato, e tutta la contabilità dei clienti sparisce.

Per uno studio dotato di una suite d'ufficio online, un cloud configurato correttamente — con accessi controllati e autenticazione a due fattori — protegge di solito meglio di un vecchio server sotto la scrivania che nessuno aggiorna più. A condizione di sapere dove sono ospitati i vostri dati: diversi fornitori consentono che i vostri dati aziendali siano in Svizzera, un argomento utile di fronte a un cliente attento alla nLPD, la legge svizzera sulla protezione dei dati.

Cosa ricordare

• La password non è l'ultima linea di difesa, è la prima. Per quanto complessa, può essere rubata con il phishing, riutilizzata o condivisa. Ciò che cambia davvero le carte in tavola è l'autenticazione a due fattori e il non riutilizzare mai la stessa password.
• Il cloud non è l'anello debole; spesso lo è la vostra configurazione. La sicurezza dipende da come gestite gli accessi, non dal solo fatto di ospitare i dati presso un fornitore o tra le vostre mura.
• Queste due convinzioni condividono un difetto: fanno poggiare tutta la sicurezza su un unico elemento — una password, o un luogo di archiviazione — mentre essa dipende sempre da una combinazione di gesti semplici e complementari.

I gesti da adottare questa settimana

1. Attivare l'autenticazione a due fattori sugli accessi critici

Cominciate dalla posta e dal software di contabilità — le due casseforti dello studio. L'autenticazione a due fattori si attiva in pochi minuti nelle impostazioni della maggior parte dei servizi professionali. Da sola, neutralizza la grande maggioranza dei furti di password.

2. Smettere di condividere le password

Una password nota a tutto il team non è più un segreto. Ciascuno deve avere le proprie credenziali; per evitare il ritorno del foglietto adesivo, un gestore di password (una cassaforte digitale che ricorda e compila le password al posto vostro) permette a ognuno di averne di uniche senza memorizzare nulla. Bonus: quando qualcuno lascia lo studio, si taglia il suo accesso, non « la » password di tutti.

3. Fare il punto sui vostri accessi cloud

Prendetevi trenta minuti per elencare chi ha accesso a cosa nei vostri strumenti online: ci sono vecchi account ancora attivi? Cartelle condivise con « tutti »? Account senza autenticazione a due fattori? Questa verifica, semplice e gratuita, corregge la maggior parte degli errori di configurazione all'origine degli incidenti. Annotate ciò che trovate: questo breve elenco diventerà il punto di partenza del vostro aggiornamento — e la prova, il giorno in cui un cliente ve lo chiede, che sapete esattamente chi accede ai suoi dati.

A che punto siete davvero?

Questi tre gesti non sono una questione di budget né di tecnica: richiedono soprattutto uno sguardo onesto sulle vostre abitudini. La parte difficile non è capirli, ma sapere da dove cominciare e cosa conta davvero per una PMI come la vostra.

È esattamente ciò che propone l'autovalutazione Cyber Passport. Non certifica nulla e non vi dichiara mai « conformi »: vi mostra, domanda dopo domanda, dove la vostra organizzazione è solida e dove poggia ancora su un falso mito sulla cybersicurezza, poi vi indica le priorità da affrontare. Quanto basta per trasformare due luoghi comuni in un piano chiaro.