Un martedì mattina, Sophie B. apre il software di contabilità del suo studio dal treno, come spesso accade. Una password, ed eccola dentro: stipendi, dichiarazioni fiscali, coordinate bancarie di centinaia di clienti — tutto raggiungibile con un solo gesto. Quella comodità non l'aveva mai davvero messa in discussione, finché il suo fornitore informatico non ha lasciato cadere due parole che suonavano come uno slogan: "Zero Trust". Dietro l'espressione un po' vistosa si nasconde però un'idea molto semplice, e molto utile per uno studio fiduciario.
Zero Trust: non fidarsi mai per impostazione predefinita, verificare sempre
Traduciamo anzitutto l'espressione. Zero Trust — letteralmente "fiducia zero" — è un principio di organizzazione della sicurezza che sta in una frase: non concedere mai fiducia per impostazione predefinita e verificare ogni accesso. Non è né un software che si compra, né un pulsante che si attiva. È un modo di pensare che sostituisce un riflesso ereditato dagli anni in cui tutto stava dentro un ufficio.
Per capire cosa corregge Zero Trust, bisogna guardare il modello che sostituisce. A lungo un'azienda è stata protetta come una fortezza: un muro attorno alla rete dell'ufficio, una porta ben sorvegliata e, all'interno, una fiducia quasi totale. Una volta entrati — in ufficio, o da remoto tramite una VPN (un tunnel cifrato che collega il vostro computer alla rete aziendale come se foste sul posto) —, si era considerati legittimi e si aveva accesso a quasi tutto.
Quel modello poggiava su un presupposto: che un "dentro" esista e che sia sicuro. Per uno studio fiduciario di oggi, però, quel dentro si è dissolto. I collaboratori lavorano da casa, dal treno, da un cliente. I dati non sono più in un armadio in fondo al corridoio, ma nel cloud — posta, spazio di condivisione, software di contabilità online. Ciascuno si collega dal proprio dispositivo, a volte personale. Il muro della fortezza non circonda più nulla.
Il problema salta allora agli occhi: se l'unica barriera è una password, basta che venga indovinata, riutilizzata o carpita con il phishing perché uno sconosciuto si ritrovi "dentro" — ereditando la stessa fiducia totale di Sophie B. In uno studio che gestisce il segreto fiscale e bancario dei propri clienti, non è un dettaglio tecnico: è il cuore del mestiere a essere esposto.
Zero Trust ribalta il presupposto. Invece di fidarsi di tutto ciò che è "dentro", parte dall'idea che nessuna connessione sia affidabile finché non è stata verificata. A ogni accesso ci si pone tre domande: chi si collega, da quale dispositivo e per accedere a cosa? Una password corretta non basta più ad aprire tutte le porte. È esattamente ciò che mancava nella scena sul treno: fare in modo che il furto di una sola password non apra, da solo, l'intero studio.
Cosa ricordare
Bastano tre idee per fare proprio il tema, senza diventare informatici.
Zero Trust è una postura, non un prodotto. Nessun fornitore può vendervi "la scatola Zero Trust". È una direzione che si prende, fatta di più piccoli riflessi che, sommati, riducono l'impatto di un incidente. Per una PMI la buona notizia è che i primi passi non costano quasi nulla e non richiedono un progetto informatico pesante.
Il principio prende di mira l'incidente più banale, non l'attacco da film. La grande maggioranza delle intrusioni in una PMI non arriva da un pirata geniale, ma da una password debole, riutilizzata od ottenuta con un'email trappola. Zero Trust colpisce proprio quell'anello: fa in modo che una credenziale rubata non apra tutto, in una volta sola.
Coincide con ciò che già ci si aspetta da voi. La nLPD — la legge federale sulla protezione dei dati, in vigore da settembre 2023 — chiede a ogni organizzazione che tratta dati personali di adottare misure di sicurezza "adeguate". Per uno studio fiduciario che detiene dati particolarmente sensibili, limitare e verificare gli accessi non è un lusso tecnico: è una traduzione molto concreta di quel dovere. E anche se i vostri dati aziendali sono in Svizzera, ciò che protegge l'accesso a quei dati — le vostre password, i vostri accessi — non lo è necessariamente.
I gesti da installare questa settimana
Ecco la versione PMI di Zero Trust: tre riflessi che Sophie B. può avviare senza budget né competenze tecniche, appoggiandosi al bisogno al proprio fornitore.
1. Aggiungere una seconda prova a ogni accesso
È il gesto che rende di più. L'autenticazione a due fattori (MFA) consiste nel richiedere, oltre alla password, una seconda prova d'identità: un codice monouso ricevuto sul telefono, o una conferma in un'app dedicata. In concreto, anche se qualcuno indovina o ruba la vostra password, gli manca comunque il vostro telefono.
Attivatela in via prioritaria dove è più sensibile: la posta professionale, lo spazio di condivisione dei documenti e il software di contabilità. L'Ufficio federale della cibersicurezza (UFCS, già NCSC) colloca questa misura in cima alle sue raccomandazioni per le PMI. È il pilastro più visibile del principio "verificare sempre".
2. Dare a ciascuno solo ciò di cui ha bisogno
È il secondo pilastro di Zero Trust: il privilegio minimo (least privilege). L'idea: ogni persona accede solo ai dati e agli strumenti necessari al proprio lavoro, e a nulla di più. Una stagista alla reception non ha bisogno di aprire i fascicoli degli stipendi; chi segue un portafoglio clienti non ha motivo di consultare quelli degli altri.
In pratica, fate l'inventario: chi può vedere cosa oggi? Scoprirete quasi sempre accessi ereditati da vecchie esigenze che nessuno usa più. Chiudere quelle porte non intralcia il lavoro — fa semplicemente in modo che un account compromesso esponga una stanza, non l'intero edificio.
3. Verificare regolarmente chi entra, e con cosa
Zero Trust non è un'impostazione che si configura una volta per tutte: è una verifica che ritorna. Prendete l'abitudine, ogni trimestre, di passare in rassegna l'elenco degli account: chi se n'è andato ha ancora un accesso attivo? Un ex fornitore conserva un ingresso dimenticato? Individuate anche i dispositivi che si collegano ai vostri strumenti, e rimuovete quelli che non riconoscete.
Questa pulizia regolare è poco spettacolare, ma è ciò che impedisce l'accumulo silenzioso di porte socchiuse — quelle che nessuno sorveglia, proprio perché ci si era "fidati" una volta per tutte.
A che punto siete davvero?
Zero Trust non è una casella da spuntare, e ancor meno un'etichetta da conquistare. È una direzione: la si prende un gesto dopo l'altro, e non si "finisce" mai davvero. La vera domanda non è quindi "siamo Zero Trust?", ma "dove ci affidiamo ancora a una fiducia che non abbiamo mai verificato?".
È esattamente ciò che l'autovalutazione Cyber Passport aiuta a vedere. Non certifica nulla e non rilascia alcuna etichetta: domanda dopo domanda, vi mostra dove la vostra organizzazione è solida e dove regge soprattutto per abitudine e fiducia interpersonale. Per andare oltre e trasformare questi riflessi in un piano chiaro — chi fa cosa, in quale ordine, con quale sforzo —, il nostro blueprint dedicato illustra il percorso passo dopo passo.
