“A noi non è mai successo niente.“
Questa frase, pronunciata con una certa tranquillità dal titolare di una piccola azienda, è probabilmente la più pericolosa che si possa sentire in materia di sicurezza informatica.
Non perché sia falsa, ma perché viene usata spesso come ragione per non fare nulla.
Con questo articolo vogliamo stimolare una riflessione su quali rischi quotidiani possono colpire un’impresa, oltre i tecnicismi, provando a capire quali sono le prime ed essenziali azioni di difesa.
Piccola azienda, grande bersaglio
C’è un malinteso diffuso, che i criminali informatici puntino solo ai grandi gruppi, alle multinazionali, alle banche. Le realtà più piccole si sentono al sicuro perché “non vale la pena attaccarci”.
È esattamente il contrario.
Le micro-imprese e le PMI sono spesso il bersaglio preferito: hanno dati sensibili — anagrafiche clienti, coordinate bancarie, contratti, proprietà intellettuale — ma raramente dispongono di sistemi di protezione adeguati o procedure di risposta agli incidenti.
Secondo il Rapporto Clusit 2024, l’Italia è stabilmente tra i Paesi europei più colpiti. Gli attacchi gravi nel nostro Paese sono cresciuti dell’+11% rispetto all’anno precedente, e la quota che colpisce organizzazioni di medie e piccole dimensioni è in aumento costante.
La motivazione è semplice: la ricompensa è interessante, e la porta è spesso aperta.
L’amministratore può rispondere ai danni con il proprio patrimonio
Questo è il punto che viene quasi sempre omesso nella comunicazione sul rischio cyber. E invece è il più rilevante per chi siede in un consiglio di amministrazione o gestisce una PMI in prima persona.
Il Codice Civile (art. 2392) stabilisce che gli amministratori di società sono responsabili verso la società dei danni derivanti dall’inosservanza dei loro doveri. La gestione dei rischi aziendali, incluso quello informatico, rientra esplicitamente in questi doveri. Ignorare un rischio noto non è una posizione neutrale: è una scelta che può generare responsabilità.
Su questo fronte, il quadro normativo si è notevolmente inasprito negli ultimi anni:
- NIS2 / D.Lgs. 138/2024. La direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia nell’ottobre 2024, prevede esplicitamente che i vertici aziendali possano essere ritenuti personalmente responsabili per la mancata adozione di misure di sicurezza cyber adeguate. Non riguarda tutte le PMI ma solo le organizzazioni soggette al perimetro della normativa.
- GDPR / Regolamento UE 2016/679. In caso di violazione dei dati personali, il titolare del trattamento — normalmente la società — è responsabile verso gli interessati e può essere soggetto a sanzioni fino al 4% del fatturato globale. Non è necessaria la malafede, è sufficiente la negligenza.
- Lgs. 231/2001. Il mancato presidio dei rischi informatici può configurare una lacuna nel Modello Organizzativo 231, con conseguente responsabilità amministrativa della società e, in determinati casi, responsabilità personale degli organi apicali.
Esempio pratico
Un attacco ransomware che blocca l’azienda per 10 giorni non è solo un problema IT. Se emerge che l’azienda non aveva backup testati, che i sistemi non erano aggiornati, che nessuno aveva valutato il rischio, l’amministratore può trovarsi esposto non solo al danno aziendale, ma anche a contestazioni personali da parte di soci, creditori o autorità di vigilanza.
Non basta chiederti se hai installato l’antivirus
Il primo errore è pensare alla sicurezza informatica come a un problema tecnico. Come se bastasse avere il software giusto per stare al sicuro.
La domanda vera è un’altra. Se l’antivirus non bastasse, quanto male ci facciamo?
Per una PMI il rischio cyber si traduce sempre in tre voci concrete
- Ricavi persi: quanto fattura la tua azienda ogni giorno? Un fermo operativo di 5-10 giorni — del tutto realistico in caso di ransomware — si traduce direttamente in mancati incassi.
- Costi di ripristino: informatici, consulenti forensi, ore di lavoro straordinario, hardware da sostituire, dati da ricostruire.
- Responsabilità: sanzioni GDPR, penali contrattuali, contestazioni da clienti o fornitori, e potenziale responsabilità personale dell’amministratore.
Somma queste tre voci e ottieni il rischio reale. Non un numero astratto, ma un impatto concreto sul conto economico e, eventualmente, sul tuo patrimonio personale.
Come inizia un attacco cyber (e perché spesso non ce ne accorgiamo)
Tra il momento in cui un malintenzionato entra nella rete aziendale e il momento in cui viene scoperto, possono passare settimane o mesi. In questo intervallo (chiamato dwell time) l’intruso studia la rete, si muove lateralmente, identifica i dati più preziosi e si posiziona per fare il massimo danno.
Caso reale – Colonial Pipeline (USA, 2021)
Il più grande attacco a un’infrastruttura energetica americana nella storia. Punto di ingresso: una singola credenziale VPN rubata, su un account senza autenticazione a doppio fattore. Il risultato? Blocco dell’intera pipeline per 6 giorni, carburante razionato in 17 Stati, 4,4 milioni di dollari di riscatto pagati.
Il punto di ingresso non coincide mai con il punto di massimo danno. E la decisione più costosa — fermare tutto — viene spesso presa proprio perché non si ha visibilità su cosa è stato compromesso.
I rischi che le PMI sottovalutano di più
La rete “piatta”
La maggior parte delle piccole aziende ha una rete in cui tutti i dispositivi comunicano liberamente: il computer della reception, il gestionale, i server, il WiFi ospiti. In caso di attacco questa configurazione funziona da amplificatore. Basta compromettere un punto qualsiasi per raggiungere tutto il resto.
Gli accessi esterni non controllati
Fornitori, consulenti, manutentori di software, quante persone si collegano ai tuoi sistemi da fuori?! Spesso su dispositivi personali, su reti non sicure, senza autenticazione rafforzata. Ogni accesso esterno non governato è una porta potenzialmente aperta.
Il ransomware e la possibile violazione di dati
Questo è il punto più sottovalutato: se un ransomware blocca l’accesso ai tuoi file, per il Garante della Privacy può costituire data breach nel momento in cui coinvolge dati personali, anche per perdita di disponibilità. Hai 72 ore per notificarlo, salvo che sia improbabile il rischio per i diritti e le libertà delle persone. Pagare il riscatto non è una misura di ripristino valida. Le sanzioni si sommano al danno.
I backup non testati
Molte aziende hanno un sistema di backup. Molto meno frequentemente lo testano davvero. Un backup non verificato spesso non funziona nel momento del bisogno… che è l’unico momento in cui conta.
Gli account non presidiati
Ogni collaboratore che lascia l’azienda e mantiene un accesso attivo è una vulnerabilità aperta. Account “orfani” — vivi ma non monitorati — sono tra i bersagli più semplici da sfruttare.
Fai il test: quanto è esposta la tua azienda?
Prima di qualsiasi altra cosa, ti serve una fotografia reale della tua situazione. Non una percezione, ma un dato reale.
Abbiamo costruito uno strumento di auto-valutazione gratuito, pensato specificamente per titolari di PMI e amministratori: 10 domande su backup, accessi, sistemi, persone e conformità. In pochissimi minuti ottieni un quadro chiaro delle tue aree di esposizione, con indicazioni (ordinate per priorità) su dove intervenire prima.
Scopri le vulnerabilità della tua azienda e ricevi raccomandazioni personalizzate.
Da dove iniziare per tutelare l’impresa dai rischi cyber
Non servono necessariamente budget enormi né un reparto IT interno per ridurre l’esposizione. Alcune azioni hanno un impatto sproporzionato (in positivo) rispetto al costo:
- Autenticazione a doppio fattore (MFA) su tutti gli accessi critici: email aziendale, gestionale, accessi remoti, cloud. È la difesa più efficace contro il furto di credenziali.
- Regola di backup 3-2-1: 3 copie su 2 supporti diversi, di cui 1 conservata offline. La copia offline è l’unica che un ransomware non può cifrare.
- Testa il ripristino almeno una volta l’anno. Non basta sapere che il backup “gira”, bisogna verificare che si riesca davvero a ripartire e in quanto tempo.
- Segmenta la rete, almeno separando i sistemi critici dal WiFi ospiti e dai dispositivi meno controllati.
- Revoca gli accessi immediatamente quando un collaboratore lascia l’azienda.
- Formalizza un piano di risposta agli incidenti — anche minimo, anche su carta. Identifica oggi i contatti di emergenza quali IT, legale, assicuratore, Garante (ACN).
E poi, come amministratore, fai una cosa in più: documenta le valutazioni fatte e le decisioni prese. In caso di contestazione, dimostrare che hai valutato il rischio e agito di conseguenza è la differenza tra responsabilità e tutela.
Il rischio cyber è un rischio d’impresa ma anche personale
La sicurezza informatica è una questione di governance aziendale, che tocca la continuità operativa, la responsabilità verso clienti e dipendenti e, oggi più che mai, la responsabilità personale di chi guida l’azienda.
Un incidente informatico non è solo un problema tecnico. Può diventare rapidamente una crisi d’impresa, con effetti su produzione, logistica, reputazione e obblighi legali.
E per l’amministratore che non ha valutato il rischio, può diventare anche un problema personale. Ignorarlo non lo elimina. Lo lascia solo senza risposta.
Prenota una call gratuita con un consulente Assit
Sì, in determinate circostanze. L’art. 2392 del Codice Civile impone agli amministratori di gestire i rischi aziendali con la diligenza del buon padre di famiglia. Il rischio cyber rientra tra questi rischi. Se emerge che l’azienda non aveva adottato misure elementari di protezione — backup, autenticazione a doppio fattore, aggiornamenti — l’amministratore può essere ritenuto responsabile dei danni verso soci, creditori e terzi. La direttiva NIS2, recepita in Italia con D.Lgs. 138/2024, ha reso esplicita questa responsabilità personale per i vertici delle organizzazioni soggette alla norma.
Sì. Un attacco ransomware che blocca l’accesso ai dati personali costituisce a tutti gli effetti una violazione dei dati personali (data breach) ai sensi dell’art. 33 del GDPR. Il titolare del trattamento — nella maggior parte delle PMI coincide con l’amministratore — ha l’obbligo di notificare il Garante entro 72 ore dalla scoperta, salvo che la violazione non presenti rischi per i diritti e le libertà delle persone fisiche. Pagare il riscatto non elimina l’obbligo di notifica e non è considerato una misura di ripristino valida dal Garante.
Il dwell time è il tempo che intercorre tra l’ingresso di un attaccante nella rete aziendale e la sua scoperta. Durante questo periodo — che storicamente può durare settimane o mesi — l’intruso si muove nella rete, studia i sistemi, raccoglie credenziali e si posiziona per colpire dove il danno è massimo. Più lungo è il dwell time, più esteso è il danno potenziale. Ridurlo richiede monitoraggio attivo dei sistemi (log centralizzati, soluzioni EDR) e formazione del personale per riconoscere segnali anomali.
Sì, le polizze cyber (o cyber risk insurance) sono prodotti assicurativi specifici che coprono le conseguenze economiche di un incidente informatico: costi di ripristino dei sistemi, fermo attività, responsabilità verso terzi per violazione di dati, spese legali e di notifica agli interessati. Esistono soluzioni pensate anche per PMI. Tuttavia la polizza cyber non sostituisce le misure di prevenzione: la maggior parte dei contratti prevede requisiti minimi di sicurezza che l’azienda deve soddisfare per poter attivare la copertura. La consulenza di un esperto è utile sia per scegliere la polizza giusta sia per verificare i requisiti di ammissibilità.
No comment yet, add your voice below!