Nelle piccole imprese la sicurezza informatica spesso non è di nessuno: il titolare pensa che se ne occupi il tecnico, il tecnico interviene solo quando qualcosa si rompe, i dipendenti pensano che non sia affar loro. Il risultato è che le misure tecniche, anche quando ci sono, restano scollegate. Questa checklist non parla di prodotti, ma di organizzazione: le decisioni e le abitudini che fanno funzionare tutto il resto.
1. Nomina un responsabile
Anche in un'azienda di cinque persone serve qualcuno che abbia la sicurezza tra i propri compiti, con un tempo dedicato, anche solo poche ore al mese. Può essere il titolare, un collaboratore interno o un fornitore esterno con un incarico chiaro. Le sue attività minime:
- tenere aggiornato l'inventario;
- verificare che backup e aggiornamenti funzionino;
- gestire ingressi e uscite del personale dagli account;
- essere il punto di riferimento per le segnalazioni.
2. Sai cosa possiedi?
Non si protegge ciò che non si conosce. Prepara un inventario semplice, anche in un foglio di calcolo, con:
- dispositivi: computer, telefoni aziendali, server, NAS, router, stampanti, con chi li usa e fino a quando riceveranno aggiornamenti;
- servizi online: posta, contabilità, CRM, sito web, social, home banking, con l'indirizzo email dell'account amministratore;
- domini: dove sono registrati, quando scadono, chi ha accesso al pannello;
- dati importanti: dove sono e chi può accedervi.
Molte aziende scoprono, facendo questo esercizio, che il dominio aziendale è registrato a nome di un ex collaboratore o che l'account amministratore della posta è legato a un indirizzo personale che nessuno controlla più.
3. Account personali, non condivisi
Un account condiviso, come "ufficio@" con una password che conoscono tutti, rende impossibile sapere chi ha fatto cosa e obbliga a cambiare la password ogni volta che qualcuno se ne va. Dove possibile:
- ogni persona ha il proprio account nominativo;
- le caselle condivise vengono assegnate come accessi delegati, non tramite password comune;
- quando un account condiviso è inevitabile, la password è custodita in un password manager aziendale con condivisione controllata.
4. Ingresso e uscita del personale
È uno dei momenti più trascurati e più rischiosi.
Quando qualcuno entra
- crea gli account necessari, solo quelli;
- consegna una breve guida con le regole essenziali e il contatto per le segnalazioni;
- attiva fin da subito la verifica in due passaggi.
Quando qualcuno esce
- disattiva gli account il giorno stesso, inclusi quelli dei servizi cloud meno ovvi;
- cambia le password degli account condivisi a cui aveva accesso;
- recupera dispositivi, chiavi, badge, token;
- trasferisci la proprietà di file, documenti e caselle a un'altra persona prima di cancellare l'account;
- rimuovilo dai gruppi, dalle chat aziendali e dalle pagine social come amministratore.
Una lista di controllo scritta per le uscite evita che un ex collaboratore conservi per mesi l'accesso alla posta o al gestionale.
5. Fornitori con accesso
Tecnici esterni, consulenti, agenzie web, fornitori del gestionale: molti hanno accessi ai tuoi sistemi. Chiediti:
- chi ha un accesso remoto, e con quale strumento;
- se usano account nominativi o credenziali generiche;
- se gli accessi sono protetti da un secondo fattore;
- come vieni avvisato quando si collegano.
Chiudi gli accessi che non servono più e chiedi che quelli attivi siano protetti come i tuoi.
6. Le basi tecniche, verificate regolarmente
Non basta averle impostate una volta. Ogni mese o trimestre il responsabile verifica:
| Controllo | Frequenza indicativa |
|---|---|
| Backup riuscito e ripristino di prova | Mensile |
| Aggiornamenti di sistemi e dispositivi esposti | Mensile |
| Elenco account attivi e privilegi | Trimestrale |
| Accessi dei fornitori | Trimestrale |
| Scadenze di domini e certificati | Semestrale |
| Inventario dei dispositivi | Semestrale |
7. Regole scritte, brevi
Una pagina basta. Deve dire, in modo chiaro:
- come si verificano i cambi di IBAN e i pagamenti urgenti;
- dove si salvano i documenti aziendali;
- cosa non si fa con i dispositivi aziendali;
- a chi si segnala un problema, e che segnalare non comporta punizioni.
Regole lunghe e generiche non vengono lette. Regole brevi e concrete vengono ricordate.
8. Un piano per quando qualcosa va storto
Annota su carta, fuori dai sistemi aziendali, i numeri del tecnico, della banca, del fornitore della posta e del registrar del dominio, insieme alle prime azioni da compiere. Nel momento dell'emergenza, nessuno dovrebbe cercare un numero di telefono in una casella email che potrebbe non funzionare.
In sintesi
- Senza un responsabile, la sicurezza non è di nessuno.
- Un inventario di dispositivi, servizi, domini e dati è il punto di partenza.
- Account nominativi, non condivisi, e disattivazione immediata quando qualcuno esce.
- Controlla e limita gli accessi dei fornitori.
- Verifiche periodiche e regole scritte brevi tengono in piedi tutto il resto.