Un collaboratore clicca su un falso link di reimpostazione della password un venerdì alle 17:00. Lunedì mattina, il server di file viene crittografato da un ransomware, la messaggistica è fuori servizio e nessuno sa se l’ultimo backup funziona.
Questo scenario colpisce aziende di tutte le dimensioni, e la risposta non si limita a installare un antivirus. Rafforzare la sicurezza digitale della tua azienda nel 2024 richiede scelte tecniche precise, un’organizzazione collaudata e una vera disciplina sugli accessi.
Passkey e autenticazione resistente al phishing
Il phishing rimane il principale vettore d’ingresso degli attacchi significativi contro le aziende francesi. Le campagne non si limitano più alle e-mail: SMS, chiamate vocali, falsi portali di accesso su mobile moltiplicano le superfici di esposizione. Di fronte a questa constatazione, la semplice combinazione username-password non è più sufficiente, anche con un secondo fattore via SMS.
Le passkey cambiano le regole del gioco. Basate sulla crittografia asimmetrica, eliminano la password trasmissibile e rendono il phishing classico inoperante. Si distinguono due categorie a seconda del livello di sicurezza ricercato.
- Le passkey sincronizzate si replicano tra i dispositivi di un medesimo ecosistema (Apple, Google, gestore di password). Pratiche per un uso quotidiano, sono adatte alle applicazioni aziendali standard.
- Le passkey legate al dispositivo (device-bound) rimangono memorizzate su un token hardware o un modulo di sicurezza integrato. Offrono un livello di sicurezza superiore per gli accessi critici: console di amministrazione, VPN, database sensibili.
- La scelta tra le due dipende dal rischio associato a ciascuna risorsa. Mescolare le due in una stessa organizzazione è non solo possibile, ma raccomandato.
Per quanto riguarda il deployment, si inizia con gli account privilegiati (amministratori di sistema, responsabili finanziari), per poi espandere progressivamente. I feedback variano sulla facilità di adozione a seconda delle fasce d’età e delle abitudini digitali, ma la curva di apprendimento rimane breve non appena esiste un supporto interno.
Per approfondire le questioni di protezione dei sistemi informativi, le risorse disponibili su la sezione sicurezza di Open Syd consentono di comprendere meglio le soluzioni adatte alle PMI.
Registrazione e prova: cosa si aspettano le autorità dopo un incidente
Molte aziende investono nella prevenzione e trascurano totalmente la tracciabilità. Le autorità francesi, con la CNIL in testa, insistono ora sulla combinazione MFA, registrazione e controllo degli accessi remoti come base di prova in caso di incidente. Senza questi elementi, un’azienda vittima di un attacco informatico rischia non solo danni operativi, ma anche una sanzione per mancanza di misure di sicurezza appropriate.
Concretamente, registrare significa registrare le connessioni, i tentativi di accesso falliti, le modifiche ai diritti e i trasferimenti di file di grandi dimensioni. Questi log devono essere datati, conservati per un periodo coerente con la normativa e memorizzati in uno spazio separato dal sistema monitorato.
Implementare una registrazione utilizzabile
Un registro di connessione che genera migliaia di righe senza che si sappia come leggerle non ha alcuna utilità. Si definiscono prima gli eventi da catturare: autenticazioni, escalation di privilegi, accesso ai dati personali. Poi si configurano avvisi su comportamenti anomali (connessione da un paese insolito, accesso alle 3 del mattino su una postazione normalmente utilizzata durante il giorno).
La dimensione dello storage e la durata della retention dipendono dal settore e dal volume di dati trattati. Centralizzare i log su un server dedicato o un servizio esternalizzato evita che un attaccante cancelli le proprie tracce compromettendo la macchina target.
Backup testati e piano di risposta agli incidenti
La maggior parte delle aziende dichiara di effettuare backup. Molto poche testano regolarmente il ripristino. La differenza tra i due si misura il giorno in cui un ransomware crittografa il server principale.
La CNIL raccomanda esplicitamente backup memorizzati al di fuori della rete aziendale, con test di ripristino periodici. Un disco esterno collegato permanentemente al server non è un backup utilizzabile: verrà crittografato insieme al resto.
Organizzare la risposta prima della crisi
Un piano di risposta agli incidenti non si scrive durante l’attacco. Si prepara in anticipo una scheda di emergenza che copre quattro domande.
- Chi prende la decisione di isolare un server o di interrompere un accesso VPN? La catena decisionale deve essere chiara, anche in assenza del dirigente.
- Come comunicare se la messaggistica è compromessa? Deve essere definito un canale di emergenza (messaggistica crittografata su telefono personale, numero di telefono di emergenza).
- Quali fornitori contattare e in quale ordine? Hosting, fornitore del software aziendale, assicuratore cyber, autorità (ANSSI per gli operatori interessati, CNIL se sono esposti dati personali).
- Dove si trovano i backup e chi possiede le credenziali per accedervi? Questo punto sembra banale fino a quando l’unica persona informata è in ferie.
Gestione degli accessi remoti e segmentazione della rete
Il lavoro da remoto ha moltiplicato i punti d’ingresso verso i sistemi informativi. Un VPN mal configurato o un accesso RDP aperto su Internet rappresenta una porta d’ingresso diretta per un attaccante che ha recuperato credenziali tramite phishing.
Ogni accesso remoto deve passare attraverso un tunnel crittografato con un’autenticazione multifattoriale attiva. Gli accessi generici condivisi tra più persone (un solo account “admin” per tutto il team) sono da evitare: rendono la registrazione inutile poiché non si può più attribuire un’azione a un individuo.
Segmentare per limitare la propagazione
Su una rete piatta, una postazione compromessa dà accesso a tutte le risorse. Segmentare la rete in zone (postazioni di lavoro, server aziendali, backup, oggetti connessi) limita la propagazione laterale di un attacco. Si applicano regole di firewall tra ogni segmento per autorizzare solo i flussi strettamente necessari.
Questo approccio si allinea ai principi del modello zero trust: nessun dispositivo o utente è considerato affidabile per default, nemmeno all’interno della rete. La fiducia deve essere verificata ad ogni richiesta, non una sola volta al momento della connessione VPN.
Il quadro normativo europeo si è inasprito di recente sugli incidenti e la resilienza dei prodotti digitali. Aspettare il prossimo attacco per strutturare la propria sicurezza digitale equivale a sottoscrivere un’assicurazione dopo l’incendio. Le misure descritte qui non richiedono un budget considerevole, ma richiedono tempo, rigore e soprattutto test regolari per verificare che funzionino nel giorno in cui ne abbiamo bisogno.
