Una mattina, Sophie B. accetta di dedicare un'ora a una valutazione della sicurezza svolta da sé. Socia di un piccolo studio fiduciario della Svizzera romanda, non si aspetta nulla di particolare: «siamo prudenti, dovrebbe andare». Un'ora dopo ha annotato tre cose che non aveva mai previsto — una password condivisa da tutto il team, un backup che nessuno ha mai provato a ripristinare e l'account di un collaboratore andato via da mesi che funziona ancora. Niente di drammatico. Ma nemmeno niente che possa davvero attendere.
Perché una valutazione della sicurezza dice più di quanto si creda
Una valutazione della sicurezza — vale a dire un questionario strutturato che passa in rassegna le vostre pratiche in modo metodico, ambito per ambito — non cerca la falla spettacolare. Pone le domande semplici che nessuno si pone nella fretta quotidiana. Ed è proprio lì che si annidano i veri punti ciechi di una PMI.
Perché uno studio come quello di Sophie B. non cade quasi mai in un attacco sofisticato arrivato dall'altra parte del mondo. Inciampa su dettagli ordinari che nessuno sorveglia. Tre di questi ritornano in quasi ogni valutazione.
Il primo è l'account condiviso. Un'unica credenziale per il software di contabilità, usata da tutto il team «perché è più semplice». Il giorno in cui una pratica di un cliente viene modificata per errore, è impossibile sapere chi ha fatto cosa. E quando una persona lascia l'azienda, non si può togliere l'accesso senza bloccare tutti gli altri.
Il secondo è il backup che non è mai stato testato. «Abbiamo i backup» è una frase rassicurante — fino al giorno in cui bisogna davvero recuperare un file e si scopre che la copia è incompleta, corrotta o vecchia di tre settimane. Un backup che non si è mai ripristinato non è un backup: è un'ipotesi.
Il terzo è l'accesso che sopravvive a chi lo usava. Lo stagista dell'estate scorsa, il contabile passato alla concorrenza, il fornitore che non si chiama più: i loro account spesso esistono ancora, con gli stessi diritti del primo giorno. Nessuno li ha chiusi, perché chiudere un accesso non è mai la priorità di un lunedì mattina.
Questi tre punti ciechi hanno la stessa radice: nascono da una lacuna organizzativa, non da negligenza. In una struttura in cui nessuno è ufficialmente responsabile della sicurezza — nessun informatico interno, nessun referente dedicato — questi piccoli compromessi di comodità si accumulano senza che qualcuno ci ritorni sopra. Ognuno, preso da solo, sembrava ragionevole il giorno in cui è stato preso. È la loro somma, anno dopo anno, ad aprire il divario tra ciò che una PMI crede della propria sicurezza e ciò che è realmente. Una valutazione svolge esattamente quel ruolo di rilettura che la quotidianità non lascia mai fare.
Per uno studio fiduciario nulla di tutto ciò è trascurabile. Custodisce la contabilità, i salari e i dati fiscali di numerose PMI clienti — un segreto professionale di fatto. La nLPD, la nuova legge svizzera sulla protezione dei dati entrata in vigore nel 2023, si aspetta proprio che un'azienda che tratta questo tipo di informazioni adotti misure «adeguate» per proteggerle. Un account condiviso e un backup mai testato non sono dettagli tecnici: sono domande a cui Sophie B. dovrà saper guardare in faccia se un cliente — o l'autorità — un giorno gliele porrà.
L'Ufficio federale della cibersicurezza (UFCS, noto anche con il nome NCSC) pubblica del resto raccomandazioni pratiche per le PMI che vanno esattamente in questa direzione: cominciare dall'igiene di base — chi ha accesso a cosa, dove sono i backup, chi può fare cosa — anziché dagli strumenti avanzati. Una valutazione non è altro che questa igiene di base, messa nero su bianco.
Cosa tenere a mente
Una valutazione non serve a spaventare, serve a vedere. La maggior parte dei responsabili di PMI scopre di non essere né «senza speranza» né «esposta», ma da qualche parte nel mezzo: alcune basi solide e alcuni buchi spalancati che semplicemente non aveva mai guardato.
- I punti ciechi non sono colpe, sono cose a cui non si è pensato. Nessuno ha deciso di condividere una password per indebolire l'azienda — è successo per comodità, un giorno in cui tornava utile. Una valutazione rimette questi piccoli compromessi sotto la luce.
- Ciò che non è testato non esiste davvero. Un backup, una procedura, un accesso di emergenza: finché non li si è provati almeno una volta, non si sa se funzionano. La valutazione trasforma il «credo di sì» in un «lo so».
- La sicurezza di una PMI dipende soprattutto da azioni organizzative. Non da strumenti costosi. Rimuovere un account, assegnare una credenziale personale, testare un ripristino: nulla di tutto ciò richiede un budget informatico, solo mezza giornata di attenzione.
Le azioni da avviare questa settimana
Non serve un audit completo né un fornitore esterno per cominciare. Ecco tre azioni che Sophie B. ha potuto avviare da sola già il giorno dopo.
1. Censire gli account condivisi
Fate l'elenco delle credenziali usate da più persone — il software gestionale, la casella e-mail generica, l'accesso alla banca online. Per ciascuna, ponete una sola domanda: «se qualcuno se ne andasse domani, potrei togliergli questo accesso senza intralciare gli altri?» Ogni «no» è un account da trasformare, col tempo, in un accesso personale — una credenziale per persona. Cominciate dal più sensibile.
2. Testare un solo ripristino
Non verificate che il backup «giri»: verificate di poterne estrarre un file. Scegliete un documento, chiedete di ripristinarlo e osservate quanto tempo ci vuole e se la versione recuperata è aggiornata. Annotate chi c'è riuscito e quanto tempo ha richiesto: queste due informazioni valgono oro il giorno di un vero incidente. Se nessuno sa come procedere, avete appena imparato qualcosa di utile — prima di averne bisogno sotto pressione.
3. Fare ordine tra gli accessi
Prendete l'elenco delle persone che hanno accesso ai vostri strumenti — posta, software di contabilità, condivisione di file. Confrontatelo con l'elenco di chi lavora davvero da voi oggi. Ogni differenza è un accesso da chiudere. È l'azione più rapida dell'elenco, e spesso la più rivelatrice: non è raro trovare uno o due account attivi di cui nessuno si ricorda. Nell'occasione, annotate chi detiene i diritti più estesi — sono loro da tenere d'occhio per primi.
A che punto siete davvero?
Queste tre azioni non chiudono ogni punto cieco — soprattutto mostrano quanto una semplice valutazione della sicurezza cambi lo sguardo che si porta sulla propria organizzazione. Si passa da «penso che siamo più o meno protetti» a un'immagine chiara, domanda dopo domanda, di ciò che regge e di ciò che poggia solo sulla fiducia e sull'abitudine.
È esattamente ciò che propone l'autovalutazione Cyber Passport: un percorso strutturato che passa in rassegna le vostre pratiche e vi restituisce uno stato dei luoghi leggibile, da condividere con i vostri clienti o i vostri revisori. Non certifica nulla e non vi dichiara mai «conformi» — vi mostra a che punto siete davvero e da dove cominciare. E per andare oltre queste tre azioni e costruire un piano di remediation prioritizzato, il blueprint collegato prende il testimone.
