Contattaci

Categoria: Sicurezza Informatica

  • Obblighi NIS2: dal 31 ottobre riguardano anche le PMI

    Obblighi NIS2: dal 31 ottobre riguardano anche le PMI

    Gli obblighi NIS2 entrano nel vivo: il 31 ottobre 2026 è il termine entro cui i soggetti nel perimetro della direttiva devono aver implementato le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale (ACN). Da inizio anno è già operativo l’obbligo di notifica degli incidenti, con una pre-notifica al CSIRT Italia entro 24 ore. Non è una sigla astratta da rimandare: è una scadenza datata.

    Molte piccole e medie imprese pensano che tutto questo non le riguardi. È un equivoco che può costare caro — soprattutto se sei fornitore di un’azienda più grande. Vediamo perché, e cosa fare concretamente da qui a ottobre.

    Cos’è NIS2, in parole semplici

    NIS2 è una direttiva europea che alza l’asticella della sicurezza informatica per i settori critici e per chi li serve. Energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione, ma anche manifatturiero, alimentare, gestione rifiuti e servizi ICT: l’elenco dei settori coinvolti è molto più ampio di quanto si immagini.

    La direttiva distingue tra soggetti “essenziali” e “importanti”, con obblighi proporzionati ma simili nella sostanza. E soprattutto non riguarda solo le grandi aziende: una PMI può rientrarvi per dimensione e settore, oppure — ed è il punto che molti ignorano — di riflesso, come anello di una filiera.

    Il punto che molti ignorano: l’effetto filiera

    Una PMI può finire nel perimetro NIS2 come fornitore di un soggetto essenziale o importante. La direttiva chiede infatti alle organizzazioni obbligate di mettere in sicurezza anche la propria catena di approvvigionamento. Tradotto: sempre più spesso sono i clienti grandi a trasferire i requisiti di sicurezza ai fornitori, per contratto.

    “Non sei nell’elenco, ma il tuo cliente sì — e te lo gira.” Chi fornisce servizi IT, logistica, manutenzione, consulenza o qualsiasi servizio critico a un’azienda nel perimetro può vedersi richiedere garanzie di sicurezza come condizione per continuare a lavorare insieme. Ignorarlo significa rischiare di perdere commesse, non solo di prendere una sanzione.

    Obblighi NIS2: cosa chiedono concretamente

    Le misure di base si traducono in azioni pratiche, non in burocrazia fine a sé stessa:

    • Gestione del rischio — sapere quali dati e sistemi sono critici e quali minacce li riguardano.
    • Backup e continuità operativa — copie di sicurezza testate e un piano per ripartire dopo un incidente.
    • Controllo degli accessi — chi entra dove, con autenticazione a più fattori e privilegi minimi.
    • Gestione degli incidenti — saper rilevare un attacco e attivare la procedura di notifica nei tempi previsti.
    • Formazione del personale — perché il punto d’ingresso, quasi sempre, è una persona.

    Sono gli stessi pilastri che raccontiamo da tempo parlando di sicurezza informatica per le PMI: NIS2 non inventa nulla di esotico, rende obbligatorio ciò che era già buon senso.

    Quanto pesa non adeguarsi

    Il quadro sanzionatorio è severo. Per i soggetti essenziali sono previste sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale totale (si applica l’importo maggiore); per i soggetti importanti fino a 7 milioni di euro o all’1,4% del fatturato. A questo si aggiunge un rischio spesso più immediato e concreto per una PMI: perdere forniture verso clienti che esigono conformità.

    Da novembre 2026, finita la fase di tolleranza, l’ACN avvia ufficialmente le attività ispettive e sanzionatorie. La finestra per arrivare in ordine, insomma, è adesso.

    I primi 4 passi per arrivare pronti al 31 ottobre

    Non serve stravolgere l’azienda. Servono quattro mosse, nell’ordine giusto:

    1. Capire se rientri nel perimetro — direttamente (per settore e dimensione) o indirettamente, come fornitore di un soggetto NIS2.
    2. Fare un audit dello stato attuale — fotografare cosa c’è già e cosa manca rispetto alle misure di base.
    3. Colmare i gap — partendo dai fondamentali: backup testati, controllo accessi con MFA, gestione degli incidenti.
    4. Formare il personale e impostare la procedura di notifica — così, se accade qualcosa, si sa cosa fare e in quali tempi.

    È lo stesso tipo di lettura che proponevamo commentando i numeri del Rapporto Clusit 2026: la sicurezza non è un prodotto da comprare, ma un insieme di azioni messe in fila.

    Come interveniamo

    Affianchiamo le PMI lungo tutto il percorso: audit di posizionamento rispetto a NIS2 per capire se e come la direttiva ti riguarda, adeguamento tecnico (backup e snapshot, controllo accessi, EDR), documentazione e procedure di notifica, formazione del personale. Un percorso graduale, calibrato sulla dimensione reale dell’azienda.

    C’è anche una buona notizia sul fronte costi: parte di questi interventi è finanziabile con il Voucher Cloud & Cybersecurity del MIMIT (fondo perduto fino al 50%), il cui sportello per le imprese è atteso nel secondo semestre 2026. Requisiti e tempistiche vanno verificati prima di dare per certa l’idoneità.

    Vuoi sapere se la tua impresa rientra negli obblighi NIS2 e cosa fare entro ottobre? Richiedi un’analisi gratuita dello stato di sicurezza: partiamo dalla tua posizione reale, senza allarmismi.

    Fonti:

  • Rapporto Clusit 2026: cosa dice alle PMI italiane

    Rapporto Clusit 2026: cosa dice alle PMI italiane

    Il Rapporto Clusit 2026 ha fotografato il 2025 come l’anno peggiore di sempre per la sicurezza informatica, e all’interno di quel quadro l’Italia occupa una posizione che dovrebbe far riflettere ogni imprenditore. Non è un tema da grandi aziende: i dati raccontano l’esatto contrario. Vediamo cosa dice davvero il rapporto e, soprattutto, cosa significa per la tua impresa — senza allarmismi, ma con i piedi per terra.

    Nel mondo, nel 2025, sono stati registrati 5.265 attacchi gravi, in crescita del 49% rispetto all’anno precedente. L’Italia ha contato 507 attacchi gravi (erano 357 nel 2024), con un aumento del 42% in dodici mesi. Tradotto in proporzione: il nostro Paese assorbe da solo il 9,6% degli incidenti gravi a livello mondiale, una quota altissima rispetto al suo peso economico.

    Rapporto Clusit 2026: perché le PMI sono il bersaglio preferito

    Quando si leggono questi numeri, l’istinto è pensare “riguardano banche e multinazionali, non la mia attività”. È un errore di prospettiva. Il cybercrime — cioè gli attacchi a scopo di profitto — rappresenta oggi il 90% del totale, con una crescita del 55% in un anno. È un’industria, e come ogni industria cerca il rendimento migliore: non il bersaglio più ricco, ma quello più facile da colpire in serie.

    Le PMI con sistemi informatici poco presidiati sono esattamente questo: tante, simili tra loro, spesso senza un responsabile della sicurezza. Un attacco automatizzato non sceglie la vittima per fatturato, la sceglie per debolezza. Per questo “tanto chi vuoi che attacchi proprio me” è la frase che precede la maggior parte degli incidenti.

    Il vero punto d’ingresso: le persone, non i server

    C’è un secondo dato del rapporto che cambia il modo di affrontare il problema. Le tecniche di phishing e social engineering sono cresciute di circa il 66%, spinte dall’intelligenza artificiale che oggi confeziona email, messaggi e telefonate-truffa sempre più credibili e personalizzati.

    Significa che la porta d’ingresso non è quasi mai un server bucato: è una persona che clicca, che apre un allegato, che risponde a una richiesta apparentemente legittima. Nessun firewall protegge da un dipendente ingannato. È lo stesso meccanismo dei deepfake vocali, in cui pochi secondi di audio bastano a clonare la voce di un titolare o di un fornitore. La sicurezza, prima ancora che tecnologia, è organizzazione e consapevolezza.

    Le 4 cose da mettere in regola subito

    La buona notizia è che ridurre drasticamente il rischio non richiede budget da grande impresa. Richiede di mettere in fila quattro interventi, nell’ordine giusto:

    1. Backup immutabile e testato — copie che nessuno può cancellare o cifrare, nemmeno con le credenziali di amministratore, e di cui si verifica periodicamente il ripristino. Un backup mai testato è una speranza, non una difesa.
    2. EDR e controllo degli accessi (MFA) — un sistema che rileva i comportamenti anomali sui dispositivi e l’autenticazione a più fattori su tutti gli accessi critici. Insieme, fermano la stragrande maggioranza degli attacchi automatizzati.
    3. Formazione del personale — perché il fattore umano è il primo bersaglio. Poche regole chiare, ripetute, valgono più di qualsiasi singolo prodotto.
    4. Audit delle vulnerabilità — una verifica concreta di dove sei davvero esposto, per intervenire sulle priorità reali e non a sensazione.

    Quanto costa non farlo

    Il conto di un incidente non è solo il riscatto eventuale. È il fermo dell’attività nei giorni in cui i sistemi sono bloccati, il danno reputazionale verso clienti e fornitori, l’esposizione verso il Garante in caso di violazione di dati personali. Per una PMI italiana un attacco riuscito può costare facilmente oltre 50.000 euro, e cifre molto più alte nei casi gravi. Il costo della prevenzione, messo a confronto, è una frazione di quel rischio — e in molti casi rientra tra le spese ammissibili di bandi e voucher per la digitalizzazione e la cybersecurity.

    Checklist di autovalutazione in 5 punti

    • Hai un backup immutabile e ne hai testato il ripristino nell’ultimo anno?
    • Hai un EDR attivo sui dispositivi aziendali?
    • Usi l’autenticazione a più fattori su email, gestionali e accessi remoti?
    • Il personale è stato formato a riconoscere phishing e tentativi di truffa?
    • Hai fatto un audit delle vulnerabilità di recente?

    Ogni “no” è un punto in cui oggi sei più esposto di quanto pensi.

    Non è solo un problema tecnico: è una responsabilità

    C’è un aspetto che il Rapporto Clusit 2026 rende evidente e che troppe imprese sottovalutano: una violazione dei dati non è solo un guasto informatico, è un fatto che coinvolge la responsabilità dell’azienda verso clienti, dipendenti e fornitori. Se vengono sottratti dati personali — anagrafiche, recapiti, informazioni sanitarie o di pagamento — scattano obblighi precisi, a partire dalla notifica al Garante entro 72 ore.

    Per studi professionali, strutture ricettive e attività che gestiscono dati di clienti e ospiti, questo significa che la sicurezza informatica e la conformità al GDPR sono due facce della stessa medaglia. Investire nelle quattro misure viste sopra non riduce solo il rischio tecnico: riduce anche l’esposizione legale e reputazionale in caso di incidente. È la differenza tra subire un attacco ed essere in grado di dimostrare di aver fatto la propria parte.

    Come interveniamo

    La sicurezza dei dati è uno degli ambiti in cui il nostro team opera quotidianamente a supporto di PMI, studi professionali e strutture del territorio: protezione e backup immutabili, controllo degli accessi, audit delle vulnerabilità e formazione del personale sul fattore umano.

    Se vuoi sapere a che punto è la sicurezza della tua attività rispetto ai dati del Rapporto Clusit 2026, il nostro referente è a disposizione per un’analisi preliminare gratuita e senza impegno. Scopri i nostri servizi di sicurezza informatica per le PMI.

    Fonti:

  • Sicurezza informatica PMI: il backup non basta più

    Sicurezza informatica PMI: il backup non basta più

    Per anni la regola della sicurezza informatica PMI è stata semplice: fai i backup e dormi tranquillo. Se un ransomware ti cifrava i file, ripristinavi l’ultima copia e tornavi operativo. Nel 2026 questa logica non basta più — e capire perché può evitare a un’azienda un danno da decine di migliaia di euro.

    Il motivo è un cambio di strategia degli attaccanti. I gruppi più attivi quest’anno non puntano più solo a bloccare i tuoi dati: puntano a rubarli. E contro un furto, un backup — per quanto perfetto — non ti protegge in alcun modo.

    Vediamo cosa è cambiato e quali sono le due difese che oggi fanno davvero la differenza: il backup immutabile e l’EDR.

    Dal blocco al furto: come è cambiato il ransomware

    Il ransomware classico funzionava così: cifrava i file e chiedeva un riscatto per la chiave di sblocco. Il backup era l’antidoto — ripristinavi e ignoravi la richiesta.

    I nuovi attori hanno cambiato modello. Gruppi come “The Gentlemen”, tra le operazioni più attive del 2026, si concentrano sull’esfiltrazione pura: copiano anagrafiche clienti, contratti, dati sanitari o fiscali e minacciano di pubblicarli o rivenderli. Secondo le rilevazioni di settore, la grande maggioranza degli attacchi ransomware include ormai una fase di furto dati prima dell’eventuale cifratura (approfondimento su Cybersecurity360).

    Per un’attività significa che il danno non è più solo operativo: è reputazionale e normativo. Se ti rubano i dati dei clienti, oltre al ricatto scattano l’obbligo di notifica al Garante e il rischio di sanzioni. Il backup, qui, non c’entra: i dati sono già usciti dall’azienda.

    Backup immutabile: cos’è e perché cambia le carte

    La prima difesa che oggi consigliamo è il backup immutabile. Il principio è semplice: una volta scritto, il dato non è più modificabile né cancellabile per un periodo definito (in genere da 30 a 365 giorni), nemmeno da un amministratore con le credenziali compromesse.

    È la differenza che salva l’azienda quando un attaccante riesce a entrare con privilegi elevati: con un backup tradizionale può cancellare anche le copie di sicurezza prima di sferrare l’attacco; con un backup immutabile, no. Le copie restano intatte e recuperabili.

    Il costo? In media il 15-20% in più rispetto a uno storage tradizionale. Va messo in prospettiva: secondo il Rapporto Clusit 2026 un attacco riuscito costa a una PMI italiana oltre 50.000 euro in media, con picchi che superano il milione nei casi più gravi, e un tempo medio di ripristino di circa 23 giorni in assenza di un piano strutturato. La protezione costa una frazione del danno che previene.

    Abbiamo affrontato il tema della corretta strategia di copia nel nostro articolo sul backup dei dati aziendali e la regola 3-2-1-1-0: l’immutabilità è proprio lo “1-0” finale di quella formula.

    EDR: perché l’antivirus tradizionale non basta

    La seconda difesa riguarda il furto in sé. Un antivirus tradizionale riconosce le minacce note tramite firme: utile, ma cieco di fronte a un attacco che si muove “in silenzio” dentro la rete.

    Un EDR (Endpoint Detection and Response) di nuova generazione ragiona diversamente: osserva i comportamenti. Rileva movimenti anomali — incluso un traffico inatteso di dati verso l’esterno — e può bloccare l’esfiltrazione mentre sta avvenendo. Non a caso, gli attaccanti più evoluti cercano prima di tutto di disattivare proprio l’EDR: è il loro principale ostacolo.

    Per una PMI con dati sensibili — strutture ricettive, studi medici, commercialisti — la combinazione backup immutabile + EDR copre i due fronti che il solo backup lascia scoperti: l’integrità delle copie e il controllo di ciò che esce.

    Sicurezza informatica PMI: la domanda giusta da farsi

    Il passaggio chiave per chi si occupa di sicurezza informatica PMI è cambiare la domanda. Non più “faccio i backup?”, ma:

    • I miei backup sono immutabili, o un attaccante con accesso amministrativo può cancellarli?
    • I miei dati possono uscire dall’azienda senza che nessuno se ne accorga?

    Ecco una checklist di autovalutazione in 5 punti:

    • Backup immutabile attivo: sì / no
    • EDR di nuova generazione installato: sì / no
    • Controllo del traffico in uscita (rilevamento esfiltrazione): sì / no
    • Autenticazione forte (multi-fattore) sugli accessi critici: sì / no
    • Piano di risposta all’incidente documentato e testato: sì / no

    Se hai risposto “no” a due o più punti, la tua azienda è esposta proprio sul fronte che gli attacchi 2026 sfruttano di più.

    Una nota sui finanziamenti

    Mettere in sicurezza l’infrastruttura non deve per forza pesare interamente sul bilancio. Il Voucher Cloud e Cybersecurity del MIMIT prevede un contributo a fondo perduto del 50% (fino a 20.000 euro) su spese di cloud e sicurezza, e ben 71 milioni di euro sono riservati alle imprese del Mezzogiorno, Puglia inclusa. Lo sportello per le domande delle imprese è atteso nel secondo semestre 2026: è il momento di preparare i progetti (dettagli sul sito MIMIT). Interventi come backup immutabile, EDR e controllo accessi rientrano tra le spese ammissibili.

    Come interveniamo

    La protezione dei dati è uno degli ambiti in cui il nostro team opera quotidianamente a supporto di PMI, studi professionali e strutture del territorio: dalle soluzioni di Protezione Totale e Versioning/Snapshot anti-ransomware all’EDR e al controllo degli accessi, fino all’audit delle vulnerabilità.

    Il backup ti protegge dal blocco, non dal furto. Se vuoi capire quanto la tua attività è davvero esposta, il nostro referente commerciale è a disposizione per un’analisi gratuita dello stato di sicurezza, senza impegno.

    👉 Richiedi l’analisi dello stato di sicurezza

    Fonti:

  • GDPR per piccole imprese: 3 errori sulle password da evitare

    GDPR per piccole imprese: 3 errori sulle password da evitare

    Quando si parla di GDPR per piccole imprese, l’attenzione finisce quasi sempre su moduli di consenso e informative. Ma una parte enorme delle sanzioni e dei danni reali nasce molto più in basso, da qualcosa che diamo per scontato ogni giorno: le password e la gestione degli accessi. Sono tre gli errori che ritroviamo regolarmente negli studi professionali — e si correggono in mezza giornata di lavoro.

    Il tema è tutt’altro che teorico. Secondo il piano ispettivo reso noto per il primo semestre del 2026, il Garante per la protezione dei dati personali ha programmato un numero consistente di verifiche in collaborazione con la Guardia di Finanza, con un’attenzione dichiarata proprio ai data breach (Federprivacy). In parallelo, la cronaca degli ultimi mesi conferma che gli attacchi non colpiscono solo le grandi organizzazioni: nella sola primavera 2026 diverse imprese italiane di piccola e media dimensione — tra cui realtà del territorio pugliese — sono finite sui siti dei gruppi ransomware. Il messaggio è chiaro: anche una struttura piccola e ben avviata può essere colpita e, se non era in regola, sanzionata.

    Errore 1: password salvate “in chiaro” o protette con metodi superati

    È l’errore più grave e, purtroppo, ancora diffuso. Significa che le credenziali degli utenti — o quelle che lo studio usa per i propri gestionali — sono conservate in un modo che, in caso di furto del database, le rende immediatamente leggibili.

    GDPR per piccole imprese: audit di sicurezza in uno studio professionale; verifica degli accessi e delle credenziali

    Nel linguaggio tecnico si parla di “hashing”: un buon sistema non salva mai la password così com’è, ma una sua versione trasformata e non reversibile, con algoritmi aggiornati. Molti software datati, o configurati male, usano ancora metodi obsoleti facilmente “decifrabili”.

    Come si verifica e si corregge: si controlla con quali sistemi vengono gestite le credenziali dei gestionali e dei portali dello studio, si dismettono i software che non rispettano gli standard attuali e si adotta un gestore di password aziendale, in modo che nessuno debba più annotare credenziali su file di testo, post-it o rubriche.

    Errore 2: credenziali di sistemi dismessi mai rimosse

    Ogni studio accumula, negli anni, account che non servono più: l’email di un ex collaboratore, l’accesso a un software che non si usa da tempo, il portale di un fornitore cambiato. Finché restano attivi, sono porte aperte. E spesso nessuno se ne ricorda finché non vengono usate da qualcuno che non dovrebbe.

    Il rischio è doppio: da un lato un accesso non più presidiato è il bersaglio ideale per chi vuole entrare senza farsi notare; dall’altro, sul piano del GDPR, mantenere attivi account e dati non più necessari viola direttamente il principio di minimizzazione.

    La procedura corretta: alla cessazione di ogni collaborazione o servizio, prevedere una checklist di dismissione che disattivi gli accessi, revochi le autorizzazioni e archivi o cancelli i dati non più necessari. Una verifica periodica degli account attivi — almeno due volte l’anno — chiude le porte rimaste aperte.

    Errore 3: notifica del data breach in ritardo

    Quando si verifica una violazione dei dati, il GDPR impone tempi stretti: la notifica al Garante va fatta, nei casi previsti, entro 72 ore dal momento in cui si viene a conoscenza dell’incidente. Sembra ampio, ma senza un piano già pronto quelle ore evaporano nel panico — tra il capire cosa è successo, chi è stato coinvolto e come comunicarlo.

    Il problema non è quasi mai la cattiva volontà: è l’assenza di una procedura predisposta prima dell’incidente. Chi non sa in anticipo chi chiamare, quali informazioni raccogliere e con quale modello notificare, arriva quasi sempre fuori tempo massimo — e il ritardo è esso stesso una violazione sanzionabile.

    Cosa serve avere pronto: un piano di risposta agli incidenti con ruoli definiti, un modello di notifica precompilato nelle parti fisse, e un registro dove annotare l’evento. Materiale che si prepara una volta e si tiene aggiornato, ma che il giorno dell’incidente fa la differenza tra una gestione ordinata e un disastro.

    Perché gli studi professionali finiscono nel mirino

    A proposito del GDPR per piccole imprese, commercialisti, avvocati, consulenti del lavoro custodiscono una concentrazione di dati molto appetibile: bilanci, dichiarazioni fiscali, dati personali e spesso particolari dei clienti, documenti riservati. A questa ricchezza di informazioni si accompagna, frequentemente, una struttura informatica interna leggera e nessuna figura dedicata alla sicurezza. È la combinazione che rende uno studio un bersaglio più conveniente di una grande azienda dotata di difese robuste.

    A questo si aggiunge un fattore di stagionalità che chi lavora nel settore conosce bene: perdere l’accesso ai dati a ridosso delle scadenze fiscali non è solo un problema tecnico, è un danno operativo e reputazionale immediato.

    La checklist di autovalutazione in 5 punti

    In circa 30 minuti puoi capire se il tuo studio è esposto agli stessi tre errori:

    • Le password dei gestionali sono gestite con un sistema dedicato, o annotate su file e fogli?
    • Esiste un elenco aggiornato degli account attivi, con un responsabile che lo verifica?
    • Gli accessi di ex collaboratori e fornitori passati sono stati tutti disattivati?
    • È prevista l’autenticazione a due fattori sui sistemi che contengono dati dei clienti?
    • Esiste un piano scritto su cosa fare nelle prime 72 ore dopo una violazione?

    Se a una sola di queste domande la risposta è “no” o “non lo so”, lo studio è esposto.

    Come interveniamo con un audit mirato

    Il nostro servizio di audit e analisi delle vulnerabilità mappa i punti deboli dello studio — dalla gestione delle credenziali agli accessi dimenticati, fino alla preparazione in caso di incidente — e definisce le contromisure in ordine di priorità. Non un documento da archiviare, ma un piano d’azione concreto e proporzionato alla dimensione reale dello studio.

    La domanda giusta non è “mi capiterà mai?”, ma “cosa farò il giorno che mi capita?”. Il nostro referente è disponibile per un’analisi gratuita dello stato di sicurezza del tuo studio, senza impegno.

    Richiedi un’analisi gratuita — daveastudio.it/sicurezza-informatica-per-pmi/

    Fonti:

  • Backup dati aziendali: la regola 3-2-1-1-0 che funziona

    Backup dati aziendali: la regola 3-2-1-1-0 che funziona

    Il backup dati aziendali è la prima cosa che un attacco ransomware moderno cerca — e distrugge. Quasi tutte le PMI ne hanno uno. Quasi nessuna lo ha configurato in modo da sopravvivere a un attacco ransomware moderno.

    I numeri lo confermano: il Veeam Ransomware Trends Report 2025 ha rilevato che nell’89% degli attacchi gli hacker hanno preso di mira i backup prima di cifrare i dati primari. Il risultato: solo il 10% delle organizzazioni colpite è riuscita a recuperare più del 90% dei propri dati. Il 57% ne ha recuperati meno della metà.

    In Italia la situazione è ancora più critica: gli attacchi ransomware sono aumentati del 65% nel 2025, il 46% ha colpito PMI, e il costo medio per una piccola impresa si attesta tra i 50.000 e i 200.000 euro — inclusi downtime, ripristino e perdita di contratti. Il problema, quasi mai, è l’assenza di un backup dati aziendali. È la sua architettura.

    Backup dati aziendali: perché quello che hai probabilmente non funziona

    Il ransomware moderno — Akira, LockBit, Black Basta — non si limita a cifrare i file sul server principale. Prima di procedere, scandisce la rete alla ricerca di tutto ciò che può raggiungere: condivisioni di rete, NAS collegati, cartelle sincronizzate con il cloud, dischi USB perennemente collegati.

    Se il backup è montato sulla stessa rete, viene cifrato insieme ai dati originali. È esattamente lo scenario che rende inutile la configurazione standard di molte PMI: un NAS in LAN, una cartella OneDrive o Google Drive che si sincronizza automaticamente, un disco esterno sempre inserito nel server.

    In questi casi avere un backup è come conservare una copia delle chiavi di casa appesa fuori dalla porta.

    La regola 3-2-1-1-0: cosa significa ogni cifra

    Backup dati aziendali: lo schema della regola backup 3-2-1-1-0: 3 copie, 2 supporti, 1 offsite, 1 offline, 0 errori

    La regola 3-2-1-1-0 per i backup dati aziendali è lo standard di riferimento per la protezione dei dati contro ransomware e guasti hardware. Ogni cifra corrisponde a un requisito preciso:

    • 3 — tre copie dei dati (originale + due backup distinti)
    • 2 — due tipi di supporto diversi (es. disco locale + cloud)
    • 1 — almeno una copia in posizione offsite, fisicamente separata dalla sede principale
    • 1 — almeno una copia offline o air-gapped, ovvero non raggiungibile dalla rete in modo continuativo
    • 0 — zero errori non rilevati: ogni backup testato periodicamente con un ripristino reale

    Le due aggiunte rispetto alla vecchia regola 3-2-1 sono il secondo “1” e lo “0”: la copia offline e la verifica attiva. Sono le due componenti che il ransomware non riesce ad aggirare — e le due che la maggior parte delle PMI non ha.

    Backup dati aziendali:
    Perché la vecchia regola 3-2-1 non basta più

    La regola 3-2-1 era pensata per proteggersi da guasti hardware e disastri fisici (incendi, allagamenti). Per quelli funziona ancora. Non funziona contro il ransomware perché non contempla l’isolamento dalla rete.

    Un backup su NAS locale più cloud è teoricamente 3-2-1: copia originale, copia NAS (supporto 1), copia cloud (supporto 2, offsite). Ma se il NAS è sempre montato e il cloud è sincronizzato in tempo reale, entrambe le copie sono raggiungibili da un malware che ha compromesso la rete. Il cloud sincronizza anche la cifratura — e la versione corrotta sovrascrive quella integra nel giro di minuti.

    La soluzione è il backup immutabile — un repository che non può essere modificato o cancellato per un periodo definito — e il backup offline: un supporto collegato solo durante la finestra di backup e poi scollegato fisicamente dalla rete. Entrambe le tecnologie sono accessibili anche per PMI senza budget enterprise.

    Cosa dice NIS2 sul backup delle PMI

    La Direttiva NIS2 (recepita in Italia con il D.Lgs. 138/2024) impone ai soggetti classificati come essenziali o importanti l’adozione di misure di business continuity che includono esplicitamente strategie di backup verificabili e procedure di ripristino testate. L’articolo 21 elenca tra le misure obbligatorie la “gestione dei backup” e il “ripristino in caso di disastro”.

    Anche le PMI che non rientrano formalmente nell’ambito NIS2 trovano in questo standard un riferimento pratico: clienti enterprise e pubbliche amministrazioni che esternalizzano servizi iniziano a richiedere ai fornitori la documentazione dei processi di backup. Non essere in grado di dimostrarla diventa un problema commerciale prima ancora che normativo. I soggetti NIS2 che non dispongono di un backup dati aziendali strutturato rischiano sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo globale.

    Come implementare la 3-2-1-1-0 senza budget enterprise

    Per una PMI, l’implementazione pratica di un backup dati aziendali efficace non richiede infrastrutture costose. Un approccio concreto per fasce di dimensione:

    • Copia locale con immutabilità: soluzioni come Veeam Backup Community Edition o Nakivo consentono di configurare repository con retention lock su NAS compatibili, impedendo la modifica o cancellazione dei backup per un periodo definito.
    • Copia cloud con versioning: servizi come Backblaze B2, Wasabi o Amazon S3 Glacier offrono storage a basso costo con versioning attivabile — ogni modifica genera una nuova versione, quindi la cifratura non sovrascrive la copia originale.
    • Copia offline ruotata: un disco esterno USB 3 da 4-8 TB con rotazione settimanale (disco A in uso questa settimana, disco B fuori sede o in cassaforte) è sufficiente per molte realtà. Costo indicativo: 100-150 euro.
    • Test di ripristino mensile: senza un test periodico, il backup è una promessa non verificata. Un ripristino su macchina virtuale di test, anche parziale, è sufficiente a confermare l’integrità dei dati.

    La revisione e l’implementazione di un’architettura di backup dati aziendali è tra i servizi che il nostro team affianca quotidianamente a PMI, studi professionali e strutture del territorio. Se vuoi capire se la tua configurazione attuale reggerebbe un attacco ransomware, il nostro referente è disponibile per un’analisi preliminare gratuita e senza impegno.

    Contattaci — daveastudio.it/sicurezza-informatica-per-pmi/

    Fonti: