Un martedì mattina, Sophie B. riceve un'e-mail che sembra provenire da un fornitore abituale: nuove coordinate bancarie, da considerare prima del prossimo pagamento. Nulla di allarmante — un collaboratore di fretta avrebbe potuto convalidarla senza pensarci. Nel suo studio fiduciario, come in molte PMI svizzere, due convinzioni rassicuranti fanno le veci di una politica di sicurezza: «i miei collaboratori sanno fare attenzione» e «abbiamo i backup». Sono proprio questi i due falsi miti sulla cybersicurezza che lasciano la porta socchiusa.
Due falsi miti sulla cybersicurezza che tornano in ogni PMI
Sophie B. dirige uno studio fiduciario: contabilità, salari e dati fiscali di decine di clienti passano ogni giorno per le caselle di posta del suo team. Come molti dirigenti, si rassicura con due idee di buon senso. La prima: «la mia gente è seria, riconosce una truffa.» La seconda: «facciamo un backup, siamo coperti.»
Il problema non è che queste frasi siano false. È che descrivono un'intenzione, non un dispositivo. Un'intenzione non regge né a un'e-mail-trappola ben costruita in un giorno di chiusura contabile, né a un disco che cede un venerdì sera. Guardiamo da vicino queste due convinzioni, senza drammatizzare: l'obiettivo non è farvi paura, ma trasformare due buoni propositi in due riflessi che tengono.
«I miei collaboratori sanno fare attenzione»
Chiariamo subito un malinteso: cascarci non è una questione di intelligenza. Gli attacchi di phishing (un'e-mail, un SMS o una telefonata che imita un terzo di fiducia per spingervi a cliccare, pagare o consegnare una password) non prendono di mira gli ingenui. Prendono di mira il contesto. E uno studio fiduciario offre il contesto ideale: fatture che arrivano di continuo, scadenze fiscali, cambi di coordinate bancarie che fanno parte della quotidianità.
Il collaboratore più coscienzioso clicca perché il messaggio arriva al momento giusto, nel tono giusto, sul dossier giusto. «Fare attenzione» presuppone di essere vigili sempre, allo stesso modo, per tutti. Non è un processo, è uno stato d'animo — e uno stato d'animo si stanca, si distrae, va in vacanza.
Per uno studio fiduciario la posta in gioco è particolare: ciò che transita sono i conti, i salari e i documenti fiscali di clienti che si fidano di voi. Un accesso dirottato non colpisce solo la vostra organizzazione — infrange la riservatezza che i vostri clienti vi hanno affidato. L'incubo di Sophie B. non è il guasto informatico, ma la telefonata in cui deve annunciare a un cliente che i suoi dati sono trapelati.
La sensibilizzazione resta utile: un team che sa che aspetto ha un tentativo di frode ne individua di più. Ma si consuma se non ci si torna mai sopra, e soprattutto non dovrebbe essere l'unico baluardo. Dietro la persona serve una rete di sicurezza tecnica: un filtraggio dei messaggi indesiderati adeguato e l'autenticazione a due fattori («MFA» — oltre alla password, una seconda prova, per esempio un codice sul telefono) sugli accessi sensibili. L'Ufficio federale della cibersicurezza (UFCS/NCSC), il riferimento svizzero in materia, raccomanda proprio di combinare comportamento e misure tecniche invece di far dipendere tutto dalla vigilanza del singolo.
«Un backup al mese basta»
Il secondo mito è più insidioso, perché ha l'aria di essere responsabile. «Facciamo i backup»: bene. Ma dietro questa frase si nascondono due domande, ed è a esse che spetta l'ultima parola.
Primo: con quale frequenza? Un backup (una copia dei vostri dati conservata a parte) fatto una volta al mese significa che un incidente può riportarvi indietro di quattro settimane. Per uno studio fiduciario in piena chiusura contabile è un mese di scritture, salari e dichiarazioni da reinserire — nella migliore delle ipotesi.
Secondo: quella copia è davvero recuperabile? Un backup che non avete mai testato tramite un ripristino (l'operazione che rimette i dati in servizio a partire dalla copia) è un backup di cui ignorate se funziona. E se resta collegato in permanenza alla rete, un ransomware (un software che cifra i vostri file e chiede un riscatto per renderli di nuovo leggibili) lo cifrerà insieme al resto. Credete di avere un paracadute; è nell'aereo in fiamme.
La domanda giusta quindi non è «facciamo i backup?» ma «quanto lavoro posso permettermi di perdere, e ho mai provato a rimettere tutto in funzione?». La nLPD (la legge svizzera sulla protezione dei dati) si aspetta del resto da una PMI che detiene dati dei clienti una sicurezza «adeguata» — il che include la capacità di ritrovare quei dati dopo un incidente.
Cosa ricordare
- La sicurezza è un processo, non un'intenzione. «Fare attenzione» e «avere i backup» proteggono solo se si traducono in gesti ripetibili e verificati.
- La persona è uno strato tra i tanti, non l'unico muro. Si sostiene la vigilanza del team con una rete tecnica — filtraggio, autenticazione a due fattori — perché un secondo di distrazione non costi tutto.
- Un backup conta solo se è recente, testato e fuori portata. Una copia mai ripristinata, o collegata in permanenza alla rete, è un falso senso di sicurezza.
I gesti da installare questa settimana
1. Trasformare il «fare attenzione» in un riflesso condiviso
Fissate una regola semplice, nota a tutti: ogni cambio di coordinate bancarie o ogni richiesta di pagamento insolita si verifica con una richiamata a un numero già registrato — mai al contatto indicato nel messaggio. Ricordatelo a voce in cinque minuti durante una riunione di team. È gratuito e toglie la decisione dalle spalle di una singola persona di fretta.
2. Verificare che i backup esistano davvero — e testare un ripristino
Ponetevi tre domande: i miei dati sono copiati almeno ogni giorno, una copia è conservata offline (scollegata dalla rete) e sono mai riuscito a ripristinare un file? Fate il test questa settimana su un solo documento: se torna intatto, sapete che la rete tiene. Se non torna, avete appena evitato una pessima sorpresa.
3. Aggiungere una rete tecnica: l'autenticazione a due fattori sugli accessi sensibili
Attivate l'autenticazione a due fattori (MFA) sulle caselle di posta e sull'accesso agli strumenti che contengono dati dei clienti. Su una suite d'ufficio come Microsoft 365 si fa senza fornitore e senza budget. Una password rubata non basta più, allora, ad aprire la porta.
A che punto siete davvero?
Questi tre gesti toccano la sensibilizzazione e l'igiene di base — due ambiti che l'autovalutazione Cyber Passport passa in rassegna. Non certifica nulla: domanda dopo domanda, vi mostra dove la vostra organizzazione è solida e dove poggia ancora sulla fiducia e sul «abbiamo sempre fatto così». È spesso rispondendo a queste domande che questi falsi miti sulla cybersicurezza diventano visibili — e quindi correggibili.
Questo articolo è la seconda tappa di una serie in cinque parti. Per andare oltre sul primo di questi due aspetti, il nostro blueprint «Sensibilizzazione dei team» sviluppa il piano completo: formati brevi, ritmo annuale, misura dei progressi e integrazione dei nuovi arrivati.
