Cybersecurity per PMI e adeguamento alla direttiva NIS2

Il problema: il danno non è il furto dei dati, è il fermo

Nelle PMI il costo di un incidente informatico si misura in giorni di lavoro perduti. I sistemi si bloccano, la produzione si ferma, le spedizioni e la fatturazione si interrompono, i clienti non ricevono risposta. A quel punto la domanda non è più come è entrato l’attaccante, ma quanto tempo serve per ripartire.

La seconda forma di danno è la frode sui pagamenti. Una casella di posta compromessa consente di seguire una trattativa e intervenire al momento giusto con un cambio di coordinate bancarie. Non serve alcuna tecnologia sofisticata: serve una password riutilizzata e l’assenza del secondo fattore di autenticazione.

Da dove passano gli attacchi, in ordine di frequenza

Credenziali

Phishing riuscito, password riutilizzate su più servizi, accessi remoti senza secondo fattore. È la via più usata e la più economica da chiudere.

Servizi esposti su internet

Pannelli di amministrazione, desktop remoti, apparati di rete con firmware vecchio, applicazioni dimenticate online. Spesso nessuno sa che sono raggiungibili dall’esterno.

Software non aggiornato

Vulnerabilità note e pubbliche, con strumenti di attacco già disponibili. La finestra fra la pubblicazione della vulnerabilità e lo sfruttamento si misura in giorni.

Fornitori e catena di fornitura

Un fornitore con accesso ai vostri sistemi è una porta aperta tanto quanto un vostro computer. Gli accessi dei terzi vanno limitati, nominali e revocabili.

Le prime misure, quelle che valgono di più

Autenticazione a due fattori su posta e accessi remoti. Aggiornamenti programmati. Backup con almeno una copia non raggiungibile dalla rete e prove di ripristino documentate. Privilegi amministrativi solo dove servono, con utenze personali e non condivise. Chiusura dei servizi pubblicati senza una ragione. Autenticazione del dominio di posta e controllo delle regole di inoltro automatico, che sono il primo segnale di una casella compromessa.

Sono interventi di costo contenuto e di effetto elevato. Li facciamo prima di qualunque attività specialistica, perché non ha senso commissionare un penetration test su un’infrastruttura in cui manca il secondo fattore.

NIS2: come ci muoviamo

Il primo passo è stabilire se l’azienda rientra nell’ambito della direttiva UE 2022/2555, recepita in Italia con il decreto legislativo 138/2024, come soggetto essenziale o importante. La risposta si documenta con la motivazione, perché serve anche verso clienti ed enti.

Se l’azienda rientra, il percorso riguarda la registrazione presso l’autorità nazionale, l’analisi del rischio, le misure minime di gestione, gli obblighi di notifica degli incidenti con tempi stretti e la responsabilità in capo agli organi di amministrazione. Lavoriamo sulla parte tecnica e sulla documentazione; gli aspetti di interpretazione normativa si chiudono con un consulente legale, e lo mettiamo per iscritto nel preventivo.

Formazione: il canale più usato è la posta

Una sessione breve di formazione e qualche prova simulata di phishing cambiano il comportamento in modo misurabile: si contano le persone che hanno cliccato prima e dopo. Le prove non servono a colpevolizzare nessuno e i risultati individuali non vengono comunicati: serve il dato aggregato, per capire se il rischio si è ridotto.

Che cosa non facciamo

Non vendiamo sicurezza con la paura e non promettiamo l’immunità: nessun fornitore può garantirla. Non dichiariamo certificazioni che non abbiamo. Le attività che richiedono competenze specialistiche, come i penetration test approfonditi e l’analisi forense dopo un incidente, le svolgiamo con specialisti del settore, indicati nel preventivo.

Il passo successivo

L’Audit di Pre-Fattibilità comprende l’analisi dell’esposizione esterna, la verifica dei backup e degli accessi e, dove serve, la verifica preliminare dell’ambito NIS2.