«Chi vuoi che venga ad attaccare noi?» È la frase con cui, nelle PMI, si liquida il tema della sicurezza informatica da vent'anni. Contiene un errore di fondo: immagina un aggressore che sceglie la vittima, la studia e decide che non vale la pena. Non funziona così. La maggior parte degli attacchi che colpiscono le piccole e medie imprese non è mirata a quell'azienda: è il risultato di una scansione automatica che ha trovato una porta aperta, di una password comparsa in una lista pubblicata online, di un'email inviata a diecimila indirizzi di cui tre hanno risposto. L'azienda non viene scelta. Viene trovata.
Questo cambia il modo di ragionare sulla difesa. Non serve immaginare avversari sofisticati: serve chiudere le porte da cui si entra davvero, che sono poche e sempre le stesse.
Da dove si entra, davvero
Se guardo gli incidenti di cui mi è capitato di occuparmi o che ho visto raccontare da chi li ha gestiti, i punti di ingresso ricorrenti sono quattro. Non sono esotici, e questo è il lato buono della notizia.
L'email resta il canale numero uno, ma è cambiata. I messaggi scritti male in italiano approssimativo sono un ricordo: oggi arrivano email corrette, contestualizzate, che citano un ordine reale o rispondono in coda a una conversazione esistente. Le più efficaci non chiedono di aprire un allegato: chiedono di cambiare l'IBAN su una fattura in scadenza, o di autorizzare un pagamento urgente mentre il titolare è in viaggio. Il danno, in quei casi, non ha bisogno di alcun malware.
Le credenziali sono la seconda via, e la più sottovalutata. Ogni anno finiscono in circolazione miliardi di coppie utente-password provenienti da violazioni di servizi di ogni tipo. Se una persona ha usato la stessa password del portale aziendale su un sito che è stato bucato tre anni fa, quella password è già in mano a qualcuno, e verrà provata automaticamente su ogni servizio raggiungibile. Non serve un attacco: serve solo pazienza e uno script.
I servizi esposti su internet — un accesso remoto lasciato aperto per comodità, una VPN con firmware vecchio di due anni, un portale gestionale pubblicato per farlo usare da fuori — vengono trovati in ore. Esistono motori di ricerca che indicizzano continuamente ciò che è raggiungibile in rete, e le vulnerabilità note vengono sfruttate in modo automatizzato entro pochi giorni dalla loro pubblicazione. Qui il fattore decisivo non è la sofisticazione della difesa, ma la velocità con cui si applicano gli aggiornamenti.
I fornitori chiudono l'elenco. L'azienda può essere ordinata al proprio interno e restare esposta attraverso chi ha accesso ai suoi sistemi: il manutentore dell'applicativo con una connessione permanente aperta, il consulente con un'utenza amministrativa creata anni fa e mai chiusa, il software di terze parti che porta con sé una vulnerabilità. Colpire un fornitore che serve cento aziende è, per chi attacca, molto più redditizio che colpirne una. Di come si tiene sotto controllo questo perimetro parlo nell'articolo su come gestire più fornitori IT.
Che cosa succede dopo l'ingresso
L'immagine popolare del ransomware è quella di uno schermo che si blocca all'improvviso. La realtà è molto meno istantanea, e capirlo cambia le priorità di difesa: tra il primo accesso e la cifratura passano di solito giorni, a volte settimane. È tempo in cui qualcuno si muove dentro la rete aziendale, e in cui l'azienda potrebbe accorgersene.
Due dettagli di questa sequenza meritano attenzione perché ribaltano le priorità abituali.
Il primo è la quarta fase: prima di cifrare, i dati vengono copiati fuori. È la ragione per cui «tanto abbiamo i backup» non è più una risposta sufficiente. Con i backup si recuperano i dati, ma non si impedisce a nessuno di pubblicarli o di usarli come leva. Un'azienda perfettamente in grado di ripartire in poche ore può trovarsi comunque a dover gestire una violazione di dati personali, con i relativi obblighi e con clienti e dipendenti da informare.
Il secondo è che la cifratura colpisce anche i backup, quando i backup sono raggiungibili dalla stessa rete e con le stesse credenziali dei sistemi che proteggono. È l'errore più costoso che si possa fare in materia: una copia di sicurezza che vive nello stesso perimetro di ciò che deve salvare non è una copia di sicurezza. Deve essere separata — su un sistema con credenziali proprie, su supporti scollegati, o in una forma che non consenta la cancellazione per un periodo definito — e soprattutto provata con test di ripristino documentati.
Le difese, in ordine di efficacia reale
Quando si parla di sicurezza, l'elenco delle cose da fare tende a diventare infinito e quindi paralizzante. Nella mia esperienza, in una PMI, poche misure coprono la grande maggioranza degli scenari, e conviene affrontarle in un ordine preciso: prima quelle che chiudono le porte usate davvero, poi quelle che riducono il danno quando qualcosa passa, infine quelle che permettono di accorgersene e reagire.
L'autenticazione a più fattori è la misura con il miglior rapporto tra fatica e risultato che esista in questo campo. Rende inutili le password rubate, che sono la seconda via d'ingresso in ordine di frequenza. Va messa su posta, accessi remoti, servizi cloud e — soprattutto — sulle utenze amministrative, che sono quelle che interessano davvero a chi entra.
Gli aggiornamenti sono noiosi e vengono rimandati perché richiedono fermi. Ma la finestra tra la pubblicazione di una vulnerabilità e i primi sfruttamenti automatizzati si misura in giorni. Serve una regola semplice e sostenibile: chi aggiorna che cosa, con che frequenza, con quali finestre concordate, e come si verifica che l'aggiornamento sia stato effettivamente applicato — non solo pianificato.
I privilegi minimi valgono per un motivo pratico: determinano quanto lontano arriva chi è entrato. Se ogni utente ha accesso a tutto e le utenze amministrative sono usate per il lavoro quotidiano, il primo click sbagliato consegna l'intera azienda. Se gli accessi sono ritagliati sui ruoli e le utenze amministrative sono separate e usate solo quando servono, lo stesso click compromette una postazione.
La formazione funziona a una condizione: che sia concreta e ripetuta, non una sessione all'anno con le slide. Riconoscere una richiesta anomala, sapere che un cambio di coordinate bancarie si verifica sempre per telefono a un numero già noto, sapere a chi segnalare un sospetto senza timore di fare brutta figura. L'obiettivo non è rendere le persone esperte di sicurezza: è farle diventare sensori.
Il piano di risposta è la misura più trascurata e quella che si rimpiange di più. Non deve essere un documento di cinquanta pagine: bastano due fogli con chi si chiama, in che ordine, chi decide di staccare cosa, dove sono le credenziali di emergenza (non sui sistemi compromessi), chi parla con i clienti e chi valuta gli obblighi di notifica. Deciderlo a freddo costa un pomeriggio; deciderlo alle tre di notte con i sistemi fermi costa molto di più.
Le prime ore contano più di tutto il resto
Quando l'incidente accade, l'istinto porta a due errori simmetrici: spegnere tutto in fretta, oppure fingere di poter risolvere in autonomia senza dirlo a nessuno. Entrambi peggiorano la situazione.
Spegnere brutalmente i sistemi cancella tracce che serviranno a capire da dove si è entrati e che cosa è stato preso — informazione indispensabile sia per rimettere in sicurezza l'ambiente sia per valutare gli obblighi verso le autorità. Isolare è diverso da spegnere: scollegare dalla rete i sistemi coinvolti, sospendere gli accessi remoti, bloccare le utenze sospette, mantenendo però le macchine nello stato in cui si trovano.
Sul fronte degli adempimenti, va tenuto presente che se la violazione riguarda dati personali il titolare del trattamento ha un termine di settantadue ore per notificarla al Garante, quando esiste un rischio per i diritti delle persone coinvolte, con obbligo di informare anche gli interessati nei casi più gravi. È un termine breve, e presuppone di sapere in fretta che cosa è stato toccato: un'altra ragione per cui la registrazione degli accessi e delle attività non è burocrazia. Il quadro degli aspetti tecnici collegati alla protezione dei dati lo affronto nel servizio dedicato alle misure tecniche e organizzative GDPR.
Va aggiunto che il perimetro degli obblighi si sta allargando: la direttiva europea NIS2 e il suo recepimento italiano hanno esteso i requisiti di sicurezza a molti settori, e coinvolgono indirettamente anche imprese piccole quando fanno parte della catena di fornitura di soggetti obbligati. Per molte PMI la richiesta non arriverà da un'autorità, ma da un cliente che chiede garanzie contrattuali sulla sicurezza dei propri fornitori.
Il vero rischio non è tecnologico
La sicurezza informatica di una PMI raramente fallisce per mancanza di strumenti. Fallisce perché nessuno ha il compito esplicito di tenerne insieme i pezzi: l'antivirus lo gestisce un fornitore, i backup un altro, la posta è in cloud e la controlla il commercialista dei sistemi, gli accessi li ha creati chi c'era prima. Ogni pezzo funziona; nessuno guarda l'insieme.
Il lavoro utile, allora, non è comprare un prodotto in più: è mettere in fila che cosa esiste, chi ne risponde, che cosa è scoperto, e stabilire poche regole verificabili. È esattamente il perimetro del servizio di cybersecurity aziendale e, più in generale, del governo dell'IT che porto nelle aziende che seguo.
Se vuoi capire a che punto sei — quali porte sono aperte, se i backup reggerebbero davvero, chi ha le chiavi di cosa — scrivimi: una ricognizione onesta si fa in poche settimane, e quasi sempre le prime tre correzioni sono più semplici di quanto ci si aspetti.