Sophie B. dirige uno studio fiduciario. La settimana scorsa un cliente le ha chiesto, quasi di sfuggita, come proteggesse i dati contabili che le affida. Ha risposto "stiamo attenti" — poi ha capito di non avere alcuna idea reale dello stato effettivo della sua sicurezza informatica. La buona notizia è che si può iniziare a misurarlo senza spendere un franco: esistono strumenti gratuiti di autovalutazione, e alcuni sono pensati per lei, non per un informatico.
Strumenti gratuiti di autovalutazione, ma non tutti sono per lei
Digiti "valutare la sicurezza informatica" in un motore di ricerca e troverà decine di strumenti gratuiti. La trappola è che non giocano nella stessa categoria. Bisogna distinguere due mondi.
Il primo è quello degli esperti. Vi si trovano gli scanner di vulnerabilità (software che passa al setaccio un sistema per individuarne le falle tecniche) e i simulatori di attacco (strumenti che "attaccano" il suo sistema per finta, per vedere che cosa cederebbe). Sono potenti, spesso gratuiti, ma pensati per specialisti. Nelle mani di una persona non formata producono rapporti illeggibili — o peggio, danno una falsa sicurezza: "la scansione non ha trovato nulla" non significa "siamo al sicuro".
Il secondo mondo è accessibile a qualsiasi dirigente: questionari di autovalutazione, verificatori di fughe di dati e cruscotti che lei possiede già senza saperlo. Questi non cercano di fare l'hacker. Le fanno porre le domande giuste e misurano lo scarto tra dove si trova e dove dovrebbe trovarsi.
La differenza si riassume in un'immagine. Lo scanner di vulnerabilità è la chiave inglese dell'idraulico: indispensabile per lui, inutile e pericolosa nelle mani di chi non conosce le tubature. Il questionario di autovalutazione è la lista di controllo che scorre prima di partire per le vacanze — chiudere il gas, chiudere l'acqua, avvisare il vicino. Nessuna competenza tecnica richiesta: basta rispondere onestamente e occuparsi delle caselle rimaste vuote.
Per una PMI di servizi come quella di Sophie B. — nessun informatico interno, un fornitore esterno che "gestisce i computer", dati dei clienti estremamente sensibili — è questo secondo mondo che conta. Autovalutarsi non significa diventare esperti di cybersicurezza. Significa porsi con metodo le domande che porrebbe un auditor e vedere nero su bianco che cosa regge e che cosa poggia sull'abitudine. Il fornitore esterno fa bene il suo lavoro quando lo si chiama; bisogna però sapere che cosa chiedergli. L'autovalutazione le dà esattamente questo vocabolario.
Che cosa tenere a mente
Gratuito non vuol dire inutile. I migliori strumenti di autovalutazione non costano nulla perché si basano su quadri di riferimento riconosciuti e su risorse pubbliche. Non è il budget a impedirle di iniziare.
Non è lo strumento che conta, ma la domanda che le fa porre. "Abbiamo una seconda prova d'identità per accedere alla posta?", "sapremmo ripristinare una cartella cliente cancellata per errore?". Un buono strumento trasforma una preoccupazione vaga in un elenco concreto e prioritizzabile di punti.
Uno strumento da esperti letto male è peggio di nessuno strumento. Un rapporto tecnico che nessuno capisce finisce in un cassetto e lascia credere che "sia fatto". In Svizzera l'UFCS (NCSC), l'Ufficio federale della cybersicurezza, pubblica proprio risorse gratuite pensate per le PMI: un punto di partenza affidabile, nella sua lingua e nel suo contesto.
Uno strumento non sostituisce un metodo. Impilare tre questionari e due cruscotti non serve a nulla se nessuno collega le risposte. Il valore di un'autovalutazione non deriva dal numero di strumenti, ma dal ritornare allo stesso punto sei mesi dopo per vedere che cosa si è mosso. È la ripetizione a trasformare una fotografia istantanea in una traiettoria — ed è questo che rassicura davvero un cliente che le affida i suoi dati.
Le mosse da mettere in atto questa settimana
Tre mosse, senza budget e senza chiamare il fornitore. Ognuna le dà una misura di partenza.
1. Apra il cruscotto di sicurezza che sta già pagando
La sua suite d'ufficio — posta, condivisione di file, calendari — mostra quasi sempre un indicatore di sicurezza: un voto complessivo, accompagnato da raccomandazioni concrete (attivare l'autenticazione a due fattori, rivedere le condivisioni di file troppo aperte, individuare gli account inattivi). La maggior parte dei dirigenti non l'ha mai aperto. Prenda dieci minuti, trovi questa schermata nella console di amministrazione, annoti il valore mostrato. Sarà il suo punto zero — quello che cercherà di far salire. Non ha i diritti di amministrazione? È già un'informazione in sé: significa che solo il suo fornitore vede questo cruscotto, e nulla le impedisce di chiedergli una schermata commentata al prossimo intervento.
2. Risponda onestamente a un questionario di autovalutazione ufficiale
L'UFCS (NCSC) e i quadri di riferimento riconosciuti propongono liste di controllo gratuite adatte alle piccole strutture. Il quadro NIST CSF 2.0, per esempio, organizza la sicurezza in sei funzioni facili da capire — governare, identificare, proteggere, rilevare, rispondere, ripristinare — che fanno da traccia per non dimenticare nulla. Blocchi trenta minuti e risponda senza lusingarsi: ogni "no" o "non so" non è un rimprovero, è un'azione futura già individuata. Faccia l'esercizio prima da sola, poi con la persona che gestisce i pagamenti o le pratiche dei clienti: gli scarti tra le vostre due risposte sono spesso esattamente il punto in cui si nasconde il rischio. Conservi traccia di questo primo passaggio — con la data — per poterlo confrontare con il successivo.
3. Verifichi che cosa è già trapelato a suo nome
Esistono servizi gratuiti di verifica delle fughe di dati (in inglese breach check): inserisce un indirizzo e-mail dell'azienda e le dicono se è comparso in fughe di dati pubbliche note. Se una password di lavoro è stata esposta durante la violazione di un servizio terzo, è meglio saperlo prima che un truffatore la usi. È gratuito, immediato, e spesso l'innesco che fa passare all'azione. Cominci dagli indirizzi più sensibili — direzione, contabilità, l'indirizzo di contatto generico —, quelli la cui compromissione farebbe più danni. Un risultato positivo non significa che qualcuno sia entrato nei suoi sistemi; significa che è ora di cambiare la password in questione e di verificare che una seconda prova d'identità protegga davvero quell'account.
A che punto è davvero?
Queste tre mosse le danno punti isolati: un voto della suite d'ufficio, una lista di controllo spuntata a metà, un elenco di indirizzi esposti. È già molto più di "stiamo attenti". Ma sono frammenti sparsi, senza un quadro d'insieme né un ordine di priorità.
È esattamente il vuoto che colma l'autovalutazione Cyber Passport. Riunisce questi segnali in un quadro coerente, organizzato per riferimento normativo — prima la nLPD (la legge federale sulla protezione dei dati), perché è quella che si applica ai suoi dati dei clienti svizzeri. Non certifica nulla: le mostra, domanda dopo domanda, dove la sua organizzazione è solida e dove poggia ancora sulla fiducia e sull'abitudine. E soprattutto produce un rapporto che può condividere con un cliente o un auditor il giorno in cui le rifaranno la domanda — questa volta con una vera risposta.
