Un lunedì mattina, una collaboratrice di Sophie B. non riesce più ad aprire i suoi file contabili: i nomi sono diventati una sequenza di caratteri illeggibili. Nello studio fiduciario nessuno ha il compito di sorvegliare gli avvisi di sicurezza: ciascuno svolge il proprio mestiere. La vera domanda, allora, non è come impedire ogni attacco, ma come rilevare e reagire a un attacco prima che si propaghi all'intero studio.
Rilevare e reagire: perché una PMI senza SOC è coinvolta
Le grandi aziende dispongono di un SOC, un Security Operations Center, cioè un team di sicurezza che sorveglia gli avvisi in modo continuo, spesso giorno e notte. Un'azienda di servizi come quella di Sophie B. naturalmente non ne ha uno e non ne avrà mai: non è né il suo mestiere né il suo budget. Molti responsabili ne concludono, a torto, che proteggersi « davvero » sia per loro irraggiungibile.
È un errore, perché gli attacchi moderni non funzionano come li immaginiamo. Un aggressore raramente sfonda la porta. Il più delle volte entra senza far rumore, ad esempio con una password rubata tramite un'e-mail trappola, e poi resta inosservato per giorni, a volte per settimane. Osserva, individua dove si trovano i dati sensibili, e solo al termine di questo intervallo colpisce: file cifrati, un pagamento dirottato, dossier dei clienti esfiltrati.
Questo intervallo, il tempo durante il quale l'aggressore è già in casa senza che nessuno lo sappia, è il vero pericolo. Più dura, più il danno è profondo: backup contaminati a loro volta, dati dei clienti copiati, accessi che si moltiplicano. Al contrario, un'intrusione individuata lo stesso giorno resta spesso un incidente di lieve entità. Tutto dipende dalla rapidità con cui ci si accorge di qualcosa, non dall'altezza del muro.
La prevenzione (password solide, l'autenticazione a due fattori — MFA: oltre alla password, una seconda prova, ad esempio un codice sul telefono) riduce fortemente il rischio di ingresso. Ma nessuna barriera è perfetta, e una PMI di servizi è un bersaglio tanto più interessante in quanto custodisce dati sensibili di numerosi terzi. Per questo non ci si può fermare a « impedire ». Bisogna anche rilevare — cogliere i segni che sta accadendo qualcosa di anomalo — e reagire — sapere cosa fare nell'ora successiva, con calma, senza improvvisare. Nessuno di questi due riflessi richiede un SOC. Ciò che richiedono, soprattutto, è organizzazione: e questa è una buona notizia per una piccola struttura, perché l'organizzazione non si compra, si decide.
Cosa ricordare
La sola prevenzione è una scommessa persa. Partite dal presupposto che un giorno, nonostante le precauzioni, qualcosa passerà. Un'organizzazione solida non è quella che non viene mai attaccata: è quella che se ne accorge in fretta e sa cosa fare. È esattamente la postura delineata da quadri di riferimento come il NIST CSF 2.0, che distingue le funzioni identificare, proteggere, rilevare, rispondere, ripristinare: metà del lavoro si gioca dopo l'intrusione.
Rilevare non comincia con un acquisto. Si immagina che servano software costosi per vedere un attacco. In realtà, il primo strumento di rilevamento è sapere com'è fatta una giornata normale, e quindi cogliere ciò che non lo è. La maggior parte degli strumenti che già utilizzate (ad esempio la vostra posta professionale) genera avvisi che nessuno legge. Attivarli e indicare chi li riceve costa zero franchi.
Reagire in fretta è anche un obbligo, non solo una buona idea. In Svizzera, la nLPD — la legge federale sulla protezione dei dati, in vigore da settembre 2023 — si aspetta che un'azienda adotti misure « adeguate » e che notifichi una violazione dei dati all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) nel più breve tempo possibile quando il rischio per le persone interessate è elevato. Se trattate anche dati di clienti o contatti stabiliti nell'Unione europea, si aggiunge il GDPR con le proprie scadenze. Per uno studio fiduciario che custodisce i dati di centinaia di clienti, saper reagire non è quindi un lusso: è una responsabilità, e una buona reazione comincia sempre da un rilevamento rapido.
I gesti da adottare questa settimana
1. Mettete per iscritto i vostri cinque segnali d'allarme
Per una piccola struttura, rilevare comincia da un foglio A4. Riunite le persone che utilizzano gli strumenti informatici ed elencate insieme cinque segni che devono preoccupare immediatamente. Ad esempio: un file che diventa illeggibile o si rinomina da solo; un accesso alla posta da un Paese in cui nessuno lavora; un collega che segnala un'e-mail davvero strana ricevuta a nome di un socio; un software che rallenta in modo anomalo su più postazioni lo stesso giorno; un cliente che vi dice di aver ricevuto un messaggio che non avete mai inviato.
L'obiettivo non è essere esaustivi, ma trasformare una sensazione vaga (« è strano ») in un riflesso condiviso (« questo è un segnale, lo segnalo subito »). Affiggete l'elenco e stabilite con chiarezza a chi va segnalato.
2. Attivate gli avvisi — e l'autenticazione a due fattori — che avete già
La maggior parte delle PMI lavora con una suite d'ufficio online che sa già individuare comportamenti sospetti: un accesso da un luogo insolito, la creazione di una regola che inoltra automaticamente le vostre e-mail all'esterno, diversi tentativi di accesso falliti. Questi avvisi spesso esistono senza che nessuno li riceva. Chiedete al vostro fornitore informatico di attivarli e di farli arrivare a una persona precisa, non a una casella generica che nessuno consulta.
Con lo stesso movimento, estendete l'autenticazione a due fattori (MFA) agli accessi sensibili, a cominciare dalla posta. È la misura che taglia alla radice il maggior numero di intrusioni, e non costa nulla più di qualche minuto a persona.
3. Mettete per iscritto il riflesso delle prime ore
Il momento peggiore per pensare a chi chiamare è nel pieno della crisi. Preparate quindi, a mente fredda, un foglio di una pagina che risponda a tre semplici domande: chi fa cosa nelle prime ore (chi isola la postazione colpita scollegandola dalla rete e dal Wi-Fi, chi avverte la direzione, chi tiene traccia di ciò che si osserva); chi si chiama (il vostro fornitore informatico e il punto di contatto dell'Ufficio federale della cibersicurezza — l'UFCS, noto anche con la sigla NCSC, che riceve le segnalazioni di incidenti); e ciò che non si deve assolutamente fare (pagare un riscatto senza consulenza, oppure spegnere bruscamente le macchine rischiando di cancellare tracce utili).
Questo foglio non sostituisce un piano di crisi completo, ma vi fa guadagnare le ore più preziose: quelle in cui una reazione calma fa la differenza tra un incidente sotto controllo e una catastrofe.
A che punto siete davvero?
Questi tre gesti vi fanno passare da una postura di attesa a una postura attiva: accettate che un attacco possa arrivare e vi organizzate per rilevare e reagire. La domanda onesta che segue è questa: su questi temi — rilevamento, registrazione, risposta agli incidenti, obblighi nLPD — dove siete solidi e dove vi affidate soprattutto alla fortuna?
È esattamente ciò che mette in chiaro l'autovalutazione Cyber Passport. Non certifica nulla e non vi dichiara « sicuri »: vi mostra, domanda dopo domanda, la vostra reale maturità e ciò che merita di essere rafforzato in via prioritaria. Per andare oltre e trasformare questi gesti in una vera capacità di rilevamento e risposta, il nostro blueprint dedicato illustra il piano completo, passo dopo passo.
