In questa fase la sicurezza informatica finisce spesso in fondo alla lista delle priorità, finché non si verifica il primo incidente.

Eppure i rischi informatici riguardano aziende di ogni dimensione. Anzi, le piccole e medie imprese sono sempre più nel mirino degli attaccanti, che spesso partono dal presupposto che le organizzazioni più piccole abbiano difese più deboli.

La buona notizia: per costruire una solida base di cybersecurity non servono un grande team di sicurezza né budget da grande azienda. Ciò che conta è iniziare presto e applicare i giusti principi di base.

Questa guida illustra passi concreti con cui le nuove aziende possono organizzare la propria sicurezza informatica fin dall’inizio, compresi gli aspetti normativi più importanti nell’Unione Europea e in Svizzera.

Partire dalla consapevolezza dei rischi, non dalla tecnologia

La cybersecurity non inizia con l’acquisto di strumenti, ma con la comprensione di ciò che la tua azienda deve davvero proteggere.

Ogni organizzazione tratta tipi diversi di informazioni sensibili. Per la maggior parte delle nuove aziende, i beni più critici sono:

• dati di clienti e utenti
• documenti interni e contratti
• proprietà intellettuale e progetti di prodotto
• sistemi finanziari e dati di pagamento
• credenziali dei dipendenti e accessi ai sistemi aziendali

Mappare questi beni aiuta a capire quali sistemi sono più critici per l’operatività aziendale.

Allo stesso tempo, le aziende dovrebbero conoscere le minacce informatiche più comuni per le piccole imprese:

• phishing e attacchi di social engineering
• furto di credenziali e presa di controllo degli account
• ransomware
• fughe di dati ed esposizione involontaria di informazioni
• rischi interni (insider)

Il principio chiave è semplice: proteggi prima ciò che conta di più per la tua azienda.

Creare le basi della sicurezza

Una volta individuati i beni più critici, le aziende dovrebbero introdurre alcune misure di sicurezza fondamentali, che costituiscono la base di un programma di cybersecurity.

Gestione delle identità e degli accessi (IAM)

Controllare chi può accedere ai sistemi aziendali è una delle misure di sicurezza più importanti.

Ogni azienda dovrebbe assicurarsi che:

• ogni dipendente abbia un account utente personale
• l’autenticazione multifattore (MFA) sia attiva ovunque possibile
• i diritti di accesso si basino su ruoli e responsabilità
• i privilegi amministrativi siano limitati al personale che ne ha bisogno

Con la crescita dell’azienda, un sistema centralizzato di gestione delle identità semplifica notevolmente il controllo degli accessi.

Sicurezza delle password

Password deboli o riutilizzate restano tra le cause più frequenti di incidenti di sicurezza.

Le aziende dovrebbero evitare pratiche poco sicure come:

• condividere password via e-mail o chat
• salvare le credenziali in fogli di calcolo
• usare la stessa password per più servizi

Un password manager aziendale permette di archiviare e condividere le credenziali in modo sicuro, imponendo al tempo stesso regole rigorose sulle password.

Sicurezza dei dispositivi e degli endpoint

I dispositivi dei dipendenti sono spesso il punto d’ingresso degli attacchi informatici.

Le aziende dovrebbero adottare misure di base per la sicurezza dei dispositivi, ad esempio:

• aggiornamenti automatici di sistema operativo e software
• crittografia del disco su laptop e workstation
• soluzioni di protezione degli endpoint o antivirus
• per quanto possibile, dispositivi aziendali gestiti centralmente

Queste misure riducono notevolmente il rischio di infezioni da malware e di accessi non autorizzati.

Gestione sicura dei dati

Le organizzazioni dovrebbero definire regole semplici per trattare i diversi tipi di informazioni.

Ad esempio:

• classificare le informazioni come interne, riservate o pubbliche
• conservare i dati sensibili in ambienti cloud sicuri
• crittografare i dati sensibili dove opportuno
• adottare procedure di backup affidabili

Anche semplici regole di classificazione dei dati possono ridurre sensibilmente il rischio di esposizioni involontarie.

Definire policy di sicurezza di base

Anche le piccole aziende traggono vantaggio da policy di cybersecurity chiaramente definite.

Non devono essere documenti complessi o lunghi, ma fornire ai dipendenti indicazioni chiare.

Esempi tipici:

• policy sulle password
• policy di gestione degli accessi
• policy sull’uso dei dispositivi
• linee guida per il trattamento dei dati
• procedure di segnalazione degli incidenti di sicurezza

La cosa più importante è che queste policy siano comprese e applicate con coerenza.

Formare i dipendenti fin da subito

La tecnologia da sola non basta a prevenire gli incidenti. L’errore umano resta uno dei maggiori rischi per la sicurezza informatica.

I dipendenti dovrebbero ricevere una formazione di base sulla sicurezza che includa:

• riconoscere le e-mail di phishing
• buone pratiche per le password
• uso responsabile dei servizi cloud
• gestione delle informazioni sensibili
• segnalazione di attività sospette

Introdurre la consapevolezza sulla sicurezza già durante l’onboarding aiuta a creare fin dall’inizio una solida cultura della sicurezza.

Introdurre logging, monitoraggio e backup

Le organizzazioni hanno inoltre bisogno di visibilità sui propri sistemi e della capacità di riprendersi dopo un incidente.

Un monitoraggio di base della sicurezza comprende:

• registrazione delle attività di sistema e delle applicazioni
• tracciamento degli accessi degli utenti ai sistemi critici
• monitoraggio delle attività amministrative

Altrettanto importante è una strategia di backup affidabile.

Le aziende dovrebbero:

• eseguire backup regolari dei dati
• conservare i backup in modo sicuro
• testare periodicamente le procedure di ripristino

I backup sono spesso la difesa più efficace contro gli attacchi ransomware.

Conoscere i requisiti normativi

La cybersecurity è sempre più influenzata dal quadro normativo. Le nuove aziende dovrebbero conoscere i requisiti legali del contesto in cui operano.

I requisiti variano a seconda della giurisdizione. Ecco una breve panoramica delle norme più rilevanti nell’Unione Europea e in Svizzera.

Cybersecurity e protezione dei dati nell’Unione Europea

Le aziende che operano nell’UE devono rispettare diverse normative in materia di sicurezza informatica e protezione dei dati.

Regolamento generale sulla protezione dei dati (GDPR)

Il GDPR disciplina il modo in cui le organizzazioni raccolgono, trattano e conservano i dati personali.

Tra i requisiti principali:

• adottare misure di sicurezza tecniche e organizzative adeguate
• proteggere i dati personali da accessi o divulgazioni non autorizzati
• notificare determinate violazioni dei dati alle autorità di controllo

Il GDPR si applica non solo alle aziende con sede nell’UE, ma anche alle organizzazioni extra UE che trattano dati di persone residenti nell’UE.

Direttiva NIS2

La direttiva NIS2 rafforza i requisiti di cybersecurity per le organizzazioni che operano in settori critici o importanti.

Le aziende interessate devono, tra l’altro:

• adottare misure di gestione del rischio
• sviluppare capacità di rilevamento e risposta agli incidenti
• notificare obbligatoriamente gli incidenti informatici significativi

Anche le organizzazioni che non rientrano direttamente nella NIS2 possono esserne coinvolte attraverso la catena di fornitura.

Cyber Resilience Act (CRA)

Il Cyber Resilience Act dell’UE introduce requisiti di cybersecurity per i prodotti con elementi digitali.

I produttori di software e dispositivi connessi devono garantire che i loro prodotti:

• siano sicuri by design e by default
• ricevano aggiornamenti di sicurezza
• comunichino in modo trasparente le vulnerabilità
• dispongano di processi strutturati per la gestione delle vulnerabilità

Il CRA alza notevolmente le aspettative di sicurezza per i fornitori di software attivi sul mercato UE.

Cybersecurity e protezione dei dati in Svizzera

La Svizzera dispone di un proprio quadro giuridico in materia di sicurezza informatica e protezione dei dati.

La norma più rilevante è la legge federale sulla protezione dei dati riveduta (nLPD).

Questa legge obbliga le organizzazioni a:

• proteggere i dati personali da accessi non autorizzati
• adottare misure di sicurezza tecniche e organizzative adeguate
• informare le autorità in caso di determinate violazioni dei dati

Rispetto alle normative UE, il quadro svizzero è in genere basato su principi e più flessibile: punta su una protezione adeguata più che su prescrizioni tecniche dettagliate.

Ciononostante, le aziende che trattano dati personali devono adottare solide misure di sicurezza e pratiche di trattamento dei dati trasparenti.

Scegliere gli strumenti di sicurezza giusti

Una volta definite le policy e i processi di base, le organizzazioni possono supportarli con le tecnologie adeguate.

Un tipico pacchetto di sicurezza per piccole e medie imprese può includere:

• un password manager aziendale
• sistemi di gestione delle identità e degli accessi
• soluzioni di protezione degli endpoint
• piattaforme sicure di collaborazione in cloud
• soluzioni di backup e ripristino
• strumenti di logging e monitoraggio

Gli strumenti di sicurezza dovrebbero supportare processi ben definiti, non sostituirli.

Iniziare in piccolo e migliorare continuamente

La maturità in materia di cybersecurity non si raggiunge da un giorno all’altro: cresce gradualmente insieme all’azienda.

Un approccio pratico prevede di:

• introdurre presto i controlli di sicurezza di base
• rivedere regolarmente i rischi
• migliorare policy e strumenti nel tempo
• effettuare periodicamente valutazioni della sicurezza

Il miglioramento continuo è molto più efficace che cercare di implementare subito un programma di sicurezza complesso.

Conclusione

Oggi la cybersecurity non è più solo una questione IT: è un requisito aziendale fondamentale.

Per le nuove aziende, costruire presto una base di sicurezza aiuta a evitare incidenti costosi, a tutelare la fiducia dei clienti e a rispettare i requisiti normativi.

Puntando su protezione delle identità, gestione sicura delle password, consapevolezza dei dipendenti e policy di sicurezza chiare, le organizzazioni possono ridurre in modo significativo il proprio rischio informatico.

La cybersecurity non deve iniziare con la complessità.

Inizia con priorità chiare, misure concrete e miglioramento continuo.