Dieci errori comuni di sicurezza informatica nelle PMI e come correggerli
Gli errori più frequenti di sicurezza informatica nelle piccole imprese italiane, dai backup mai provati alle password condivise, con una correzione pratica per ciascuno.
Gli incidenti informatici nelle piccole e medie imprese nascono quasi sempre da errori ordinari, non da attacchi geniali: aggiornamenti rimandati, password condivise, backup mai provati, accessi dimenticati, fornitori senza contratto, un solo "tuttofare" che sa come funziona tutto. La buona notizia è che ciascuno di questi errori ha una correzione concreta e poco costosa. Qui trovi i dieci più frequenti, perché sono pericolosi e come rimediare, in ordine di priorità indicativa.
I dieci errori in sintesi
| N. | Errore | Rischio principale | Correzione rapida |
|---|---|---|---|
| 1 | Backup non provati o raggiungibili dalla rete | Perdita totale dei dati con ransomware | Copia immutabile e prova di ripristino annuale |
| 2 | Nessuna autenticazione a più fattori | Furto di account di posta e cloud | MFA su posta, VPN e amministratori |
| 3 | Aggiornamenti rimandati | Sfruttamento di vulnerabilità note | Calendario di patch e responsabile |
| 4 | Password deboli o condivise | Accessi non tracciabili, riuso | Account personali e gestore di password |
| 5 | Desktop remoto o pannelli aperti su internet | Intrusione diretta | Chiudere le porte, usare VPN con MFA |
| 6 | Account di ex dipendenti attivi | Accessi non autorizzati | Procedura di uscita con disattivazione entro un giorno |
| 7 | Privilegi eccessivi (tutti amministratori) | Danni amplificati dai malware | Utenti standard, amministratori solo dove serve |
| 8 | Fornitori senza contratti e senza controlli | Responsabilità poco chiare | Clausole, SLA, nomina ex art. 28 GDPR |
| 9 | Nessun piano di risposta agli incidenti | Perdita di tempo e decisioni sbagliate | Piano breve e simulazione annuale |
| 10 | Formazione assente | Clic sul link sbagliato | Micro-formazione mensile e cultura di segnalazione |
1. Backup non provati
Avere un backup non significa poterlo ripristinare. I problemi più comuni: copie che non partono da mesi senza che nessuno se ne accorga, dati importanti esclusi, copie collegate alla rete e quindi cifrate dal ransomware, tempi di ripristino molto superiori a quelli sopportabili. La correzione è costruire una regola 3-2-1 con copia immutabile e provare il ripristino; approfondisci nella guida su backup aziendale.
2. Nessuna autenticazione a più fattori
La posta è la chiave di molti servizi: chi la controlla può reimpostare password e inviare truffe credibili ai tuoi clienti. Attiva l'MFA come primo intervento, con un piano ordinato; vedi la guida sull'autenticazione a più fattori.
3. Aggiornamenti rimandati
Molti attacchi sfruttano vulnerabilità per cui esiste già una correzione. Stabilisci una finestra regolare per gli aggiornamenti, con tempi più brevi per le correzioni critiche, e un responsabile che verifica. Non dimenticare dispositivi "secondari": firewall, router, NAS, stampanti, telecamere, software dei gestionali. Sistemi non più supportati dal produttore vanno sostituiti o isolati dalla rete.
4. Password deboli e condivise
Account condivisi tra più persone impediscono di sapere chi ha fatto cosa e rendono difficile revocare l'accesso. Le password riutilizzate in più servizi trasformano una violazione altrui in un problema tuo. Usa account personali, password lunghe e uniche, un gestore di password aziendale e MFA. Un controllo utile è verificare se gli indirizzi aziendali compaiono in violazioni note tramite servizi pubblici come Have I Been Pwned.
5. Servizi esposti su internet
Il desktop remoto aperto sulla porta predefinita, pannelli di amministrazione di firewall o NAS raggiungibili da fuori, server di file accessibili senza VPN: sono tra le porte d'ingresso storiche dei ransomware. Chiedi al tuo referente tecnico un elenco di tutto ciò che è raggiungibile da internet e chiudi o proteggi con VPN e MFA ciò che non serve; vedi anche la guida su firewall e UTM.
6. Account di ex dipendenti e collaboratori
Un account dimenticato è un accesso senza proprietario. Crea una procedura di uscita: l'ufficio personale avvisa l'IT, l'IT disattiva account, revoca sessioni e VPN, recupera dispositivi e trasferisce i dati. Fai lo stesso con i consulenti a fine incarico. Una verifica trimestrale dell'elenco account contro l'elenco del personale scopre le dimenticanze.
7. Privilegi eccessivi
Se ogni utente è amministratore del proprio computer, un malware avviato per errore può fare quasi tutto. Il principio del minimo privilegio prevede utenti standard per il lavoro quotidiano e account amministrativi distinti, usati solo quando serve, con MFA. Anche gli accessi alle cartelle condivise vanno rivisti: non tutti devono vedere amministrazione, personale e contratti.
8. Fornitori senza contratti chiari
Molte PMI affidano a un fornitore IT, a un gestionale o a un cloud l'intera infrastruttura senza un contratto che definisca tempi di intervento, responsabilità, backup e gestione degli incidenti. Se il fornitore tratta dati personali, serve la nomina a responsabile del trattamento (articolo 28 GDPR). Vedi la guida sui contratti con i fornitori IT.
9. Nessun piano per gli incidenti
Quando accade qualcosa, nessuno sa chi decide, chi chiamare, dove sono i backup, quali termini di notifica scattano. Un piano di poche pagine, con contatti stampati e una simulazione annuale, evita errori costosi; vedi il piano di risposta agli incidenti.
10. Formazione assente o punitiva
Chi non conosce i segnali del phishing cade; chi teme una punizione non segnala. La formazione breve e frequente, unita a una cultura che premia la segnalazione, è molto più efficace di un corso annuale isolato. Vedi la guida sulla formazione dei dipendenti.
Altri errori da non sottovalutare
- Shadow IT: servizi cloud o app usate dai dipendenti senza che l'azienda lo sappia, con dati aziendali fuori controllo.
- Dispositivi personali senza regole minime (blocco schermo, cifratura, aggiornamenti).
- Cifratura assente su portatili e supporti rimovibili, che trasforma uno smarrimento in una violazione di dati.
- Registri (log) disattivati, che rendono impossibile capire cosa è successo.
- Credenziali nei documenti condivisi o in fogli di calcolo.
Come stabilire le priorità
Se non puoi fare tutto subito, parti da ciò che riduce di più il danno potenziale: (1) backup isolati e provati, (2) MFA su posta e amministratori, (3) chiusura dei servizi esposti, (4) aggiornamenti, (5) piano e formazione. Usa la checklist di sicurezza di base per fotografare lo stato attuale, e abbina un budget realistico con la guida su quanto costa la sicurezza informatica.
Quando consultare un professionista
Se l'azienda tratta dati sensibili, rientra nella NIS2 o ha già avuto un incidente, un consulente di sicurezza può aiutare a stabilire priorità e a documentare le misure.
Domande frequenti
Qual è l'errore più pericoloso?
Dipende dal caso, ma molto spesso lo sono i backup non provati e raggiungibili dalla rete, perché trasformano un attacco gestibile in una crisi dell'intera azienda.
Basta un fornitore IT per essere tranquilli?
No. Il fornitore esegue, ma la responsabilità del trattamento dei dati e delle decisioni resta all'azienda. Serve un referente interno e un contratto chiaro.
Quanto tempo serve per mettere in sicurezza le basi?
Per un'azienda piccola, le misure essenziali possono essere impostate in alcune settimane, se esiste un responsabile e un piano con priorità.
Come capisco se ho già un problema?
Segnali tipici: accessi da luoghi insoliti, regole di inoltro nella posta che non hai creato, computer lenti senza motivo, avvisi dell'antivirus ignorati. In caso di dubbi, coinvolgi subito il referente tecnico.
Fonti ufficiali
- Agenzia per la Cybersicurezza Nazionale — buone pratiche e indicazioni di sicurezza.
- CSIRT Italia — avvisi su vulnerabilità e minacce.
- Garante per la protezione dei dati personali — misure di sicurezza e obblighi GDPR.
- Have I Been Pwned — servizio pubblico per verificare se un indirizzo compare in violazioni note.
