Sophie B. dirige un piccolo studio fiduciario della Svizzera romanda. Il mese scorso il suo fornitore informatico le ha proposto un nuovo strumento di sicurezza «all'ultimo grido», preventivo a quattro cifre alla mano, e lei ha firmato, un po' rassicurata. Poi una sera un dubbio l'ha raggiunta: sa davvero quali dati protegge, e dove si trovano realmente?
Perché le fondamenta della cybersicurezza contano più degli strumenti
Molti titolari di PMI evitano questa domanda. Si compra un firewall, un antivirus, a volte un servizio di sorveglianza, e ci si dice di aver «fatto cybersicurezza». Rassicura, è concreto, sta in un budget. Ma senza qualche fondamenta posata a monte, questi strumenti proteggono una casa la cui porta non si chiude a chiave.
E uno studio fiduciario non tratta dati banali. Contabilità, salari, dichiarazioni fiscali, coordinate bancarie di decine di PMI clienti: è il cuore del segreto professionale, e la prima cosa che un aggressore cerca di monetizzare o di prendere in ostaggio. Di fronte a ciò, l'errore più comune non è la mancanza di uno strumento sofisticato — è non aver posato le fondamenta che danno un senso a quello strumento.
In chiaro: un potente prodotto di sicurezza collegato a un'organizzazione che condivide le password, non testa mai i backup e non ha mai inventariato i propri dati, è un allarme di ultima generazione su una porta lasciata aperta. Camille, la nostra consulente cyber, lo riassume così: «La tecnologia amplifica ciò che già esiste. Quando mancano le fondamenta, amplifica soprattutto il disordine.»
La nLPD — la nuova legge svizzera sulla protezione dei dati, in vigore da settembre 2023 — del resto non chiede di comprare questo o quel prodotto. Si attende da ogni azienda che detiene dati personali una sicurezza «adeguata»: proporzionata al rischio, ragionata e spiegabile. In altre parole, un percorso, non una fattura. L'Ufficio federale della cibersicurezza (UFCS, chiamato anche NCSC) va nella stessa direzione: le sue raccomandazioni alle PMI iniziano sempre dall'igiene di base, mai dallo strumento miracoloso.
Queste fondamenta poggiano su tre pilastri, quasi sempre trascurati nello stesso ordine: sapere cosa si protegge, tenere le basi nel tempo e coinvolgere le persone. Nessuno dei tre richiede un grande budget. Tutti e tre chiedono soprattutto una cosa che la tecnologia non fornisce: chiarezza sulla propria organizzazione.
Cosa ricordare
- Uno strumento non compensa mai una base assente. Investire nella sorveglianza avanzata prima di aver messo in sicurezza accessi e backup è mettere il carro davanti ai buoi — e spesso pagare due volte: lo strumento, poi i danni che non ha impedito.
- La sicurezza «adeguata» attesa dalla nLPD è un percorso, non un acquisto. Si costruisce con gesti semplici, ripetuti, e una visione chiara di ciò che si detiene. Una piccola struttura ben organizzata è meglio protetta di una grande mal tenuta.
- L'anello decisivo resta umano. La grande maggioranza degli incidenti inizia con un clic, una password riutilizzata o un allegato aperto troppo in fretta — non con una falla esotica sfruttabile solo da un esperto. È una buona notizia: ciò che dipende dai gesti quotidiani si corregge senza investimenti pesanti.
I passi da installare questa settimana
Tre passi, uno per fondamenta. Non sostituiscono una tabella di marcia completa, ma portano la vostra PMI da «speriamo che regga» a «sappiamo a che punto siamo».
1. Fare l'inventario dei vostri dati
Prima di proteggere, bisogna sapere cosa proteggere. Prendetevi un'ora per elencare, nero su bianco, i dati più sensibili che detenete (salari, dati fiscali, coordinate bancarie dei vostri clienti), dove vivono davvero (il vostro software contabile, la vostra casella di posta, un disco condiviso, la chiavetta USB di un collaboratore?) e chi vi accede. Questo semplice inventario fa quasi sempre emergere l'evidenza scomoda: file sensibili che nessuno sorveglia più, ed ex collaboratori che forse hanno ancora un accesso attivo. È il primo gradino di ogni percorso serio — e, concretamente, il punto di partenza di un'autovalutazione. Finché non si sa cosa si detiene e dove, non lo si può né proteggere, né dimostrare a un cliente di proteggerlo correttamente.
2. Tenere le basi nel tempo
Tre riflessi bastano a coprire l'essenziale, a condizione di mantenerli nel tempo:
- L'autenticazione a due fattori (chiamata MFA o 2FA). Oltre alla password, una seconda prova — di solito un codice sul vostro telefono — blocca la grande maggioranza dei furti di account, anche quando la password è trapelata. Attivatela ovunque possibile, cominciando dalla vostra casella professionale, che è la chiave di tutto il resto.
- Gli aggiornamenti. Un software che non si aggiorna è una porta che l'editore ha avuto cura di chiudere ma che voi lasciate aperta. Attivate gli aggiornamenti automatici su postazioni, telefoni e applicazioni gestionali.
- I backup testati. Avere un backup non serve a nulla se non si è mai verificato di saperlo ripristinare. Una volta a trimestre, chiedete di recuperare un file di ieri: il giorno di un incidente saprete se la vostra rete di sicurezza esiste davvero o solo sulla carta.
Sono basi, non un piano dettagliato. Declinarle in modo pulito — perimetro esatto, eccezioni, account di emergenza, cadenza — spetta a una tabella di marcia dedicata. Ma già questi tre gesti cambiano radicalmente l'esposizione di una PMI.
3. Fare delle persone la vostra prima linea
Il miglior strumento del mondo non recupera un collaboratore di fretta che clicca su una falsa fattura un venerdì alle 17. Il phishing — quelle e-mail fraudolente che imitano un fornitore, una banca o un cliente per carpire una password o innescare un pagamento — resta la porta d'ingresso numero uno nelle PMI.
La buona notizia: non si formano i team con una riunione di un'ora una volta all'anno, dimenticata il giorno dopo. Si installa il riflesso a piccoli tocchi — un promemoria di due minuti in riunione, una vera e-mail-trappola commentata insieme, una regola semplice e nota a tutti («al minimo dubbio su un pagamento non si risponde: si alza la cornetta e si richiama il numero conosciuto»). Ripetuto per qualche settimana, questo riflesso diventa una cultura, e questa cultura vale più di qualsiasi licenza. In uno studio fiduciario, dove ognuno tratta ogni giorno dati di clienti, è probabilmente la fondamenta che rende di più per il minimo sforzo.
A che punto siete davvero?
Queste tre fondamenta — conoscere i propri dati, tenere le basi, coinvolgere le persone — non costano quasi nulla. Ciò che manca, il più delle volte, non è il budget: è una visione onesta di dove si è solidi e di dove si poggia ancora su fiducia e abitudine.
È esattamente ciò che struttura un'autovalutazione Cyber Passport. Non certifica nulla e non vi vende uno strumento in più: domanda dopo domanda, vi mostra quali fondamenta sono davvero in posa e quali poggiano ancora sulla sabbia — perché il vostro prossimo investimento rafforzi finalmente qualcosa di solido, invece di decorare una porta aperta.
