La sicurezza informatica non dipende da un singolo prodotto, ma dall’insieme delle misure tecniche, organizzative e operative con cui un’azienda protegge i propri sistemi e le proprie informazioni. Anche una piccola impresa può utilizzare posta elettronica, servizi cloud, dispositivi mobili, software gestionali, accessi remoti e sistemi di archiviazione che devono essere mantenuti aggiornati e controllati.
Per questo motivo, una revisione periodica della sicurezza è utile per individuare configurazioni deboli, account non più necessari, copie di backup non verificate e dispositivi che non ricevono più aggiornamenti. La fine dell’anno può rappresentare un momento pratico per organizzare queste attività, ma i controlli non dovrebbero limitarsi a una verifica occasionale. La sicurezza richiede un processo continuo, con responsabilità chiare, interventi documentati e una pianificazione coerente con i rischi effettivi dell’organizzazione.
Il primo controllo riguarda gli account e i metodi di autenticazione. L’azienda dovrebbe conoscere gli utenti che possono accedere alla posta elettronica, ai sistemi amministrativi, agli archivi condivisi, ai servizi cloud e alle connessioni remote.
Gli account di persone che hanno lasciato l’organizzazione o che non necessitano più di determinati permessi devono essere disabilitati o aggiornati secondo una procedura definita. È inoltre importante distinguere gli account ordinari da quelli con privilegi amministrativi e limitare questi ultimi alle persone che ne hanno realmente bisogno.
L’autenticazione a più fattori, nota come MFA, aggiunge una verifica oltre alla password e riduce il rischio che una credenziale rubata sia sufficiente per entrare in un sistema. Quando possibile, è preferibile adottare metodi resistenti al phishing. CISA raccomanda alle imprese di richiedere la MFA, con particolare attenzione agli account amministrativi e agli accessi remoti, e di privilegiare le modalità più robuste disponibili. (Fonte: CISA, Require Multifactor Authentication, cisa.gov).
Il secondo controllo riguarda gli aggiornamenti di sistemi operativi, applicazioni, dispositivi di rete e componenti software. Le vulnerabilità note possono essere sfruttate quando un prodotto rimane esposto senza le correzioni disponibili. Per ridurre questo rischio, l’organizzazione dovrebbe mantenere un inventario degli asset, registrare le versioni utilizzate e definire una procedura per valutare e installare gli aggiornamenti.
Non è sufficiente verificare che gli aggiornamenti automatici siano attivi: occorre sapere se sono stati installati correttamente e se esistono sistemi che non possono più essere aggiornati.
In ambienti complessi, le patch possono essere prima testate su un gruppo limitato di dispositivi per ridurre il rischio di interruzioni operative. Quando una correzione urgente riguarda una vulnerabilità sfruttata o un sistema esposto a Internet, la priorità deve essere valutata in funzione del rischio e dell’esposizione. I sistemi non più supportati dovrebbero essere sostituiti, isolati o protetti con misure compensative documentate.
Il terzo controllo riguarda il backup e la possibilità effettiva di ripristinare i dati. Disporre di copie di sicurezza non significa automaticamente essere in grado di recuperare l’operatività dopo un incidente. I backup devono comprendere i dati e i sistemi necessari alla ripartenza, essere protetti da accessi non autorizzati e avere una frequenza coerente con la quantità di informazioni che l’azienda può permettersi di perdere. È utile separare le copie dai sistemi principali e valutare modalità che impediscano a un attaccante di modificarle o cancellarle con le stesse credenziali utilizzate per la rete aziendale.
Occorre inoltre verificare periodicamente il ripristino di file, database e servizi, documentando tempi e problemi incontrati.
Un test di recupero dovrebbe dimostrare non soltanto che i dati sono leggibili, ma anche che le applicazioni possono tornare a funzionare in condizioni realistiche. La frequenza dei test dipende dalla criticità dei sistemi, dai requisiti operativi e dagli obiettivi di continuità definiti dall’azienda.
Il quarto controllo riguarda la protezione dei dispositivi e della rete. Computer, server, telefoni aziendali, firewall, access point e apparati industriali possono diventare punti di ingresso se sono configurati in modo improprio o non vengono mantenuti.
È importante rimuovere servizi non necessari, cambiare credenziali predefinite, limitare le porte esposte e separare, quando opportuno, reti con funzioni e livelli di rischio differenti. Per esempio, una rete destinata agli ospiti non dovrebbe avere accesso diretto agli archivi interni, mentre i dispositivi industriali potrebbero richiedere una segmentazione specifica per evitare collegamenti non necessari con i sistemi d’ufficio.
Gli accessi remoti dovrebbero utilizzare canali protetti, autenticazione robusta e autorizzazioni limitate. Anche le regole del firewall devono essere riesaminate periodicamente, perché configurazioni create per esigenze temporanee possono rimanere attive più a lungo del previsto. Le modifiche dovrebbero essere documentate e verificate per evitare di introdurre nuove interruzioni o esposizioni.
Il quinto controllo riguarda la posta elettronica e la gestione del phishing.
I messaggi fraudolenti possono tentare di sottrarre credenziali, indurre un dipendente ad aprire un allegato pericoloso o convincerlo a effettuare un pagamento non autorizzato. La formazione del personale è importante, ma deve essere accompagnata da misure tecniche e procedure operative. I dipendenti dovrebbero sapere come segnalare un messaggio sospetto senza inoltrarlo indiscriminatamente e come comportarsi se hanno inserito una password in una pagina non affidabile.
Per le richieste di modifica delle coordinate bancarie, pagamenti urgenti o condivisione di informazioni riservate, è utile prevedere una verifica attraverso un canale indipendente. Le configurazioni di autenticazione del dominio, come SPF, DKIM e DMARC, possono contribuire a contrastare alcune forme di falsificazione del mittente, se implementate e monitorate correttamente. Non eliminano ogni messaggio fraudolento, ma costituiscono una parte di una strategia più ampia che include filtri, autenticazione e procedure di verifica.
Il sesto controllo riguarda la registrazione degli eventi e il monitoraggio.
I log possono aiutare a individuare accessi anomali, modifiche ai permessi, tentativi ripetuti di autenticazione e attività inattese sui sistemi. Per essere utili, devono essere raccolti in modo coerente, protetti da alterazioni non autorizzate e conservati per un periodo adeguato alle esigenze operative e normative. L’azienda dovrebbe stabilire quali eventi registrare, chi li esamina e quali condizioni richiedono un intervento.
Non è necessario che ogni organizzazione disponga subito di un centro operativo di sicurezza avanzato, ma è importante evitare che gli avvisi critici vengano ignorati o inviati a caselle che nessuno controlla. Il monitoraggio deve essere accompagnato da procedure di risposta: un allarme senza un responsabile e senza azioni definite rischia di non produrre alcun beneficio. Le risorse CISA per le piccole e medie imprese includono indicazioni su logging, backup, aggiornamenti, password e autenticazione a più fattori. (Fonte: CISA, Small and Medium-Sized Business Resources, cisa.gov).
Il settimo controllo riguarda la preparazione agli incidenti.
Un’organizzazione dovrebbe sapere chi contattare quando un account viene compromesso, un server smette di funzionare o vengono rilevate attività sospette. Il piano di risposta dovrebbe identificare i responsabili, le modalità di comunicazione, le priorità operative e i criteri per isolare un dispositivo o sospendere un servizio.
È importante prevedere come preservare le evidenze, chi autorizza il ripristino e quando coinvolgere fornitori, consulenti specializzati o autorità competenti.
Le decisioni prese durante un incidente possono avere conseguenze tecniche, economiche e legali; per questo non dovrebbero essere improvvisate nel momento di maggiore pressione. Un’esercitazione basata su uno scenario realistico permette di verificare se le persone conoscono i propri compiti e se le informazioni di contatto sono aggiornate. Il piano deve essere rivisto dopo modifiche infrastrutturali significative e dopo ogni incidente rilevante.
Questi controlli devono essere accompagnati da un inventario attendibile delle risorse informatiche. Non è possibile proteggere in modo efficace un sistema di cui non si conosce l’esistenza, la posizione o il responsabile.
L’inventario dovrebbe comprendere dispositivi, software, servizi cloud, account privilegiati, applicazioni critiche e dipendenze da fornitori esterni. Per ogni elemento è utile registrare la criticità, il proprietario, lo stato degli aggiornamenti e le modalità di recupero. La gestione del rischio richiede inoltre di identificare i dati più importanti e i sistemi la cui indisponibilità avrebbe conseguenze rilevanti sull’attività. Non tutte le risorse hanno la stessa priorità: un servizio che gestisce pagamenti o produzione può richiedere controlli e tempi di ripristino diversi rispetto a un dispositivo secondario.
Le linee guida CISA sui Cybersecurity Performance Goals propongono un insieme prioritizzato di pratiche volontarie per aiutare le organizzazioni, comprese quelle di piccole e medie dimensioni, a strutturare le proprie attività di sicurezza. (Fonte: CISA, Cross-Sector Cybersecurity Performance Goals, cisa.gov/cybersecurity-performance-goals).
Per trasformare la verifica in un programma efficace, è consigliabile registrare ogni controllo con il relativo esito, il livello di rischio, il responsabile e la data prevista per la correzione. Le anomalie più urgenti devono essere trattate prima, mentre gli interventi meno critici possono essere inseriti in un piano con scadenze definite. La revisione dovrebbe essere proporzionata alla dimensione dell’azienda, alla sensibilità dei dati e alla complessità dei sistemi.
Non esiste (ovviamente) una configurazione unica che garantisca la sicurezza assoluta, e nessun singolo strumento può sostituire la gestione continuativa degli accessi, degli aggiornamenti, dei backup e degli incidenti.
Un approccio strutturato consente però di ridurre le debolezze più comuni e di dimostrare che i rischi vengono affrontati in modo consapevole. La sicurezza informatica è un processo di miglioramento continuo: controlli documentati, verifiche periodiche e responsabilità chiare sono elementi essenziali per proteggere le attività aziendali e limitare l’impatto degli incidenti.