Contattaci

Categoria: Sicurezza Informatica

  • Sanzione GDPR da 85.000€: la lezione per le PMI

    Sanzione GDPR da 85.000€: la lezione per le PMI

    Una sanzione GDPR da 85.000 euro è arrivata a una delle realtà di consulenza più note d’Italia — The European House Ambrosetti — e la cosa più istruttiva non è la cifra, ma il motivo. Non un attacco sofisticato, non un hacker geniale: password conservate senza protezione adeguata e una comunicazione agli interessati arrivata con mesi di ritardo. È la conferma di una regola che vale per chiunque tratti dati: le multe nascono quasi sempre dalle basi mancanti, non dagli attacchi impossibili da prevedere.

    C’è un pregiudizio diffuso, soprattutto tra studi professionali e piccole imprese: “il Garante colpisce solo i grandi”. Questo caso lo ribalta. E lo fa proprio perché le carenze contestate — gestione delle password, tempistiche di comunicazione — sono esattamente quelle alla portata di qualsiasi studio o PMI, sia come errore sia come soluzione.

    Vediamo cosa è successo, cosa insegna e qual è la checklist minima per non trovarsi dalla parte sbagliata di un controllo.

    Cosa è andato storto (senza tecnicismi)

    Nell’aprile 2026 il Garante per la protezione dei dati personali ha definito il provvedimento (Decreto 280/2026) a carico della società, a seguito di un data breach che aveva coinvolto 61.670 persone — dipendenti, collaboratori e utenti dei servizi online. Da un accesso non autorizzato erano stati esfiltrati nomi, email, username e password.

    Due gli errori decisivi contestati, entrambi banali solo in apparenza:

    • Password non protette adeguatamente. Una parte delle password era conservata in chiaro, un’altra con tecniche di cifratura non allineate agli standard di sicurezza avanzati. In più, credenziali legate a finalità ormai esaurite non erano state rimosse: dati che non servivano più, lasciati lì a generare rischio.
    • Comunicazione agli interessati tardiva. Qui va fatta una precisazione importante, perché è il cuore della lezione. La notifica della violazione al Garante era stata effettuata nei termini previsti (entro 72 ore). Ciò che è mancato è la comunicazione tempestiva alle persone coinvolte: è arrivata circa due mesi dopo la scoperta, e solo dopo un ordine correttivo dell’Autorità — pur trattandosi di una violazione potenzialmente ad alto rischio per i diritti degli interessati.

    Secondo quanto emerso, la mancata comunicazione sarebbe stata dettata dal timore di ripercussioni reputazionali. Ed è proprio questo l’insegnamento più scomodo: il silenzio, in caso di data breach, costa più della trasparenza.

    sanzione GDPR: Le “basi” che valgono più di qualsiasi tecnologia costosa

    Prima di investire in strumenti di sicurezza sofisticati, servono le regole minime — quelle che nel caso Ambrosetti sono mancate:

    • Gestione corretta di password e accessi: niente credenziali in chiaro, algoritmi di hashing robusti, autenticazione a più fattori, principio del privilegio minimo (ognuno accede solo a ciò che gli serve).
    • Ciclo di vita del dato: quando una finalità termina, i dati collegati vanno cancellati o resi irreversibilmente anonimi. La permanenza ingiustificata è di per sé un rischio sanzionabile.
    • Una procedura di data breach scritta e testata: sapere in anticipo chi fa cosa, in che tempi e con quali comunicazioni.

    Sono misure organizzative prima che tecnologiche. Non richiedono budget da grande impresa: richiedono metodo.

    Il data breach non è “se” ma “quando”: la regola delle 72 ore

    Il GDPR non presume che le violazioni non accadano: presume che vadano gestite. Quando si verifica una violazione, al fine di evitare una sanzione GDPR, il titolare deve valutarne il rischio e, salvo eccezioni, notificarla al Garante entro 72 ore. Se la violazione comporta un rischio elevato per i diritti e le libertà delle persone, scatta anche l’obbligo di comunicarla agli interessati senza ingiustificato ritardo — l’anello che, nel caso Ambrosetti, si è spezzato.

    Non avere una procedura pronta significa arrivare a quel momento improvvisando, ed è già metà del problema. Le 72 ore passano in fretta quando non si sa da dove cominciare.

    Sanzione GDPR: perché riguarda anche il tuo studio

    Il punto non è la dimensione dell’organizzazione, ma la natura dei dati trattati. E qui quasi nessuno è escluso:

    • un commercialista custodisce dati fiscali e bilanci dei clienti;
    • uno studio medico o odontoiatrico tratta dati sanitari, categoria particolare ai sensi dell’Art. 9, con obbligo di DPIA;
    • una RSA gestisce dati di persone fragili — responsabilità etica prima ancora che legale;
    • una farmacia movimenta ricette dematerializzate e flussi Tessera Sanitaria;
    • un hotel conserva liste ospiti, log Wi-Fi e dati del Portale Alloggiati.

    In tutti questi casi, la perdita o l’esposizione dei dati fa scattare gli stessi obblighi che hanno portato alla sanzione di una grande società di consulenza. La dimensione dello studio non attenua la responsabilità — semmai riduce il margine per assorbire l’impatto economico di una multa. Non a caso uno degli errori più frequenti riguarda proprio la gestione delle password negli studi professionali.

    La checklist minima da avere subito

    Se dovessi verificare oggi lo stato del tuo studio o della tua impresa, questi sono i punti da cui partire:

    • Registro dei trattamenti aggiornato e coerente con ciò che tratti davvero.
    • Gestione di accessi e password: hashing robusto, MFA, revoca delle credenziali non più necessarie.
    • DPIA dove il trattamento la richiede (dati sanitari, videosorveglianza, profilazione).
    • Formazione di chi tratta i dati: il rischio umano è il primo da ridurre.
    • Procedura di data breach scritta e testata, con ruoli, tempi e modelli di comunicazione già pronti.

    Come interveniamo

    La forza di questo tipo di lavoro è avere un interlocutore unico per la parte tecnica e per quella normativa, senza rimpalli tra fornitori diversi. Nel nostro lavoro quotidiano affianchiamo studi e PMI su tre fronti: Compliance GDPR (registri, DPIA, documentazione tecnica), Controllo Accessi (policy, VPN, autenticazione forte, principio del privilegio minimo) e formazione del personale, il tutto poggiato su un presidio di sicurezza informatica costruito per le PMI e non copiato dalle grandi imprese.

    La sicurezza dei dati è uno degli ambiti in cui il nostro team opera quotidianamente a supporto di PMI, studi professionali e strutture del territorio. Se vuoi sapere se le basi della tua sicurezza reggerebbero a un controllo, il nostro referente commerciale è a disposizione per un’analisi gratuita dello stato di sicurezza, senza impegno. Richiedi l’analisi gratuita.

    In sintesi: una sanzione GDPR da 85.000 euro comminata non per un attacco sofisticato, ma per password non protette e una comunicazione agli interessati arrivata in ritardo. La lezione per studi e PMI è netta: le multe nascono dalle basi mancanti, e le basi — accessi, procedura data breach, formazione — sono alla portata di chiunque decida di metterle a posto prima, non dopo.

    Fonti:

  • Rapporto Clusit 2026: cosa dice alle PMI italiane

    Rapporto Clusit 2026: cosa dice alle PMI italiane

    Il Rapporto Clusit 2026 ha fotografato il 2025 come l’anno peggiore di sempre per la sicurezza informatica, e all’interno di quel quadro l’Italia occupa una posizione che dovrebbe far riflettere ogni imprenditore. Non è un tema da grandi aziende: i dati raccontano l’esatto contrario. Vediamo cosa dice davvero il rapporto e, soprattutto, cosa significa per la tua impresa — senza allarmismi, ma con i piedi per terra.

    Nel mondo, nel 2025, sono stati registrati 5.265 attacchi gravi, in crescita del 49% rispetto all’anno precedente. L’Italia ha contato 507 attacchi gravi (erano 357 nel 2024), con un aumento del 42% in dodici mesi. Tradotto in proporzione: il nostro Paese assorbe da solo il 9,6% degli incidenti gravi a livello mondiale, una quota altissima rispetto al suo peso economico.

    Rapporto Clusit 2026: perché le PMI sono il bersaglio preferito

    Quando si leggono questi numeri, l’istinto è pensare “riguardano banche e multinazionali, non la mia attività”. È un errore di prospettiva. Il cybercrime — cioè gli attacchi a scopo di profitto — rappresenta oggi il 90% del totale, con una crescita del 55% in un anno. È un’industria, e come ogni industria cerca il rendimento migliore: non il bersaglio più ricco, ma quello più facile da colpire in serie.

    Le PMI con sistemi informatici poco presidiati sono esattamente questo: tante, simili tra loro, spesso senza un responsabile della sicurezza. Un attacco automatizzato non sceglie la vittima per fatturato, la sceglie per debolezza. Per questo “tanto chi vuoi che attacchi proprio me” è la frase che precede la maggior parte degli incidenti.

    Il vero punto d’ingresso: le persone, non i server

    C’è un secondo dato del rapporto che cambia il modo di affrontare il problema. Le tecniche di phishing e social engineering sono cresciute di circa il 66%, spinte dall’intelligenza artificiale che oggi confeziona email, messaggi e telefonate-truffa sempre più credibili e personalizzati.

    Significa che la porta d’ingresso non è quasi mai un server bucato: è una persona che clicca, che apre un allegato, che risponde a una richiesta apparentemente legittima. Nessun firewall protegge da un dipendente ingannato. È lo stesso meccanismo dei deepfake vocali, in cui pochi secondi di audio bastano a clonare la voce di un titolare o di un fornitore. La sicurezza, prima ancora che tecnologia, è organizzazione e consapevolezza.

    Le 4 cose da mettere in regola subito

    La buona notizia è che ridurre drasticamente il rischio non richiede budget da grande impresa. Richiede di mettere in fila quattro interventi, nell’ordine giusto:

    1. Backup immutabile e testato — copie che nessuno può cancellare o cifrare, nemmeno con le credenziali di amministratore, e di cui si verifica periodicamente il ripristino. Un backup mai testato è una speranza, non una difesa.
    2. EDR e controllo degli accessi (MFA) — un sistema che rileva i comportamenti anomali sui dispositivi e l’autenticazione a più fattori su tutti gli accessi critici. Insieme, fermano la stragrande maggioranza degli attacchi automatizzati.
    3. Formazione del personale — perché il fattore umano è il primo bersaglio. Poche regole chiare, ripetute, valgono più di qualsiasi singolo prodotto.
    4. Audit delle vulnerabilità — una verifica concreta di dove sei davvero esposto, per intervenire sulle priorità reali e non a sensazione.

    Quanto costa non farlo

    Il conto di un incidente non è solo il riscatto eventuale. È il fermo dell’attività nei giorni in cui i sistemi sono bloccati, il danno reputazionale verso clienti e fornitori, l’esposizione verso il Garante in caso di violazione di dati personali. Per una PMI italiana un attacco riuscito può costare facilmente oltre 50.000 euro, e cifre molto più alte nei casi gravi. Il costo della prevenzione, messo a confronto, è una frazione di quel rischio — e in molti casi rientra tra le spese ammissibili di bandi e voucher per la digitalizzazione e la cybersecurity.

    Checklist di autovalutazione in 5 punti

    • Hai un backup immutabile e ne hai testato il ripristino nell’ultimo anno?
    • Hai un EDR attivo sui dispositivi aziendali?
    • Usi l’autenticazione a più fattori su email, gestionali e accessi remoti?
    • Il personale è stato formato a riconoscere phishing e tentativi di truffa?
    • Hai fatto un audit delle vulnerabilità di recente?

    Ogni “no” è un punto in cui oggi sei più esposto di quanto pensi.

    Non è solo un problema tecnico: è una responsabilità

    C’è un aspetto che il Rapporto Clusit 2026 rende evidente e che troppe imprese sottovalutano: una violazione dei dati non è solo un guasto informatico, è un fatto che coinvolge la responsabilità dell’azienda verso clienti, dipendenti e fornitori. Se vengono sottratti dati personali — anagrafiche, recapiti, informazioni sanitarie o di pagamento — scattano obblighi precisi, a partire dalla notifica al Garante entro 72 ore.

    Per studi professionali, strutture ricettive e attività che gestiscono dati di clienti e ospiti, questo significa che la sicurezza informatica e la conformità al GDPR sono due facce della stessa medaglia. Investire nelle quattro misure viste sopra non riduce solo il rischio tecnico: riduce anche l’esposizione legale e reputazionale in caso di incidente. È la differenza tra subire un attacco ed essere in grado di dimostrare di aver fatto la propria parte.

    Come interveniamo

    La sicurezza dei dati è uno degli ambiti in cui il nostro team opera quotidianamente a supporto di PMI, studi professionali e strutture del territorio: protezione e backup immutabili, controllo degli accessi, audit delle vulnerabilità e formazione del personale sul fattore umano.

    Se vuoi sapere a che punto è la sicurezza della tua attività rispetto ai dati del Rapporto Clusit 2026, il nostro referente è a disposizione per un’analisi preliminare gratuita e senza impegno. Scopri i nostri servizi di sicurezza informatica per le PMI.

    Fonti:

  • Sicurezza informatica PMI: il backup non basta più

    Sicurezza informatica PMI: il backup non basta più

    Per anni la regola della sicurezza informatica PMI è stata semplice: fai i backup e dormi tranquillo. Se un ransomware ti cifrava i file, ripristinavi l’ultima copia e tornavi operativo. Nel 2026 questa logica non basta più — e capire perché può evitare a un’azienda un danno da decine di migliaia di euro.

    Il motivo è un cambio di strategia degli attaccanti. I gruppi più attivi quest’anno non puntano più solo a bloccare i tuoi dati: puntano a rubarli. E contro un furto, un backup — per quanto perfetto — non ti protegge in alcun modo.

    Vediamo cosa è cambiato e quali sono le due difese che oggi fanno davvero la differenza: il backup immutabile e l’EDR.

    Dal blocco al furto: come è cambiato il ransomware

    Il ransomware classico funzionava così: cifrava i file e chiedeva un riscatto per la chiave di sblocco. Il backup era l’antidoto — ripristinavi e ignoravi la richiesta.

    I nuovi attori hanno cambiato modello. Gruppi come “The Gentlemen”, tra le operazioni più attive del 2026, si concentrano sull’esfiltrazione pura: copiano anagrafiche clienti, contratti, dati sanitari o fiscali e minacciano di pubblicarli o rivenderli. Secondo le rilevazioni di settore, la grande maggioranza degli attacchi ransomware include ormai una fase di furto dati prima dell’eventuale cifratura (approfondimento su Cybersecurity360).

    Per un’attività significa che il danno non è più solo operativo: è reputazionale e normativo. Se ti rubano i dati dei clienti, oltre al ricatto scattano l’obbligo di notifica al Garante e il rischio di sanzioni. Il backup, qui, non c’entra: i dati sono già usciti dall’azienda.

    Backup immutabile: cos’è e perché cambia le carte

    La prima difesa che oggi consigliamo è il backup immutabile. Il principio è semplice: una volta scritto, il dato non è più modificabile né cancellabile per un periodo definito (in genere da 30 a 365 giorni), nemmeno da un amministratore con le credenziali compromesse.

    È la differenza che salva l’azienda quando un attaccante riesce a entrare con privilegi elevati: con un backup tradizionale può cancellare anche le copie di sicurezza prima di sferrare l’attacco; con un backup immutabile, no. Le copie restano intatte e recuperabili.

    Il costo? In media il 15-20% in più rispetto a uno storage tradizionale. Va messo in prospettiva: secondo il Rapporto Clusit 2026 un attacco riuscito costa a una PMI italiana oltre 50.000 euro in media, con picchi che superano il milione nei casi più gravi, e un tempo medio di ripristino di circa 23 giorni in assenza di un piano strutturato. La protezione costa una frazione del danno che previene.

    Abbiamo affrontato il tema della corretta strategia di copia nel nostro articolo sul backup dei dati aziendali e la regola 3-2-1-1-0: l’immutabilità è proprio lo “1-0” finale di quella formula.

    EDR: perché l’antivirus tradizionale non basta

    La seconda difesa riguarda il furto in sé. Un antivirus tradizionale riconosce le minacce note tramite firme: utile, ma cieco di fronte a un attacco che si muove “in silenzio” dentro la rete.

    Un EDR (Endpoint Detection and Response) di nuova generazione ragiona diversamente: osserva i comportamenti. Rileva movimenti anomali — incluso un traffico inatteso di dati verso l’esterno — e può bloccare l’esfiltrazione mentre sta avvenendo. Non a caso, gli attaccanti più evoluti cercano prima di tutto di disattivare proprio l’EDR: è il loro principale ostacolo.

    Per una PMI con dati sensibili — strutture ricettive, studi medici, commercialisti — la combinazione backup immutabile + EDR copre i due fronti che il solo backup lascia scoperti: l’integrità delle copie e il controllo di ciò che esce.

    Sicurezza informatica PMI: la domanda giusta da farsi

    Il passaggio chiave per chi si occupa di sicurezza informatica PMI è cambiare la domanda. Non più “faccio i backup?”, ma:

    • I miei backup sono immutabili, o un attaccante con accesso amministrativo può cancellarli?
    • I miei dati possono uscire dall’azienda senza che nessuno se ne accorga?

    Ecco una checklist di autovalutazione in 5 punti:

    • Backup immutabile attivo: sì / no
    • EDR di nuova generazione installato: sì / no
    • Controllo del traffico in uscita (rilevamento esfiltrazione): sì / no
    • Autenticazione forte (multi-fattore) sugli accessi critici: sì / no
    • Piano di risposta all’incidente documentato e testato: sì / no

    Se hai risposto “no” a due o più punti, la tua azienda è esposta proprio sul fronte che gli attacchi 2026 sfruttano di più.

    Una nota sui finanziamenti

    Mettere in sicurezza l’infrastruttura non deve per forza pesare interamente sul bilancio. Il Voucher Cloud e Cybersecurity del MIMIT prevede un contributo a fondo perduto del 50% (fino a 20.000 euro) su spese di cloud e sicurezza, e ben 71 milioni di euro sono riservati alle imprese del Mezzogiorno, Puglia inclusa. Lo sportello per le domande delle imprese è atteso nel secondo semestre 2026: è il momento di preparare i progetti (dettagli sul sito MIMIT). Interventi come backup immutabile, EDR e controllo accessi rientrano tra le spese ammissibili.

    Come interveniamo

    La protezione dei dati è uno degli ambiti in cui il nostro team opera quotidianamente a supporto di PMI, studi professionali e strutture del territorio: dalle soluzioni di Protezione Totale e Versioning/Snapshot anti-ransomware all’EDR e al controllo degli accessi, fino all’audit delle vulnerabilità.

    Il backup ti protegge dal blocco, non dal furto. Se vuoi capire quanto la tua attività è davvero esposta, il nostro referente commerciale è a disposizione per un’analisi gratuita dello stato di sicurezza, senza impegno.

    👉 Richiedi l’analisi dello stato di sicurezza

    Fonti:

  • GDPR per piccole imprese: 3 errori sulle password da evitare

    GDPR per piccole imprese: 3 errori sulle password da evitare

    Quando si parla di GDPR per piccole imprese, l’attenzione finisce quasi sempre su moduli di consenso e informative. Ma una parte enorme delle sanzioni e dei danni reali nasce molto più in basso, da qualcosa che diamo per scontato ogni giorno: le password e la gestione degli accessi. Sono tre gli errori che ritroviamo regolarmente negli studi professionali — e si correggono in mezza giornata di lavoro.

    Il tema è tutt’altro che teorico. Secondo il piano ispettivo reso noto per il primo semestre del 2026, il Garante per la protezione dei dati personali ha programmato un numero consistente di verifiche in collaborazione con la Guardia di Finanza, con un’attenzione dichiarata proprio ai data breach (Federprivacy). In parallelo, la cronaca degli ultimi mesi conferma che gli attacchi non colpiscono solo le grandi organizzazioni: nella sola primavera 2026 diverse imprese italiane di piccola e media dimensione — tra cui realtà del territorio pugliese — sono finite sui siti dei gruppi ransomware. Il messaggio è chiaro: anche una struttura piccola e ben avviata può essere colpita e, se non era in regola, sanzionata.

    Errore 1: password salvate “in chiaro” o protette con metodi superati

    È l’errore più grave e, purtroppo, ancora diffuso. Significa che le credenziali degli utenti — o quelle che lo studio usa per i propri gestionali — sono conservate in un modo che, in caso di furto del database, le rende immediatamente leggibili.

    GDPR per piccole imprese: audit di sicurezza in uno studio professionale; verifica degli accessi e delle credenziali

    Nel linguaggio tecnico si parla di “hashing”: un buon sistema non salva mai la password così com’è, ma una sua versione trasformata e non reversibile, con algoritmi aggiornati. Molti software datati, o configurati male, usano ancora metodi obsoleti facilmente “decifrabili”.

    Come si verifica e si corregge: si controlla con quali sistemi vengono gestite le credenziali dei gestionali e dei portali dello studio, si dismettono i software che non rispettano gli standard attuali e si adotta un gestore di password aziendale, in modo che nessuno debba più annotare credenziali su file di testo, post-it o rubriche.

    Errore 2: credenziali di sistemi dismessi mai rimosse

    Ogni studio accumula, negli anni, account che non servono più: l’email di un ex collaboratore, l’accesso a un software che non si usa da tempo, il portale di un fornitore cambiato. Finché restano attivi, sono porte aperte. E spesso nessuno se ne ricorda finché non vengono usate da qualcuno che non dovrebbe.

    Il rischio è doppio: da un lato un accesso non più presidiato è il bersaglio ideale per chi vuole entrare senza farsi notare; dall’altro, sul piano del GDPR, mantenere attivi account e dati non più necessari viola direttamente il principio di minimizzazione.

    La procedura corretta: alla cessazione di ogni collaborazione o servizio, prevedere una checklist di dismissione che disattivi gli accessi, revochi le autorizzazioni e archivi o cancelli i dati non più necessari. Una verifica periodica degli account attivi — almeno due volte l’anno — chiude le porte rimaste aperte.

    Errore 3: notifica del data breach in ritardo

    Quando si verifica una violazione dei dati, il GDPR impone tempi stretti: la notifica al Garante va fatta, nei casi previsti, entro 72 ore dal momento in cui si viene a conoscenza dell’incidente. Sembra ampio, ma senza un piano già pronto quelle ore evaporano nel panico — tra il capire cosa è successo, chi è stato coinvolto e come comunicarlo.

    Il problema non è quasi mai la cattiva volontà: è l’assenza di una procedura predisposta prima dell’incidente. Chi non sa in anticipo chi chiamare, quali informazioni raccogliere e con quale modello notificare, arriva quasi sempre fuori tempo massimo — e il ritardo è esso stesso una violazione sanzionabile.

    Cosa serve avere pronto: un piano di risposta agli incidenti con ruoli definiti, un modello di notifica precompilato nelle parti fisse, e un registro dove annotare l’evento. Materiale che si prepara una volta e si tiene aggiornato, ma che il giorno dell’incidente fa la differenza tra una gestione ordinata e un disastro.

    Perché gli studi professionali finiscono nel mirino

    A proposito del GDPR per piccole imprese, commercialisti, avvocati, consulenti del lavoro custodiscono una concentrazione di dati molto appetibile: bilanci, dichiarazioni fiscali, dati personali e spesso particolari dei clienti, documenti riservati. A questa ricchezza di informazioni si accompagna, frequentemente, una struttura informatica interna leggera e nessuna figura dedicata alla sicurezza. È la combinazione che rende uno studio un bersaglio più conveniente di una grande azienda dotata di difese robuste.

    A questo si aggiunge un fattore di stagionalità che chi lavora nel settore conosce bene: perdere l’accesso ai dati a ridosso delle scadenze fiscali non è solo un problema tecnico, è un danno operativo e reputazionale immediato.

    La checklist di autovalutazione in 5 punti

    In circa 30 minuti puoi capire se il tuo studio è esposto agli stessi tre errori:

    • Le password dei gestionali sono gestite con un sistema dedicato, o annotate su file e fogli?
    • Esiste un elenco aggiornato degli account attivi, con un responsabile che lo verifica?
    • Gli accessi di ex collaboratori e fornitori passati sono stati tutti disattivati?
    • È prevista l’autenticazione a due fattori sui sistemi che contengono dati dei clienti?
    • Esiste un piano scritto su cosa fare nelle prime 72 ore dopo una violazione?

    Se a una sola di queste domande la risposta è “no” o “non lo so”, lo studio è esposto.

    Come interveniamo con un audit mirato

    Il nostro servizio di audit e analisi delle vulnerabilità mappa i punti deboli dello studio — dalla gestione delle credenziali agli accessi dimenticati, fino alla preparazione in caso di incidente — e definisce le contromisure in ordine di priorità. Non un documento da archiviare, ma un piano d’azione concreto e proporzionato alla dimensione reale dello studio.

    La domanda giusta non è “mi capiterà mai?”, ma “cosa farò il giorno che mi capita?”. Il nostro referente è disponibile per un’analisi gratuita dello stato di sicurezza del tuo studio, senza impegno.

    Richiedi un’analisi gratuita — daveastudio.it/sicurezza-informatica-per-pmi/

    Fonti:

  • Backup dati aziendali: la regola 3-2-1-1-0 che funziona

    Backup dati aziendali: la regola 3-2-1-1-0 che funziona

    Il backup dati aziendali è la prima cosa che un attacco ransomware moderno cerca — e distrugge. Quasi tutte le PMI ne hanno uno. Quasi nessuna lo ha configurato in modo da sopravvivere a un attacco ransomware moderno.

    I numeri lo confermano: il Veeam Ransomware Trends Report 2025 ha rilevato che nell’89% degli attacchi gli hacker hanno preso di mira i backup prima di cifrare i dati primari. Il risultato: solo il 10% delle organizzazioni colpite è riuscita a recuperare più del 90% dei propri dati. Il 57% ne ha recuperati meno della metà.

    In Italia la situazione è ancora più critica: gli attacchi ransomware sono aumentati del 65% nel 2025, il 46% ha colpito PMI, e il costo medio per una piccola impresa si attesta tra i 50.000 e i 200.000 euro — inclusi downtime, ripristino e perdita di contratti. Il problema, quasi mai, è l’assenza di un backup dati aziendali. È la sua architettura.

    Backup dati aziendali: perché quello che hai probabilmente non funziona

    Il ransomware moderno — Akira, LockBit, Black Basta — non si limita a cifrare i file sul server principale. Prima di procedere, scandisce la rete alla ricerca di tutto ciò che può raggiungere: condivisioni di rete, NAS collegati, cartelle sincronizzate con il cloud, dischi USB perennemente collegati.

    Se il backup è montato sulla stessa rete, viene cifrato insieme ai dati originali. È esattamente lo scenario che rende inutile la configurazione standard di molte PMI: un NAS in LAN, una cartella OneDrive o Google Drive che si sincronizza automaticamente, un disco esterno sempre inserito nel server.

    In questi casi avere un backup è come conservare una copia delle chiavi di casa appesa fuori dalla porta.

    La regola 3-2-1-1-0: cosa significa ogni cifra

    Backup dati aziendali: lo schema della regola backup 3-2-1-1-0: 3 copie, 2 supporti, 1 offsite, 1 offline, 0 errori

    La regola 3-2-1-1-0 per i backup dati aziendali è lo standard di riferimento per la protezione dei dati contro ransomware e guasti hardware. Ogni cifra corrisponde a un requisito preciso:

    • 3 — tre copie dei dati (originale + due backup distinti)
    • 2 — due tipi di supporto diversi (es. disco locale + cloud)
    • 1 — almeno una copia in posizione offsite, fisicamente separata dalla sede principale
    • 1 — almeno una copia offline o air-gapped, ovvero non raggiungibile dalla rete in modo continuativo
    • 0 — zero errori non rilevati: ogni backup testato periodicamente con un ripristino reale

    Le due aggiunte rispetto alla vecchia regola 3-2-1 sono il secondo “1” e lo “0”: la copia offline e la verifica attiva. Sono le due componenti che il ransomware non riesce ad aggirare — e le due che la maggior parte delle PMI non ha.

    Backup dati aziendali:
    Perché la vecchia regola 3-2-1 non basta più

    La regola 3-2-1 era pensata per proteggersi da guasti hardware e disastri fisici (incendi, allagamenti). Per quelli funziona ancora. Non funziona contro il ransomware perché non contempla l’isolamento dalla rete.

    Un backup su NAS locale più cloud è teoricamente 3-2-1: copia originale, copia NAS (supporto 1), copia cloud (supporto 2, offsite). Ma se il NAS è sempre montato e il cloud è sincronizzato in tempo reale, entrambe le copie sono raggiungibili da un malware che ha compromesso la rete. Il cloud sincronizza anche la cifratura — e la versione corrotta sovrascrive quella integra nel giro di minuti.

    La soluzione è il backup immutabile — un repository che non può essere modificato o cancellato per un periodo definito — e il backup offline: un supporto collegato solo durante la finestra di backup e poi scollegato fisicamente dalla rete. Entrambe le tecnologie sono accessibili anche per PMI senza budget enterprise.

    Cosa dice NIS2 sul backup delle PMI

    La Direttiva NIS2 (recepita in Italia con il D.Lgs. 138/2024) impone ai soggetti classificati come essenziali o importanti l’adozione di misure di business continuity che includono esplicitamente strategie di backup verificabili e procedure di ripristino testate. L’articolo 21 elenca tra le misure obbligatorie la “gestione dei backup” e il “ripristino in caso di disastro”.

    Anche le PMI che non rientrano formalmente nell’ambito NIS2 trovano in questo standard un riferimento pratico: clienti enterprise e pubbliche amministrazioni che esternalizzano servizi iniziano a richiedere ai fornitori la documentazione dei processi di backup. Non essere in grado di dimostrarla diventa un problema commerciale prima ancora che normativo. I soggetti NIS2 che non dispongono di un backup dati aziendali strutturato rischiano sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo globale.

    Come implementare la 3-2-1-1-0 senza budget enterprise

    Per una PMI, l’implementazione pratica di un backup dati aziendali efficace non richiede infrastrutture costose. Un approccio concreto per fasce di dimensione:

    • Copia locale con immutabilità: soluzioni come Veeam Backup Community Edition o Nakivo consentono di configurare repository con retention lock su NAS compatibili, impedendo la modifica o cancellazione dei backup per un periodo definito.
    • Copia cloud con versioning: servizi come Backblaze B2, Wasabi o Amazon S3 Glacier offrono storage a basso costo con versioning attivabile — ogni modifica genera una nuova versione, quindi la cifratura non sovrascrive la copia originale.
    • Copia offline ruotata: un disco esterno USB 3 da 4-8 TB con rotazione settimanale (disco A in uso questa settimana, disco B fuori sede o in cassaforte) è sufficiente per molte realtà. Costo indicativo: 100-150 euro.
    • Test di ripristino mensile: senza un test periodico, il backup è una promessa non verificata. Un ripristino su macchina virtuale di test, anche parziale, è sufficiente a confermare l’integrità dei dati.

    La revisione e l’implementazione di un’architettura di backup dati aziendali è tra i servizi che il nostro team affianca quotidianamente a PMI, studi professionali e strutture del territorio. Se vuoi capire se la tua configurazione attuale reggerebbe un attacco ransomware, il nostro referente è disponibile per un’analisi preliminare gratuita e senza impegno.

    Contattaci — daveastudio.it/sicurezza-informatica-per-pmi/

    Fonti: