Dalla posta elettronica ai backup: come scegliere le priorità, valutare i preventivi e distinguere gli obblighi di sicurezza e notifica.

La cybersecurity nelle PMI riguarda la capacità di continuare a lavorare quando una casella di posta viene compromessa, un gestionale si blocca o i dati non sono più disponibili. Prima di scegliere un prodotto serve capire quali attività dipendono dai sistemi digitali, quanto a lungo possono fermarsi e chi deve intervenire: da queste risposte discendono priorità, budget e responsabilità, anche quando l’assistenza informatica è affidata all’esterno.

I rischi informatici che entrano nel lavoro quotidiano

Un messaggio che imita un fornitore può portare al furto delle credenziali o alla modifica delle coordinate di un pagamento. Un dispositivo non aggiornato può offrire un accesso alla rete; un ransomware può rendere inutilizzabili i documenti e accompagnarsi alla sottrazione di informazioni. Il rapporto ENISA dedicato alle piccole e medie imprese considera la sicurezza insieme alle difficoltà di risorse e competenze: il rischio va valutato sull’attività concreta, non sulla sola dimensione aziendale.

Esiste anche una dipendenza dai fornitori. Se la contabilità è nel cloud, bisogna sapere quali dati vengono conservati, quali copie sono disponibili e come recuperarli cambiando servizio. Se un tecnico accede da remoto, occorre controllare account e autorizzazioni. Sono domande operative: un’azienda può avere pochi computer e dipendere comunque da un solo applicativo per incassare, spedire o produrre documenti indispensabili.

Cybersecurity nelle PMI da dove cominciare

La guida ENISA in dodici passi propone di partire da organizzazione, persone e misure tecniche. Un inventario aggiornato di dispositivi, software, account e servizi esterni permette di assegnare un responsabile a ciascun elemento. Occorre poi individuare le informazioni più importanti e stabilire il tempo massimo tollerabile di interruzione: un archivio consultato saltuariamente e il sistema degli ordini possono richiedere livelli di protezione e recupero differenti.

Le priorità comprendono autenticazione a più fattori, password uniche, aggiornamenti, protezione dei dispositivi, limitazione dei privilegi e formazione. Il personale deve conoscere un canale semplice per segnalare un sospetto e una procedura di verifica dei cambi di IBAN attraverso un contatto già noto. Non basta un corso iniziale: ingresso di nuovi colleghi, cambi di ruolo e uscita dall’azienda richiedono controlli sugli accessi e sulle autorizzazioni rimaste attive.

Il backup conta se si riesce a ripristinarlo

La versione italiana della guida ENISA dedica attenzione a copie di sicurezza, continuità e risposta agli incidenti. Un backup va separato dall’ambiente che protegge, con accessi controllati e soluzioni adeguate al rischio, per evitare che lo stesso incidente renda inutilizzabili originali e copie. È necessario verificare il contenuto e soprattutto eseguire prove di ripristino, registrandone esito e tempi.

Un controllo pratico consiste nel chiedere al fornitore di recuperare un documento e un insieme di dati applicativi in un ambiente di prova concordato. Il risultato deve rispondere a domande precise: fino a quale data si recuperano le informazioni, quanto tempo occorre e quali dipendenze impediscono di tornare operativi? Vedere un messaggio che annuncia “backup completato” non dimostra, da solo, che l’intero servizio possa ripartire.

Quanto costa la cybersecurity a una PMI

Non c’è un prezzo unico confrontabile per qualsiasi impresa. Il preventivo dipende da utenti, dispositivi, sedi, dati, orari di assistenza e obblighi applicabili. Per leggerlo conviene separare costi iniziali, canoni ricorrenti, verifiche periodiche e interventi in emergenza. Un’offerta che comprende solo licenze non equivale a una che include configurazione, monitoraggio, formazione e gestione degli allarmi.

Area di spesa	Che cosa verificare nel preventivo
Analisi e configurazione	Sistemi inclusi, inventario, rischi esaminati, attività iniziali
Protezione e gestione	Prezzo per utente o dispositivo, aggiornamenti, controlli e copertura oraria
Backup e recupero	Dati compresi, conservazione, prove di ripristino, tempi concordati
Persone e procedure	Formazione, gestione degli accessi, piano per gli incidenti
Assistenza urgente	Reperibilità, tempi di presa in carico, ore incluse e maggiorazioni

 

Per il primo anno si sommano avvio, canoni per il periodo considerato e attività escluse; dal secondo si distingue ciò che si ripete da ciò che era soltanto iniziale. È un metodo di lettura del budget, non una stima di mercato. Sul versante dell’incidente vanno invece considerati lavoro fermo, recupero, comunicazioni e possibili conseguenze contrattuali, evitando di confondere fatturato non realizzato e perdita economica effettiva. La ricostruzione delle vulnerabilità digitali pubblicata dal Contemporaneo mostra quanto gli effetti possano uscire dai sistemi informatici; un incidente aziendale non costituisce però automaticamente un’azione di guerra ibrida.

Backup e continuità operativa vanno valutati anche attraverso prove di recupero dei dati. Foto di repertorio. Foto: Brett Sayles / Pexels.

NIS2 e GDPR quali responsabilità restano all’impresa

Il decreto legislativo 138 del 2024, che recepisce la NIS2, non si applica indistintamente a tutte le PMI. Bisogna verificare settore, attività, dimensioni secondo i criteri previsti, relazioni societarie e casi di inclusione indipendenti dalla dimensione. Un requisito di sicurezza imposto da un cliente può inoltre derivare dal contratto di fornitura senza trasformare, da solo, il fornitore in un soggetto NIS.

Per gli enti che rientrano nel perimetro, il decreto attribuisce compiti agli organi di amministrazione e direttivi in materia di approvazione e controllo delle misure, oltre alla formazione. Non è sufficiente delegare verbalmente “tutto all’informatico”: responsabilità interne, contratto con il fornitore e verifiche devono risultare chiari. Per scadenze e decorrenze occorre seguire le comunicazioni ACN relative alla propria inclusione, senza estendere a qualsiasi impresa un calendario identico.

Anche fuori dal perimetro NIS, chi tratta dati personali deve applicare il GDPR. Il Garante privacy chiarisce che le misure tecniche e organizzative devono essere adeguate al rischio e sottoposte a verifica. Il contratto con il fornitore va quindi valutato anche sul ruolo effettivo nel trattamento, sulle istruzioni e sulle garanzie offerte: acquistare un servizio cloud non trasferisce automaticamente al fornitore ogni obbligo del titolare.

Che cosa fare quando si verifica un incidente

L’impresa deve attivare i referenti individuati, contenere l’incidente con assistenza competente e conservare elementi utili alla ricostruzione, evitando interventi improvvisati che cancellino le tracce. Bisogna registrare quando il problema è stato rilevato, sistemi e dati coinvolti, prime misure e comunicazioni. Ripristino tecnico, gestione dei rapporti con clienti e valutazione degli adempimenti devono procedere in modo coordinato.

Secondo la scheda del Garante sulle violazioni dei dati personali, il titolare notifica il data breach senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Le violazioni vanno comunque documentate; un rischio elevato può richiedere anche di informare gli interessati, secondo le condizioni del regolamento. Non ogni guasto è un data breach, ma anche la perdita di disponibilità dei dati può esserlo.

Gli obblighi NIS seguono un percorso distinto: per gli incidenti significativi il decreto prevede, in generale, pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese dalla notifica, con specificità ed eccezioni da verificare. Una comunicazione non sostituisce automaticamente l’altra. Preparare prima contatti, ruoli e documenti permette di usare le prime ore per gestire il problema, anziché per decidere chi debba occuparsene.