Sophie B. dirige una fiduciaria nella Svizzera romanda. Il mese scorso un cliente le ha chiesto, quasi di sfuggita: "Siete in regola con la protezione dei dati, vero?" Ha risposto di sì, sollevata di aver aggiornato il proprio registro l'anno prima. Poi l'ha raggiunta un dubbio sommesso: e se "in regola" non volesse dire "al sicuro"? Per chiudere questa serie sui falsi miti sulla cybersicurezza, ecco le ultime due idee sbagliate — le più rassicuranti in apparenza, e perciò le più rischiose.
Perché questi due falsi miti sulla cybersicurezza costano cari
I primi otto miti della serie ruotavano tutti attorno allo stesso riflesso: "capita solo agli altri". Gli ultimi due sono più sottili, perché si appoggiano a qualcosa di vero — un passo già compiuto — per giustificare il fermarsi lì.
Il primo è credere che essere in ordine con la legge equivalga a essere protetti. In Svizzera, la nLPD — la nuova legge federale sulla protezione dei dati, in vigore da settembre 2023 — chiede a una PMI che detiene dati personali di adottare misure di sicurezza "adeguate" e di notificare una violazione all'autorità federale (l'IFPDT, Incaricato federale della protezione dei dati e della trasparenza) il più presto possibile. Se i vostri clienti operano nell'Unione europea, si aggiunge il GDPR con il suo termine di notifica di 72 ore.
Ma una legge descrive un quadro, non la vostra postura tecnica di un dato giorno. Un registro aggiornato e un'informativa ben scritta non bloccano un'e-mail-trappola, non attivano l'autenticazione a due fattori (MFA — oltre alla password, una seconda prova di identità, per esempio un codice sul telefono) e non testano i vostri backup. Conformità e sicurezza sono cantieri vicini ma distinti: uno risponde a "stiamo rispettando i nostri obblighi?", l'altro a "che cosa ci protegge davvero se qualcuno ci prova stasera?". Potete spuntare ogni casella giuridica e restare vulnerabili per un software mai aggiornato, una password condivisa o un collaboratore mai sensibilizzato. E la conformità è un'istantanea: descrive una situazione a una data, mentre le minacce continuano a evolvere ogni settimana.
Un esempio eloquente: una fiduciaria può avere un registro dei trattamenti impeccabile e, lo stesso giorno, lasciare che più collaboratori condividano la stessa password per accedere al software contabile. Sulla carta è tutto in ordine; nei fatti, basta che uno solo di questi accessi trapeli per aprire la porta a tutte le pratiche dei clienti. Il documento giuridico non è mai stato pensato per impedirlo — è compito delle misure concrete, quelle che non si scrivono in un raccoglitore ma si attivano negli strumenti.
Il secondo mito è ancora più silenzioso: "ce ne occuperemo se succede". È scommettere che l'improvvisazione basterà il giorno stesso. Ma è proprio l'improvvisazione a costare di più durante un incidente. Per Sophie B., una pratica cliente cifrata da un ransomware — un software malevolo che blocca i vostri file e chiede un riscatto — un venerdì sera è una cascata di domande senza risposta pronta: chi si chiama per primo? Abbiamo un backup utilizzabile? Chi avvisa i clienti interessati, e con quali parole? Bisogna notificare all'IFPDT, ed entro quale termine? Ogni minuto passato a cercare chi decide è un minuto in cui il problema cresce e la fiducia si erode. La risposta agli incidenti — il modo organizzato di reagire quando qualcosa va storto — ha valore solo se è decisa prima dell'incidente, non durante.
In parole chiare, come la riassume Camille, la nostra consulente: conformità e sicurezza rispondono a due giudici diversi. La prima rende conto a un regolatore, sulla carta, a una data precisa. La seconda rende conto a un attaccante, in condizioni reali, ogni giorno. Una PMI serena lavora su entrambe insieme, senza credere che l'una esoneri dall'altra. È anche ciò che guardano sempre più i vostri stessi clienti: un committente che vi affida i suoi dati non chiede più solo "siete in regola?", ma "che cosa avete davvero messo in atto?".
Cosa portare a casa
- Essere in regola ed essere protetti non sono la stessa cosa. La nLPD fissa obblighi; la sicurezza è l'insieme concreto di misure che tengono quando vi attaccano. L'una non compra l'altra.
- La conformità è una foto, la sicurezza è un film. Un audit descrive un momento; le minacce non si fermano il giorno dopo. Ciò che era "in ordine" a gennaio può avere un buco a giugno.
- "Ce la caveremo" non è un piano. A fare la differenza il giorno di un incidente non è il talento nell'improvvisare, ma ciò che è stato scritto e testato a freddo: chi fa cosa, chi chiama chi, quale backup si ripristina.
I gesti da installare questa settimana
1. Separate "obblighi" e "protezioni" su una sola pagina
Prendete un foglio a due colonne. A sinistra, ciò che fate per la legge: registro dei trattamenti, informazione ai clienti, contratti con i vostri fornitori. A destra, ciò che vi protegge davvero: autenticazione a due fattori attivata, backup testati, dispositivi aggiornati, collaboratori sensibilizzati. L'esercizio richiede un'ora e rivela quasi sempre una colonna di destra più corta del previsto. È lì che sta il rischio reale, non nel raccoglitore giuridico.
2. Scrivete la vostra "prima mezz'ora" di incidente
Non un piano di crisi completo — solo una scheda di una pagina, affissa e nota a tutti. Tre domande, tre risposte: chi si avvisa per primo all'interno (una persona nominata, un numero)? Chi si chiama all'esterno (il vostro fornitore informatico, eventualmente l'assicurazione)? E che cosa non si fa assolutamente nel panico (pagare un riscatto, spegnere le macchine a caso, cancellare tracce)? Quella mezz'ora preparata vale più di qualunque strumento comprato a posteriori.
3. Fate un test di ripristino, una volta sola
Avere backup non serve a nulla finché non avete verificato che si ripristinino davvero. Scegliete una cartella senza importanza, chiedete al vostro fornitore di recuperarla dal backup e cronometrate. Se nessuno sa come fare, o se ci vogliono due giorni, avete appena imparato qualcosa di essenziale con calma, invece che sotto pressione un lunedì mattina.
A che punto siete davvero?
Questi ultimi due falsi miti sulla cybersicurezza hanno un tratto in comune: danno l'impressione di aver fatto il necessario, mentre resta un angolo cieco. La buona notizia è che colmarlo non richiede un grosso budget — soprattutto in una struttura come quella di Sophie B., senza informatico interno: richiede uno sguardo onesto su dove vi trovate davvero.
È esattamente il ruolo dell'autovalutazione Cyber Passport. Non certifica nulla e non vi dichiara "conformi": vi mostra, domanda dopo domanda, cosa rientra nei vostri obblighi, cosa nelle vostre protezioni reali, e dove la vostra organizzazione poggia ancora sulla fortuna o sull'abitudine. Un punto di partenza chiaro, condivisibile con i vostri clienti e revisori. E per trasformare il "ce la caveremo" in un vero piano, il blueprint "Risposta agli incidenti" srotola i passi, uno per uno.
