Sicurezza informatica per PMI: la checklist essenziale

Molte piccole e medie imprese pensano di non essere un bersaglio interessante. In realtà gran parte degli attacchi non è mirata: email di phishing e software malevoli vengono inviati in massa e colpiscono chi presenta i punti deboli più comuni.

La buona notizia è che le misure più efficaci sono anche le più semplici. Questa checklist parte da quelle.

1. Autenticazione a due fattori su email e servizi cloud

L’email è la chiave di quasi tutto: da lì si recuperano le password degli altri servizi. Attiva l’autenticazione a due fattori (2FA) su posta elettronica, Microsoft 365 o Google Workspace, gestionale in cloud, home banking, hosting e registrar del dominio. Anche se una password viene rubata, l’accesso resta bloccato.

2. Password uniche e un gestore di password

Usare la stessa password su più servizi significa che basta una violazione per aprirli tutti. Un gestore di password aziendale permette di avere password lunghe e diverse senza doverle ricordare, e di condividere in modo controllato quelle comuni.

3. Aggiornamenti regolari

Sistemi operativi, browser, software, firmware di router e firewall: gli aggiornamenti correggono vulnerabilità note che gli attaccanti sfruttano attivamente. Serve un calendario e qualcuno che verifichi che vengano installati davvero, compresi i computer usati poco.

4. Backup separati e provati

Applica la regola 3-2-1: tre copie, su due supporti diversi, una fuori sede. Almeno una copia deve essere isolata dalla rete, per resistere al ransomware, e il ripristino va provato periodicamente.

5. Rete ospiti separata

Ospiti, telecamere, stampanti e dispositivi smart non dovrebbero stare sulla stessa rete dei computer e dei server aziendali. Una rete separata limita i danni se uno di questi dispositivi viene compromesso.

6. Firewall configurato e router non di fabbrica

Un router con password e configurazione predefinite è un punto debole. Cambia le credenziali di amministrazione, aggiorna il firmware, chiudi i servizi non necessari e verifica che nessun sistema interno sia esposto direttamente su Internet senza motivo.

7. Accesso remoto tramite VPN

Il desktop remoto o le cartelle condivise aperte direttamente su Internet sono tra i bersagli più frequenti. Per lavorare da casa o in trasferta, l’accesso ai sistemi dell’ufficio dovrebbe passare da una VPN con autenticazione forte.

8. Accessi in base al ruolo

Ognuno dovrebbe accedere solo a ciò che gli serve. Rivedi periodicamente chi ha accesso a cartelle, gestionale e servizi cloud, limita gli account amministrativi e usa account personali, non condivisi.

9. Ingresso e uscita del personale

Quando un collaboratore lascia l’azienda, i suoi account vanno disattivati subito e le password condivise cambiate. Quando entra, i dispositivi vanno consegnati già configurati e protetti. Una semplice procedura scritta evita dimenticanze.

10. Formazione contro il phishing

La maggior parte degli incidenti inizia con un’email: una finta fattura, un pacco in giacenza, una richiesta urgente di un fornitore che ha “cambiato IBAN”. Bastano pochi esempi concreti e una regola chiara, per esempio verificare sempre per telefono le richieste di pagamento inusuali, per ridurre molto il rischio.

Sicurezza e GDPR

Il GDPR chiede di adottare misure tecniche e organizzative adeguate per proteggere i dati personali. Molti punti di questa lista, come accessi controllati, backup, aggiornamenti e procedure documentate, sono proprio le misure che ci si aspetta di trovare. Documentare cosa è stato fatto è utile anche verso clienti, assicurazioni e consulenti privacy.

Da dove iniziare

Se non sai a che punto è la tua azienda, il primo passo è una valutazione della sicurezza: un’analisi di rete, dispositivi, account e backup che restituisce un elenco di interventi in ordine di priorità. Così si investe prima dove il rischio è più alto.

Scopri il nostro servizio di reti e sicurezza informatica oppure richiedi una consulenza.