L'antivirus è la parte facile: due minuti e la coscienza è in pace. La fatica sta nel resto — la mail «del fornitore» con l'IBAN cambiato all'ultimo, la password uguale ovunque scritta sul quaderno vicino alla tastiera, la casella del titolare che fa da recupero per la banca, il gestionale e tutto il resto. «Tanto chi vuoi che ce l'abbia con noi»: nessuno, ed è proprio questo il punto — la truffa non sceglie, pesca. Manda diecimila esche identiche e campa con le tre aziende che quella settimana abboccano.
Sicurezza gestita, qui, vuol dire una cosa precisa: la posta del tuo dominio firmata e verificabile, così è più difficile spacciarsi per te; un antivirus seguito davvero, non installato e dimenticato; il codice in più sugli account che contano — posta, banca, gestionale, accessi amministrativi; un password manager al posto del quaderno; aggiornamenti fatti, non rimandati; e mezz'ora di formazione pratica a chi la posta la usa tutti i giorni. Ogni intervento si chiude con un report scritto: cosa è stato messo in sicurezza, cosa resta da tenere d'occhio.
Si parte da una ricognizione di postazioni, caselle e account, e da un preventivo chiaro prima di iniziare: gli interventi singoli vanno a tariffa oraria, col preventivo via email; se vuoi che la sicurezza resti viva nel tempo, il supporto continuativo si fissa insieme, su misura, in preventivo. E i confini del mestiere sono onesti: siamo un laboratorio, non un SOC — il presidio che sorveglia le reti giorno e notte — e i miracoli non li vendiamo. Per registri, nomine e adempimenti privacy formali il mestiere è del consulente o dell'avvocato: noi facciamo la parte tecnica.
La truffa che svuota i conti delle piccole imprese non è un film: è una mail scritta bene. Arriva dal fornitore vero, dentro uno scambio vero, con la fattura giusta: cambia una riga sola, «vi comunichiamo le nuove coordinate bancarie». Il bonifico parte tranquillo, il fornitore sollecita il pagamento un mese dopo, e i soldi nel frattempo sono altrove. La chiamano Business Email Compromise — la posta aziendale compromessa — e le cronache della Polizia Postale ne raccontano di continuo. La contromisura che ferma il grosso è organizzativa e costa zero: l'IBAN nuovo si verifica per telefono, chiamando il numero che hai già in rubrica — mai i recapiti scritti nella mail stessa. È una regola di bottega più che di informatica: si decide una volta, la conoscono tutti quelli che pagano, e lavora anche nei giorni in cui l'antivirus non ha niente da dire.
La posta è la porta d'ingresso dell'azienda: metterla in sicurezza significa firmarla e chiuderla bene. La parte che non si vede è il dominio: la posta che esce a tuo nome resa firmata e verificabile, così chi la riceve distingue una tua fattura da un'imitazione — è il lavoro di tre registri tecnici dalle sigle brutte, SPF, DKIM e DMARC, che nominiamo una volta sola e configuriamo noi. Non è pignoleria: il centro nazionale britannico per la cybersicurezza, l'NCSC, dedica una guida intera a rendere difficile ai criminali spacciarsi per l'indirizzo di un'azienda — la stessa cosa che montiamo qui, in piccolo. La parte che si vede è la casella: filtri regolati, indirizzi separati dove aiutano, e un occhio in più alla casella del titolare, che fa da recupero per banca, gestionale e tutto il resto: è la prima da blindare.
La password, da sola, non regge più: il codice in più la salva anche il giorno in cui te la rubano. Sugli account che contano — posta, banca, gestionale, accessi amministrativi — attiviamo l'autenticazione a più fattori, la MFA: oltre alla password serve un codice che hai solo tu, sul telefono, e la password pescata con l'inganno smette di bastare a chi l'ha presa. Lo stesso centro britannico lo scrive senza giri: la sola password non protegge abbastanza i dati che valgono, e un secondo fattore qualsiasi è comunque meglio della password da sola. Il quaderno accanto alla tastiera va in pensione: al suo posto un password manager, una cassaforte cifrata che le password le ricorda lei — una diversa per ogni servizio, tu ne tieni a mente una. E una regola della casa sopra tutto: le credenziali amministrative dell'azienda sono dell'azienda — documentate e consegnate a te, mai trattenute come leva.
Antivirus e aggiornamenti non fanno notizia, ed è il loro pregio. L'antivirus lo installiamo e poi lo seguiamo — aggiornato, con gli avvisi che qualcuno legge davvero: gestito vuol dire questo; dove il lavoro lo giustifica si sale all'EDR, il presidio che registra cosa accade sulla macchina, senza comprare sigle per sport. Gli aggiornamenti sono l'igiene del mestiere: le falle note si chiudono con le patch dei produttori, e chi attacca entra volentieri dalla porta lasciata socchiusa da mesi — il calendario lo teniamo noi, a te resta al massimo un riavvio. Poi c'è la mezz'ora che rende solido tutto il resto: formazione pratica, alla tua scrivania, sui casi veri della tua azienda — la fattura strana, il link travestito, il fornitore che «cambia IBAN» — non il corso di otto ore che nessuno ricorda. Chi usa la posta ogni giorno è la prima difesa, non l'anello debole.
La legge non chiede un bunker: chiede misure proporzionate al rischio, ed è esattamente il nostro mestiere. Il GDPR, all'articolo 32, impone a chi tratta dati personali «misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio», tenendo conto — parole sue — «dello stato dell'arte e dei costi di attuazione»: per una microimpresa significa il suo rischio e le sue tasche, non quelli di una banca. Noi facciamo la parte tecnica di quelle misure; registri, nomine, informative e l'eventuale DPO restano al consulente privacy o all'avvocato, e del tuo caso specifico se ne parla in preventivo. Due rimandi doverosi: quando tutto il resto ha fallito, l'ultima difesa è una copia che si ripristina — se ne parla in backup e continuità —; e la sicurezza cammina su una rete fatta bene, firewall e accessi compresi: quel capitolo vive in rete aziendale.
| Postazioni e persone | quante macchine, quante caselle e chi le usa: la superficie da difendere si conta prima di proteggerla |
|---|---|
| Dove sta la posta | dominio tuo o indirizzi sparsi, provider serio o casella storica: firma del dominio e regole cambiano il lavoro |
| Cosa c'è già | antivirus attivi, sistemi fuori supporto, aggiornamenti arretrati: si parte dall'esistente e si butta solo ciò che non difende |
| Account che contano | posta del titolare, banca, gestionale, accessi amministrativi: su quanti va acceso il codice in più |
| Password da traslocare | dal quaderno al password manager: quante credenziali e quante persone decidono la pazienza necessaria |
| Singolo o continuativo | messa in sicurezza singola a tariffa oraria, o canone che la tiene viva: aggiornamenti e controlli compresi |
I fattori che spostano davvero il preventivo di questo servizio: quante postazioni e persone, cosa c'è già in azienda, cosa deve restare in piedi. Si fissano insieme prima di iniziare — e il preventivo, coi numeri, ti arriva via email: a chiamata a tariffa oraria, il continuativo con canone su misura.
ElectrONIK Lab è un laboratorio indipendente: non è un centro di assistenza autorizzato né affiliato ai produttori. I marchi citati appartengono ai rispettivi titolari e sono usati solo per indicare i dispositivi su cui interveniamo. Restano validi i tuoi diritti di legge come consumatore nei confronti di chi esegue la riparazione.
Consulenza gratuita, preventivo chiaro prima e un report scritto a ogni intervento.