Vai al contenuto

Dominio e progetto sono disponibili per l’acquisizione. Vedi la scheda

sicurezzainformatica.ai

Guide · Aziende

Sicurezza informatica per le PMI: mappa del rischio e dodici misure che contano

Una PMI non ha un reparto di sicurezza ma ha gli stessi problemi di una grande: accessi, aggiornamenti, backup, fornitori, persone. Questa guida parte dai dati 2026, disegna la mappa del rischio e indica dodici misure con il modo di verificarle in meno di un’ora.

Pubblicata il . Lettura: 9 minuti. Come verifichiamo le fonti.

Indice della guida
  1. Dove si entra davvero
  2. La mappa del rischio
  3. Le dodici misure
  4. In che ordine farle
  5. Che cosa chiede la norma
  6. Domande frequenti
  7. Fonti

Una piccola azienda non ha un reparto di sicurezza, ma ha dati di clienti, fatture, accessi bancari e fornitori come una grande. Non serve fare tutto: serve fare per prime le cose che chiudono le porte più usate, e sapere dopo ogni misura come controllare che funzioni davvero.

Dove si entra davvero

Alcuni dati recenti, con una premessa: sono dati globali, non italiani, e vanno letti come ordine di grandezza.

  • Falle non corrette. Secondo Verizon, il 31% delle violazioni analizzate nel rapporto 2026 è partito dallo sfruttamento di una vulnerabilità, la prima volta in diciannove anni che supera le credenziali rubate come primo punto d’ingresso. Stando alle sintesi del rapporto, solo il 26% delle falle del catalogo CISA delle vulnerabilità già sfruttate (KEV) risulta corretto del tutto, e il tempo mediano per correggerle è salito da 32 a 43 giorni.
  • Terze parti. Il 48% delle violazioni ha coinvolto un fornitore, un componente software o un servizio esterno: una quota cresciuta del 60% rispetto all’anno precedente.
  • Persone e telefono. Sempre secondo Verizon, i tentativi di ingegneria sociale su dispositivi mobili hanno un tasso di successo superiore del 40% a quello del phishing via email.
  • Strumenti AI non autorizzati. L’uso di questi strumenti da parte dei dipendenti è passato dal 15% al 45%.
  • Ransomware. Stando alle sintesi del rapporto compare nel 48% delle violazioni; ne parla la guida su ransomware e backup.

In Italia il Rapporto Clusit 2026 conta 507 incidenti gravi nel 2025, il 42% in più dell’anno prima. Sono solo quelli noti e di gravità rilevante: la parte sommersa è più ampia.

La mappa del rischio

Le dieci aree del Cyber Check coprono i punti dove una piccola azienda si fa male. La tabella li collega alle dodici misure descritte più sotto.

Area del Cyber Check Che cosa può andare storto Misure
Accessi Un account di posta rubato apre la strada a recuperi di password, frodi e furti di dati 1, 2
Backup Dopo un ransomware non si riparte senza trattare 5
Aggiornamenti Una falla nota e già sfruttata resta aperta per settimane 4
Inventario Si scopre un sistema dimenticato solo dopo l’incidente 3
Privilegi Un solo account compromesso dà accesso a tutto 6
Phishing Un messaggio convincente fa aprire la porta 7, 8
Pagamenti Un bonifico finisce sul conto sbagliato 9
Uso dell’AI Dati riservati finiscono in strumenti non controllati 10
Fornitori L’attacco passa da chi ha accessi legittimi 11
Incidenti Nessuno sa chi decide e chi chiama 12

Le dodici misure

Per ogni misura trovi che cosa fare e una verifica rapida. Se la verifica fallisce, hai trovato il primo lavoro.

  1. Verifica in due passaggi dove conta. Posta, accessi remoti, pannelli di amministrazione e account amministrativi. Dove possibile preferisci passkey o chiavi di sicurezza ai codici via SMS, che non fermano il phishing in tempo reale: ne parla la guida su phishing e passkey. Verifica: prova ad accedere alla posta da un dispositivo nuovo con la sola password. Deve non bastare.
  2. Password uniche e recupero protetto. Un gestore di password per tutti, nessuna password condivisa in chat o in fogli di calcolo, e le caselle di recupero degli account principali protette quanto gli account stessi, come spiega la guida su password e recupero. Verifica: scegli un account critico e controlla dove arrivano le email di recupero e chi può leggerle.
  3. Inventario. Un elenco di computer, telefoni, server, apparati di rete, programmi, servizi cloud e account, con un responsabile per ciascuno. Senza elenco non puoi aggiornare né revocare nulla. Verifica: confronta l’elenco con le fatture dei servizi e con i dispositivi collegati alla rete, e cerca ciò che manca.
  4. Aggiornamenti con una scadenza. Precedenza a ciò che è raggiungibile da internet: router, firewall, VPN, siti, gestionali in cloud. Stabilisci un tempo massimo, per esempio pochi giorni per le falle critiche, e sostituisci ciò che non riceve più aggiornamenti. Verifica: elenca i cinque sistemi esposti a internet e controlla la data dell’ultimo aggiornamento di ciascuno.
  5. Backup scollegato e provato. Una copia che un attaccante non può raggiungere dalla rete aziendale e un ripristino provato davvero, come spiega la guida su ransomware e backup. Verifica: ripristina un file e, almeno una volta, un sistema intero su una macchina di prova, annotando i tempi.
  6. Privilegi minimi. Nessuno lavora ogni giorno da amministratore. Gli account amministrativi sono nominativi, separati da quelli di lavoro e usati solo quando serve. Verifica: conta gli amministratori, scrivi chi sono e togli i diritti a chi non li usa.
  7. Posta e navigazione filtrate. Filtri antispam e antimalware, SPF, DKIM e DMARC sul dominio, blocco degli allegati eseguibili e delle macro non necessarie. Verifica: usa uno strumento gratuito di controllo del dominio per vedere se qualcuno può inviare email a tuo nome.
  8. Formazione breve e un solo canale di segnalazione. Dieci minuti ogni trimestre, con esempi recenti che non riguardino solo la posta ma anche SMS, chat e telefonate. Un indirizzo o un pulsante per segnalare, senza colpevolizzare chi lo usa. Verifica: chiedi a un collaboratore dove segnalerebbe un messaggio sospetto. Se non lo sa, il canale non esiste.
  9. Pagamenti verificati. Ogni nuovo beneficiario o cambio di IBAN si conferma richiamando un numero già noto, con due persone per gli importi oltre una soglia, come descrive la guida su falso amico e truffe d’identità. Verifica: simula una richiesta di cambio IBAN e guarda se la procedura regge.
  10. Una regola sull’uso dell’AI. Una pagina che dice quali strumenti sono approvati, quali dati non si inseriscono (personali, contratti, codice, credenziali) e chi risponde delle scelte. Se colleghi un assistente alla posta o ai documenti, leggi prima la guida sulla prompt injection. Verifica: chiedi alle persone quali strumenti usano davvero, senza giudicare.
  11. Fornitori e accessi di terzi. Account nominativi, permessi limitati, accessi registrati e revocati a fine incarico; nei contratti, l’obbligo di segnalare un incidente in tempi precisi e misure minime. Verifica: elenca i fornitori con accesso ai tuoi sistemi e controlla quanti hanno ancora un account attivo senza un incarico in corso.
  12. Un piano per gli incidenti. Una pagina con ruoli, numeri di telefono anche su carta, chi decide che cosa, a chi si comunica e che cosa si fa nella prima ora. Verifica: leggilo a voce alta con due colleghi: se qualcuno non sa che cosa fare, riscrivilo.

In che ordine farle

Che cosa chiede la norma

Questa parte è informativa e non è consulenza legale.

  • GDPR. L’art. 32 richiede misure tecniche e organizzative adeguate al rischio. Cifratura, riservatezza, capacità di ripristino e prove periodiche dell’efficacia sono tra gli esempi che il testo cita. Se una violazione riguarda dati personali, scatta l’obbligo di notifica al Garante entro 72 ore (art. 33).
  • NIS2. La direttiva, recepita in Italia dal D.Lgs. 138/2024, riguarda soggetti di certi settori sopra certe dimensioni: oltre 20.000 in Italia, più di 5.000 essenziali, secondo le stime dell’ACN. Per i soggetti inseriti negli elenchi il termine per le misure di base era il 31 ottobre 2026, e da qui sono possibili verifiche. Tra le misure rientra la sicurezza della catena di fornitura. Anche se non sei nel perimetro, un cliente che lo è può chiederti garanzie contrattuali: controlla sul sito dell’ACN la tua posizione.
  • Segreti commerciali. Il Codice della proprietà industriale (art. 98) tutela informazioni, come listini, processi e formule, se sono segrete e sottoposte a misure ragionevolmente adeguate a mantenerle tali. Poter mostrare quali misure hai adottato e quando conta, se un giorno dovrai difendere quei dati.

Domande frequenti

Da dove comincio se ho poco tempo e poco budget?

Dalle misure 1, 2 e 5: secondo fattore su posta e account amministrativi, password uniche con recupero protetto, un backup scollegato con un ripristino provato. Sono tra le più efficaci e in gran parte richiedono tempo più che denaro.

Basta un antivirus?

È uno strato utile, non una strategia. Non sostituisce aggiornamenti, accessi protetti, backup e persone formate: i dati del rapporto Verizon mostrano che l’ingresso passa spesso da falle non corrette e da account.

La mia azienda rientra nella NIS2?

Dipende dal settore e dalle dimensioni. Il riferimento è il D.Lgs. 138/2024 e l’ACN pubblica informazioni e gestisce la piattaforma dedicata ai soggetti NIS2. Se non rientri, controlla se lo fa un tuo cliente: potrebbe chiederti di rispettare misure minime nel contratto.

Serve una polizza cyber?

Trasferisce una parte del rischio economico, ma non è una misura di sicurezza. Molte polizze chiedono misure minime, come la verifica in due passaggi e backup protetti, per concedere o pagare la copertura: leggi le condizioni prima di firmare.

Ogni quanto rivedo le misure?

Almeno una volta all’anno, e dopo ogni cambiamento importante: nuovo fornitore, nuovo gestionale, passaggio al cloud, ingresso di nuovi collaboratori con accessi.

Fonti

Continua con queste guide

Ransomware: backup scollegato, prime ore e prova di ripristino

Un ransomware non è un virus ma un’estorsione, e la differenza tra un brutto lunedì e un’azienda ferma per settimane la fa quasi sempre il backup. Questa guida spiega quale copia regge, che cosa fare nelle prime ore, quali notifiche scattano e come provare il ripristino.

Aziende · 9 minuti di lettura

Phishing oggi: furto di sessione, MFA che non basta e passkey

I vecchi consigli, controllare gli errori e non cliccare, non bastano più. Questa guida spiega come si ruba una sessione anche con l’autenticazione a più fattori attiva, quali metodi resistono davvero e che cosa fare nei primi minuti dopo un clic sbagliato.

Truffe e inganni · 11 minuti di lettura