Sicurezza informatica aziendale: cosa protegge davvero una PMI
Antivirus, firewall, servizi che promettono di bloccare tutto: è la terza domanda messa al primo posto. Prima viene l'ordine delle priorità, e quasi nessuna delle prime voci si compra.
La domanda arriva quasi sempre nello stesso modo: «cosa dovremmo comprare?». Un antivirus migliore, un firewall nuovo, un servizio che promette di bloccare tutto. È la domanda sbagliata, o meglio, è la terza domanda messa al primo posto. La sicurezza informatica aziendale non comincia da uno strumento: comincia da un elenco di cose che, se si fermano o finiscono nelle mani sbagliate, fermano l'azienda con loro. Finché quell'elenco non esiste, qualunque acquisto è una scommessa fatta con i soldi di chi legge.
Cosa si intende per sicurezza informatica
Sicurezza informatica significa tenere i dati e i servizi che servono al lavoro disponibili a chi ne ha diritto, integri e non leggibili da altri. Tre condizioni pratiche, non teoriche: il gestionale risponde, i dati sono quelli giusti, chi non deve entrare non entra. Tutto il resto sono strumenti al servizio di queste condizioni.
Detta così sembra banale. Nella pratica si perde per strada, perché si confonde la sicurezza con il catalogo dei prodotti che la promettono. Un firewall configurato bene è utile. Un firewall comprato per sentirsi a posto, con regole scritte da qualcuno che in azienda non lavora più e mai riviste da allora, è un apparato che dà l'impressione di proteggere. La differenza non sta nel modello: sta nel fatto che qualcuno sappia cosa deve passare e cosa no, e lo rilegga ogni tanto.
Vale la pena dire anche cosa non è. Non è soltanto difesa dagli attacchi esterni. Un disco pieno che blocca il database alle nove di mattina produce lo stesso danno di un'intrusione, con l'aggravante che nessuno chiama quel danno "sicurezza", quindi nessuno se ne occupa prima che accada.
Perché è importante la sicurezza informatica in una PMI
Perché in una piccola o media impresa la concentrazione è altissima. Un solo server con sopra il gestionale e le condivisioni. Un solo collega che sa come è fatta la rete. Un unico account amministrativo che usano in quattro perché «è più comodo». Ognuna di queste cose funziona benissimo, fino al giorno in cui non funziona più, e quel giorno non c'è un secondo percorso.
Ecco una scena che si ripete. Un collaboratore esterno lavora sei mesi con voi, gli viene dato un accesso VPN e una utenza con permessi generosi, perché serviva in fretta e nessuno aveva tempo di ritagliarli. Il rapporto finisce. L'utenza resta. Non succede nulla per un anno, poi quelle credenziali compaiono in una lista pubblicata da qualche parte, insieme a quelle di altri mille servizi dove la stessa persona aveva usato la stessa password. Non serve un attacco sofisticato: serve solo che qualcuno provi.
Il danno, in una PMI, si misura in giorni di lavoro fermi e in fiducia dei clienti, non in titoli di giornale. Ed è quasi sempre un danno evitabile con misure che non hanno un prezzo di listino.
L'ordine che conviene seguire nella sicurezza informatica aziendale
La lista delle cose da fare la conoscono tutti. Quello che manca quasi sempre è l'ordine, e l'ordine conta più della lista, perché il budget e l'attenzione finiscono prima delle buone intenzioni. Questa è la sequenza che consiglio, e il motivo per cui è questa.
- Sapere cosa avete. Server fisici e virtuali, servizi cloud, applicazioni, database, chi li usa, da dove si raggiungono, chi li mantiene. Senza questo elenco non potete nemmeno sapere cosa state proteggendo.
- Governare gli accessi. Chi entra, con quale identità, fin dove arriva, e cosa succede quando se ne va.
- Avere copie che si ripristinano. Non copie: ripristini provati.
- Ridurre la superficie esposta e aggiornare. Chiudere ciò che non serve raggiungibile da internet, tenere il passo con gli aggiornamenti dei sistemi e delle applicazioni.
- Accorgersi dei problemi. Monitoraggio di disponibilità, spazio, risorse, scadenze di certificati e domini.
- Mettere per iscritto chi fa cosa. Procedure, referenti, perimetro dei fornitori.
Notate una cosa: delle prime tre voci, nessuna si compra. Si fanno. Gli strumenti servono a sostenerle, non a sostituirle. Chi salta ai punti quattro e cinque perché hanno una fattura associata e un'interfaccia da guardare, si ritrova con dashboard piene di grafici verdi sopra un'infrastruttura di cui nessuno ha la mappa.
Gli accessi sono la misura che rende di più
Se aveste tempo per una cosa sola questo trimestre, farei questa. È noiosa, non si vede, e riduce il rischio più di qualunque acquisto.
- Elencate tutte le utenze attive su server, gestionale, posta, VPN, pannelli dei fornitori cloud e registrar dei domini. Tutte, comprese quelle di servizio.
- Segnate accanto a ognuna una persona in carne e ossa. Le utenze senza nome accanto sono le prime da chiudere o da rinominare.
- Eliminate gli account condivisi tra più persone. Se due colleghi entrano con la stessa credenziale, nessun registro vi dirà mai chi ha fatto cosa.
- Attivate un secondo fattore su tutto ciò che si raggiunge da fuori: posta, VPN, pannelli di amministrazione.
- Separate l'utenza amministrativa da quella di lavoro quotidiano, anche per chi gestisce i sistemi.
- Decidete adesso la procedura di uscita: quando qualcuno lascia l'azienda o chiude una collaborazione, quali accessi si revocano, entro quando, chi lo verifica.
Un'ora di riunione e qualche pomeriggio di lavoro. Il ritorno è sproporzionato rispetto alla fatica.
Le copie contano solo se tornano indietro
Il giorno del ripristino si scopre tutto quello che non si era guardato. Il backup del database c'è, regolare, notte dopo notte. Poi si rimette in piedi la macchina e l'applicazione non parte, perché mancava il file di configurazione che stava fuori dalle cartelle incluse nel salvataggio, e nessuno lo sapeva perché nessuno aveva mai provato. Oppure torna tutto, ma i dati sono fermi a undici giorni prima: il job era in errore da undici giorni e il messaggio arrivava a una casella che non legge più nessuno.
Per questo la prova di ripristino non è un dettaglio operativo ma una misura di sicurezza a tutti gli effetti, la più concreta che esista contro gli incidenti che non avete previsto. Su come impostarla, con quale frequenza e cosa verificare, trovate un approfondimento dedicato in backup che si possono davvero ripristinare.
Chi risponde di che cosa: la sicurezza informatica aziendale non è un tema solo tecnico
Molte aziende hanno un fornitore per la rete, uno per il gestionale, un provider cloud e un consulente che passa quando serve. Ognuno fa bene la sua parte. Le zone di confine, invece, non sono di nessuno: gli aggiornamenti del sistema operativo sotto un'applicazione gestita da terzi, i certificati che scadono, le regole del firewall aperte per un'integrazione dismessa due anni fa.
Mettete su carta, anche una pagina, chi si occupa di cosa. Poi fate ai fornitori tre domande scomode: quali aggiornamenti applicate e con che cadenza, chi di voi ha accesso ai nostri sistemi e con quale utenza, cosa succede se un vostro tecnico lascia l'azienda. Le risposte vaghe sono già un'informazione.
Da dove partire lunedì mattina
Aprite un foglio e scrivete due colonne. A sinistra i servizi senza i quali l'azienda non lavora, in ordine di urgenza reale, non di simpatia. A destra, per ciascuno, dove gira, chi lo mantiene, dove sono le copie e quando è stato provato l'ultimo ripristino. Le caselle che restano vuote sono la vostra lista delle priorità, già ordinata, senza bisogno che nessuno vi venda niente. Se poi volete un confronto ordinato su come chiudere quelle caselle, in Forgiant lavoriamo esattamente su questo.
Domande frequenti
Da dove deve iniziare una PMI che non ha mai fatto nulla in materia di sicurezza?
Dall'elenco dei sistemi e dei servizi che sostengono il lavoro quotidiano, con il nome di chi li mantiene. Subito dopo, dalla revisione delle utenze attive. Sono due attività di metodo, non richiedono acquisti e permettono di capire dove il rischio è concentrato.
Antivirus e firewall bastano a proteggere un'azienda?
No, e non perché siano inutili. Coprono una parte del problema, mentre gli incidenti più frequenti in una PMI nascono da accessi mai revocati, copie mai provate e sistemi non aggiornati. Uno strumento configurato e mai più riletto offre una protezione solo apparente.
Ogni quanto vanno riviste le utenze e i permessi?
Serve una revisione periodica concordata e, soprattutto, una revoca immediata legata alle uscite di personale e alla chiusura delle collaborazioni. La regola pratica è che nessun accesso sopravviva al motivo per cui era stato creato.