Le misure minime di cybersecurity che ogni PMI dovrebbe avere

MFA, backup, aggiornamenti, formazione: la maggior parte degli attacchi informatici a una PMI non richiede tecniche sofisticate, ma sfrutta lacune di base lasciate aperte per mesi. Una password riutilizzata, un server mai aggiornato, un backup che nessuno ha mai provato a ripristinare. Sono problemi banali da descrivere e costosi da subire.

In questa guida trovi le misure minime di cybersecurity che ogni PMI dovrebbe avere, in ordine di priorità: prima quelle che chiudono le porte più usate dagli attaccanti, poi quelle che ti permettono di ripartire, infine quelle che rendono la sicurezza un'abitudine. La checklist si basa sulle indicazioni pubbliche dell'Agenzia per la Cybersicurezza Nazionale (ACN), sulla guida di ENISA per le PMI e sui servizi di CSIRT Italia. Per ogni misura vediamo cosa fare, che evidenza tenere e come si collega ai controlli della ISO/IEC 27001, così il lavoro di oggi diventa la base di un sistema di gestione domani.

Cosa sono le misure minime di cybersecurity per una PMI?

Le misure minime di cybersecurity sono le protezioni di base che riducono i rischi più comuni con uno sforzo proporzionato alle dimensioni dell'azienda. Non sono un prodotto da comprare, ma un insieme di regole, configurazioni e abitudini.

L'ACN pubblica sul proprio sito una guida alla cybersicurezza per le PMI con consigli distinti per dirigenti, dipendenti e professionisti o fornitori IT. ENISA, l'agenzia dell'Unione europea per la cybersicurezza, ha pubblicato una guida in 12 passi per le PMI. Le due fonti, pur con parole diverse, convergono sugli stessi punti: autenticazione forte, backup, aggiornamenti, antivirus, cifratura, formazione, gestione dei fornitori e preparazione agli incidenti.

Perché partire dalle basi e non dagli strumenti avanzati

Le misure di base vengono prima perché senza fondamenta il resto non regge. Un sistema di monitoraggio evoluto serve a poco se l'account email del titolare è protetto da una password usata anche altrove.

Il ragionamento è lo stesso di un auditor: prima di valutare controlli sofisticati, si verifica che quelli elementari esistano e funzionino. Una PMI con 30 dipendenti raramente ha un team di sicurezza dedicato. Ha un responsabile IT interno, spesso con altri compiti, oppure un fornitore esterno. Per questo la checklist che segue è ordinata per impatto e fattibilità, non per complessità tecnica.

Chi deve occuparsene in azienda

La sicurezza informatica parte dalla direzione, non dal reparto IT. Sia l'ACN sia ENISA indicano come primo passo l'assegnazione di una responsabilità chiara.

L'ACN suggerisce ai dirigenti di nominare un responsabile della cybersicurezza e di confrontarsi con lui periodicamente, di allineare gli obiettivi di sicurezza a quelli aziendali e di sostenere la protezione dei processi, dei sistemi e dei dati vitali. ENISA aggiunge che chi ha questa responsabilità deve disporre di risorse: tempo delle persone, strumenti, formazione, politiche. In pratica: un nome, un budget deciso dalla direzione e un appuntamento fisso, anche solo trimestrale, per fare il punto.

Da dove iniziare: cosa devi proteggere per primo?

Prima di toccare una configurazione, devi sapere cosa è vitale per l'azienda. L'ACN indica di identificare attività, sistemi, servizi e dati critici per dare priorità agli interventi.

Prendi un'azienda tipo: un'officina meccanica con 40 dipendenti, un gestionale per ordini e fatturazione, una casella email per ogni impiegato, un file server con i disegni tecnici e qualche accesso remoto per il fornitore delle macchine a controllo numerico. Se si ferma il gestionale, l'azienda non fattura. Se spariscono i disegni, non produce. Se viene compromessa l'email dell'amministrazione, qualcuno può inviare a un cliente un IBAN falso.

Un inventario minimo risponde a cinque domande: quali sistemi usiamo, dove stanno i dati importanti, chi vi accede, chi li gestisce (interni o fornitori) e cosa succede se si fermano per un giorno. Bastano un foglio condiviso e mezza giornata di lavoro con il responsabile IT. Questo inventario è anche il punto di partenza dell'analisi dei rischi richiesta dalla ISO/IEC 27001: non lo butti via, lo farai crescere.

Priorità 1: come proteggere gli accessi?

Gli accessi sono la prima linea perché un account compromesso apre tutte le porte. Qui si concentrano le misure con il miglior rapporto tra sforzo e risultato.

Autenticazione a più fattori (MFA)

L'autenticazione a più fattori chiede, oltre alla password, una seconda prova: un codice da app, una notifica, una chiave fisica. Se la password viene rubata, da sola non basta.

L'ACN raccomanda di attivare la MFA soprattutto su email, archivi cloud, account privilegiati e accessi remoti. È esattamente l'ordine giusto per una PMI: l'email è il canale delle truffe sui pagamenti, il cloud contiene i documenti, gli account amministrativi controllano tutto, gli accessi remoti sono una porta aperta verso l'esterno. Un errore tipico è attivare la MFA per i dipendenti e lasciare esclusi l'account del titolare o quello condiviso del fornitore IT, cioè proprio i più appetibili.

Password, passphrase e gestore delle credenziali

Una buona password è lunga, unica e non indovinabile. ENISA suggerisce le passphrase, cioè almeno tre parole comuni casuali unite in una frase, facili da ricordare e difficili da indovinare.

Le regole, sia per l'ACN sia per ENISA, sono poche: non riutilizzare le credenziali su altri servizi, non condividerle con i colleghi, evitare informazioni personali reperibili online, usare un gestore di password dedicato. Il caso classico in una PMI è la password unica del gestionale scritta su un post-it vicino al monitor della reception, condivisa da quattro persone. Quando qualcuno lascia l'azienda, nessuno la cambia. Account nominativi e un gestore di password risolvono il problema e lasciano una traccia di chi ha fatto cosa.

Privilegi amministrativi ridotti al minimo

Gli utenti non dovrebbero avere diritti di amministratore sul proprio PC. L'ACN indica di limitare gli account privilegiati agli amministratori di sistema strettamente necessari.

Chi amministra, inoltre, dovrebbe usare un account standard per il lavoro quotidiano e quello amministrativo solo quando serve. Il motivo è concreto: se un dipendente apre un allegato malevolo, il danno resta confinato ai suoi permessi. Se quel dipendente è amministratore, il malware può installarsi ovunque. In molte PMI i diritti di amministratore sono stati concessi anni fa "per comodità", per installare una stampante o un programma, e mai revocati.

Priorità 2: come ripartire dopo un attacco o un guasto?

Se un attacco riesce, ciò che conta è ripristinare i dati in tempi accettabili. Il backup è la misura che separa un brutto giorno da un'interruzione che mette a rischio l'azienda.

Le regole di un backup che funziona

ENISA elenca quattro regole: backup regolare e automatizzato quando possibile, conservato separato dall'ambiente di produzione, cifrato soprattutto se viene spostato tra sedi diverse, con capacità di ripristino verificata regolarmente. L'ACN aggiunge di dare priorità ai dati critici e di combinare, dove possibile, copie locali e in cloud.

La separazione dal server è il punto più sottovalutato. Un disco esterno sempre collegato al server o una cartella sincronizzata sullo stesso dominio possono essere cifrati dal ransomware insieme ai dati originali. Il backup deve stare in un luogo che un attaccante, entrato nella rete, non riesce a raggiungere con le stesse credenziali.

Il test di ripristino: l'evidenza che conta

Un backup mai provato non è una garanzia. Sia l'ACN sia ENISA raccomandano test periodici di ripristino completo dei dati.

Torniamo all'officina: il fornitore IT esegue ogni notte il backup del gestionale, ma nessuno ha mai provato a ripristinarlo su un server pulito. Il giorno del guasto si scopre che il backup copiava i file del database ma non la configurazione dell'applicazione, e servono giorni per ricostruirla. Un test documentato, ad esempio semestrale, con data, esito e tempo impiegato, avrebbe fatto emergere il problema prima. Quel verbale è anche un'evidenza che l'auditor della ISO 27001 chiede volentieri. Se vuoi spingerti oltre il backup e pianificare come l'azienda continua a lavorare durante un'interruzione, il passo successivo è un piano di continuità operativa.

Priorità 3: aggiornamenti, antivirus e cifratura

Questa priorità serve a chiudere le vulnerabilità note prima che qualcuno le sfrutti. Gli attaccanti usano spesso falle già corrette dal produttore, ma non ancora installate.

Aggiornamenti e sistemi obsoleti

L'ACN indica di mantenere aggiornati sistemi operativi e applicazioni, con aggiornamenti automatici o con una linea guida che stabilisca le priorità. ENISA aggiunge di individuare i software e i dispositivi che richiedono aggiornamenti manuali, senza dimenticare smartphone e dispositivi IoT.

Il problema più insidioso sono i sistemi fuori supporto: il vecchio PC che governa una macchina in produzione, il NAS acquistato dieci anni fa, il firewall il cui produttore non rilascia più patch. L'ACN raccomanda di evitarli. Quando non puoi sostituirli subito, isolali dalla rete e annota la decisione con una scadenza: un rischio accettato consapevolmente è diverso da un rischio ignorato. CSIRT Italia pubblica alert e bollettini sulle vulnerabilità sfruttate attivamente: seguirli aiuta a capire quali aggiornamenti installare per primi.

Antivirus, protezione email e firewall

Su tutti i dispositivi serve un antivirus aggiornato, preferibilmente gestito in modo centralizzato, come indicano sia l'ACN sia ENISA. ENISA consiglia anche strumenti che filtrino spam, link malevoli e allegati infetti, e un firewall che protegga la rete aziendale da Internet.

La gestione centralizzata fa la differenza tra "abbiamo l'antivirus" e "sappiamo che funziona su tutti i PC". Da una console il responsabile IT vede quali dispositivi non si aggiornano da settimane o hanno segnalato minacce. Senza console, lo scopre solo quando c'è un problema.

Cifratura dei dispositivi e dei dati

La cifratura rende i dati illeggibili a chi non ha la chiave. L'ACN raccomanda di attivarla su tutti gli asset possibili: PC, server, smartphone e supporti rimovibili.

Il caso tipico è il portatile del commerciale rubato in auto. Se il disco è cifrato, hai perso un dispositivo. Se non lo è, hai perso anche l'elenco clienti, le offerte e magari dati personali, con possibili conseguenze ai sensi del GDPR. L'articolo 32 del GDPR cita infatti la cifratura tra le misure di sicurezza adeguate, insieme alla capacità di ripristinare tempestivamente i dati e alla verifica periodica dell'efficacia delle misure.

Priorità 4: perché la formazione è una misura tecnica come le altre?

Molti attacchi iniziano con un messaggio ben costruito: una finta fattura, un corriere inesistente, un collega che chiede un bonifico urgente. Nessun filtro li blocca tutti, quindi le persone devono saperli riconoscere.

L'ACN chiede ai dipendenti di partecipare alle iniziative di formazione, di prestare attenzione all'ingegneria sociale e al phishing e di segnalare subito email, chiamate o SMS sospetti. Ai dirigenti chiede qualcosa in più: misurare le competenze acquisite, non solo erogare i corsi. ENISA distingue tra formazione di consapevolezza per tutti, basata su situazioni reali, e formazione specialistica per chi gestisce la sicurezza.

In pratica, per una PMI funziona un ciclo semplice: una sessione breve all'ingresso di ogni nuovo assunto, un aggiornamento annuale con esempi presi dalla posta reale dell'azienda, una procedura di segnalazione che dica a chi inoltrare un messaggio sospetto. L'errore tipico è il corso fatto una volta, con il registro firmato in un cassetto e nessuna verifica. Se vuoi capire come la ISO 27001 tratta competenza e consapevolezza, trovi un approfondimento nella guida su competenza, formazione e consapevolezza.

Priorità 5: fornitori, accessi remoti e cloud

Molte PMI affidano l'IT all'esterno, e così il rischio entra dai fornitori. Il tecnico che si collega da remoto, il gestionale in cloud, l'assistenza delle macchine: ognuno è una porta.

L'ACN raccomanda di scegliere fornitori con livelli di sicurezza adeguati e di prevedere nei contratti requisiti proporzionati alla criticità di dati e servizi, comprese clausole sulla gestione degli incidenti. Chiede inoltre di specificare nei contratti tutte le tipologie di accesso remoto dei fornitori, limitate alle esigenze di servizio. ENISA aggiunge di rivedere periodicamente gli strumenti di accesso remoto, applicando aggiornamenti, MFA e monitoraggio.

Per il cloud, l'ACN suggerisce di chiarire cosa resta a tuo carico tra le impostazioni di sicurezza e cosa spetta al provider. Un servizio cloud non è sicuro "per definizione": se lasci condivisa pubblicamente una cartella, il provider non può farci nulla. Anche il sito web aziendale va considerato: ENISA raccomanda test di sicurezza regolari, e per le applicazioni web esposte un penetration test applicativo mostra dove sono le debolezze.

Per questa verifica puoi contare anche su Complaion, che esegue il WAPT (Web Application Penetration Test) e ti aiuta a trasformare i risultati in azioni tracciate nel tuo sistema di gestione.

Cosa fare quando qualcosa va storto?

Un incidente prima o poi capita, e la differenza la fa la preparazione. ENISA raccomanda un piano formale di risposta agli incidenti, con ruoli e responsabilità documentati.

L'ACN suggerisce di identificare in anticipo i ruoli interni e i contatti di fornitori e di emergenza, e di fare durante l'anno esercitazioni specifiche. Per una PMI il piano può stare in due pagine: chi decide, chi chiama il fornitore IT, chi valuta se sono coinvolti dati personali, chi parla con clienti e dipendenti, dove si trovano i numeri utili anche se la rete è ferma. Tienine una copia stampata: se il ransomware cifra il file server, il piano salvato sul file server non serve.

Ricorda due canali. CSIRT Italia, il team dell'ACN per la risposta agli incidenti, mette a disposizione un modulo per segnalare un incidente informatico. Se l'incidente riguarda dati personali, valuta con chi si occupa di privacy gli obblighi verso il Garante previsti dal GDPR: se non hai una figura interna, puoi affidarti al DPO esternalizzato di Complaion. Se la tua azienda rientra nel perimetro della direttiva NIS2, si aggiungono obblighi specifici di misure e notifica. In Italia l'ACN ha definito le misure di base per i soggetti NIS2: se sei nel perimetro, questa checklist è solo un punto di partenza.

La checklist in sintesi: misure, evidenze e collegamento alla ISO 27001

La tabella riassume le misure in ordine di priorità, con l'evidenza minima da conservare e il tema dei controlli della ISO/IEC 27001 a cui si collegano.

Come si collegano le misure minime alla ISO 27001?

Le misure minime sono un sottoinsieme naturale dei controlli della ISO/IEC 27001. Chi le applica bene ha già fatto una parte del percorso verso la certificazione.

L'Annex A della ISO/IEC 27001 elenca 93 controlli, raggruppati in quattro temi: organizzativi, persone, fisici e tecnologici, come ricorda il Journal del comitato ISO/IEC JTC 1/SC 27. La norma però non chiede di applicarli tutti a prescindere. Chiede di partire da un'analisi dei rischi, scegliere i controlli necessari e motivare inclusioni ed esclusioni nella Dichiarazione di Applicabilità. È la differenza tra una checklist e un sistema di gestione: la checklist ti dice cosa fare, il sistema ti obbliga a decidere perché, a verificarlo e a migliorarlo nel tempo. Per la struttura completa della norma e dei controlli, rimandiamo alla guida completa alla ISO 27001.

Qui entra il modo in cui lavora Complaion. Un Lead Auditor dedicato segue l'azienda, parte da ciò che hai già (le misure di questa checklist, l'inventario, i contratti con i fornitori) e propone il percorso più adatto alle tue esigenze: consolidare le basi, prepararti alla ISO 27001 o integrare gli obblighi NIS2. La piattaforma raccoglie le evidenze, come i verbali dei test di ripristino o i registri della formazione, gestisce i documenti, tiene lo scadenziario dei controlli periodici e prepara l'audit. Così la sicurezza non resta un progetto una tantum, ma diventa un'attività con responsabili e scadenze.

Come Complaion ti aiuta a mettere in ordine la sicurezza

Le misure minime di cybersecurity non richiedono grandi investimenti iniziali, ma costanza e metodo. Il rischio vero non è non sapere cosa fare: è farlo una volta e poi smettere di controllarlo.

Complaion affianca oltre 1.000 clienti con un modello che unisce persone e strumenti. Il tuo Lead Auditor valuta il punto di partenza, definisce le priorità e ti guida, se ha senso per la tua azienda, verso la certificazione ISO/IEC 27001. La piattaforma tiene insieme documenti, evidenze e scadenze, così sai sempre cosa è stato fatto, da chi e quando. L'investimento dipende da dimensioni, numero di sedi, perimetro e norme coinvolte: per una valutazione sulla tua situazione, contattaci e ricevi un preventivo.

Domande frequenti sulle misure minime di cybersecurity

Quali sono le misure minime di cybersecurity per una piccola impresa?

Le misure minime comprendono autenticazione a più fattori, password robuste e non condivise, privilegi amministrativi limitati, backup separati e testati, aggiornamenti costanti, antivirus, cifratura dei dispositivi, formazione del personale, requisiti di sicurezza per i fornitori e un piano di risposta agli incidenti. Sono i punti su cui convergono le indicazioni dell'ACN e la guida di ENISA per le PMI. L'ordine conta: si parte dagli accessi e dal backup.

Le misure minime di cybersecurity sono obbligatorie?

Dipende dalla tua azienda. Il GDPR impone a chi tratta dati personali misure di sicurezza adeguate al rischio, quindi una parte di queste misure riguarda quasi tutte le imprese. Le aziende che rientrano nella NIS2 hanno obblighi specifici definiti dalla normativa e dall'ACN. Per le altre restano buone pratiche, ma spesso le richiedono clienti, assicurazioni e bandi.

Da quale misura conviene iniziare?

Conviene iniziare dalla MFA sulla posta elettronica e sugli account amministrativi, perché richiede poco tempo e blocca molti accessi con password rubate. Subito dopo viene il test di ripristino del backup, che spesso rivela problemi nascosti. Entrambe le misure si possono avviare senza progetti lunghi, anche con un fornitore IT esterno.

Basta un antivirus per proteggere una PMI?

No, l'antivirus è una sola delle misure. Non protegge da password rubate, da un bonifico autorizzato su richiesta di un falso fornitore o da un backup che non funziona. Serve come parte di un insieme che comprende accessi protetti, aggiornamenti, backup e formazione.

Ogni quanto va testato il backup?

Le fonti ufficiali parlano di test regolari, senza fissare una frequenza unica valida per tutti. La frequenza dipende da quanto sono critici i dati e da quanto spesso cambiano i sistemi. Una buona regola è testare dopo ogni modifica rilevante dell'infrastruttura e comunque con una cadenza definita, documentando data, esito e tempo di ripristino.

Se applico queste misure sono conforme alla ISO 27001?

No, le misure minime coprono una parte dei controlli dell'Annex A, ma la ISO/IEC 27001 richiede un sistema di gestione completo. Servono analisi dei rischi, Dichiarazione di Applicabilità, obiettivi, audit interno e riesame della direzione. Le misure di questa guida sono però una base solida da cui partire.

Cosa devo fare se la mia azienda subisce un attacco?

Attiva il piano di risposta agli incidenti, isola i sistemi colpiti e contatta il fornitore IT. Puoi segnalare l'incidente a CSIRT Italia tramite il modulo dell'ACN; se la tua azienda rientra nella NIS2 la notifica è obbligatoria e ha tempi precisi, a partire dalla preallerta entro 24 ore. Se sono coinvolti dati personali, valuta subito gli obblighi di notifica previsti dal GDPR. Conserva le evidenze: servono per l'analisi e per le eventuali comunicazioni.