«Sinceramente, chi se la prenderebbe con uno studio come il nostro?» Sophie B., socia amministratrice di uno studio fiduciario della Svizzera romanda, ci credeva davvero – fino alla mattina in cui una cliente le ha semplicemente chiesto come proteggeva i suoi dati. Quel giorno, nel suo studio, due falsi miti sulla cybersicurezza facevano ancora le veci di una strategia di sicurezza.
Queste convinzioni si sentono in quasi ogni PMI svizzera. Non sono un segno di negligenza: sembrano semplicemente buon senso, ed è proprio questo a renderle efficaci. Questa serie in cinque parti passa in rassegna dieci falsi miti che indeboliscono la sicurezza delle piccole imprese. Questa prima parte ne smonta due – i più diffusi e, probabilmente, i più costosi.
Due falsi miti sulla cybersicurezza che espongono le PMI
Una piccola impresa non viene violata perché è famosa. Cade in trappola perché una porta è rimasta aperta. Ecco i due ragionamenti che, più spesso, lasciano quella porta socchiusa.
«Siamo troppo piccoli per interessare un pirata»
È l'idea più rassicurante – e la più ingannevole. Poggia su un'immagine superata dell'aggressore: qualcuno che sceglie con pazienza il proprio bersaglio e mira solo ai grandi gruppi. La realtà è più prosaica. Oggi la maggior parte degli attacchi è automatizzata: dei programmi scandagliano di continuo Internet alla ricerca di falle note, senza curarsi delle dimensioni o del settore dell'azienda che c'è dietro. Un software mal aggiornato, un accesso configurato male, e il programma si infila – quasi sempre senza che nessun essere umano l'abbia mai «scelta».
Potremmo chiamarla l'illusione dell'invisibilità: credere che essere poco visibili sul mercato significhi essere invisibili online. Ma nel cyberspazio tutto ciò che è connesso è visibile. Restare defilati non protegge da nulla; rinvia soltanto il momento in cui si scopre di essere stati esposti.
Per uno studio fiduciario questo falso mito è tanto più rischioso in quanto l'ufficio concentra esattamente ciò che ha valore: stipendi, dati fiscali, coordinate bancarie di decine di PMI clienti. All'aggressore non interessa la notorietà di Sophie B., ma quei dati – e la leva che rappresentano. Un ransomware (un software che cifra i suoi file e chiede un riscatto per renderli di nuovo leggibili) non ha bisogno di sapere chi è lei per paralizzare la sua attività un lunedì mattina. E per uno studio il cui capitale è la fiducia, una fuga di dati non costa solo franchi: costa clienti.
Vi è poi una dimensione tipicamente svizzera. Questi dati rientrano nella nLPD, la nuova legge federale sulla protezione dei dati. In caso di fuga, la responsabilità dello studio – e l'eventuale obbligo di notificare la violazione all'autorità federale (UFCS/NCSC, l'Ufficio federale della cibersicurezza) – non dipende dalle dimensioni, ma dalla sensibilità dei dati coinvolti.
«Il nostro antivirus ci protegge»
Il secondo riflesso rassicurante: «il fornitore ha installato un antivirus, quindi siamo coperti». L'antivirus resta utile – ma sorveglia una sola porta tra molte. Storicamente riconosce le minacce note dalla loro «firma», un po' come un portinaio con la foto dei soliti disturbatori. Il problema: gli attacchi di oggi sono concepiti proprio per non comparire nella foto.
L'esempio migliore è il phishing (un'e-mail o un messaggio che imita un interlocutore fidato – banca, fornitore, autorità – per spingerla a cliccare, a pagare o a consegnare una password). Nessun antivirus impedisce a una collaboratrice di fretta di aprire una falsa fattura di un fornitore abituale e poi di inserire le proprie credenziali su una pagina identica a quella della sua banca. La falla, qui, non è il software: è un momento di disattenzione perfettamente umano.
Affidarsi al solo antivirus significa chiudere a chiave la porta d'ingresso lasciando le finestre aperte. La vera protezione è fatta di più strati semplici che si completano a vicenda: una seconda prova d'identità per accedere, software tenuti aggiornati, backup che si sanno ripristinare e un team capace di riconoscere una trappola. Nessuno di questi strati costa una fortuna; è la loro assenza a costare caro.
In parole semplici, come ripete spesso Camille – la consulente che accompagna le PMI come quella di Sophie B. –: un buon antivirus è la cintura di sicurezza. Utile, anzi indispensabile – ma nessuno guida a occhi chiusi solo perché l'ha allacciata.
Cosa ricordare
- Le dimensioni non proteggono. Gli attacchi più frequenti sono automatici e opportunistici: colpiscono le falle, non le reputazioni. Una piccola struttura che detiene dati sensibili è un bersaglio del tutto redditizio.
- Un solo strumento non basta. L'antivirus è uno strato, non uno scudo. Le trappole più efficaci passano dalle persone – un'e-mail, una telefonata – là dove nessun software decide al suo posto.
- In Svizzera la responsabilità è uguale per tutti. La nLPD si aspetta da una PMI misure di sicurezza «adeguate» alla sensibilità dei dati che detiene, non al suo fatturato.
Gesti da adottare questa settimana
1. Attivare l'autenticazione a due fattori dove conta
L'autenticazione a due fattori (MFA: oltre alla password, una seconda prova – per esempio un codice sul suo telefono) offre la migliore protezione con il minimo sforzo. La attivi prima sulla posta elettronica, sul software di contabilità e sull'accesso bancario online. Anche se una password trapela, la porta resta chiusa.
2. Verificare che tutto si aggiorni da solo
La maggior parte degli attacchi automatici sfrutta falle già corrette dall'editore… ma mai installate. Dedichi dieci minuti a confermare che gli aggiornamenti automatici siano attivi su computer, browser e software gestionali. Non è una spesa: è una casella da spuntare.
3. Fare una prova reale in squadra
Riunisca il team per un quarto d'ora e guardate insieme due o tre vere e-mail false: un indirizzo del mittente strano, un'urgenza artificiale, un link che non porta dove dichiara. L'obiettivo non è ingannare nessuno, ma creare il riflesso: nel dubbio, si verifica su un altro canale prima di cliccare o pagare. È esattamente lo strato che nessun antivirus sostituirà mai.
A che punto è davvero?
Questi falsi miti sulla cybersicurezza hanno un tratto in comune: danno l'impressione di essere protetti senza che nulla sia mai stato verificato. Il primo passo non è comprare un altro strumento, ma fare un bilancio onesto – domanda dopo domanda, senza gergo tecnico.
È esattamente ciò che propone l'autovalutazione Cyber Passport. Non certifica nulla e non promette alcuna conformità: le mostra, ambito per ambito, dove la sua organizzazione è solida e dove poggia ancora su una convinzione. Abbastanza per trasformare un «penso che siamo coperti» in un «so a che punto sono», e poi dare priorità a ciò che conta davvero invece di accumulare strumenti a caso.
La Parte 2 di questa serie affronterà altri due falsi miti, altrettanto tenaci. Nel frattempo, se dovesse ricordare una sola cosa: la sicurezza di una PMI non si gioca su un software, ma su alcune semplici abitudini, mantenute nel tempo.
