Ogni azienda ha, da qualche parte, un elenco di buone pratiche sulla sicurezza. Di solito è stato scaricato dopo una riunione, è lungo tre pagine e nessuno lo ha mai applicato per intero. Il problema non è l'elenco: è che mescola cose che si fanno in un pomeriggio con cose che richiedono un progetto, e così non si fa né l'una né l'altra.

Vale la pena separarle. Sotto ci sono le mosse che chiudono le porte più usate, quelle che un attaccante automatico prova per prime. Non rendono un'azienda invulnerabile. Rendono molto più caro il biglietto d'ingresso.

Quello che si fa in un giorno

Tre cose, in ordine di resa.

Attiva l'autenticazione a due fattori. Non solo sulla posta: anche sugli account bancari, sul portale della fatturazione elettronica, su Google Workspace o Microsoft 365, sui servizi cloud dove vivono i documenti dei clienti. È la misura che chiude più incidenti per euro speso, perché rende inutile la password rubata, che è il modo più comune di entrare.

Cambia le password critiche e smetti di riusarle. A partire da quella del pannello del router Wi-Fi aziendale, che quasi nessuno considera un accesso amministrativo e che invece lo è. Le password riutilizzate sono il motivo per cui una violazione su un sito qualunque diventa un problema in azienda. Un gestore di password aziendale risolve il problema alla radice: una chiave diversa per ogni servizio, e nessuna da ricordare a memoria.

Separa le reti Wi-Fi. Una rete "Ospiti" isolata per i clienti e per gli smartphone personali, e i computer e le stampanti aziendali sulla rete principale. Costa una configurazione sul router e toglie di mezzo uno dei percorsi preferiti da chi entra: dal dispositivo personale di un collaboratore alla rete dove girano i dati. È lo stesso principio della segmentazione descritta in firewall aziendale.

Quello che si fa ogni settimana e ogni mese

Controlla i backup, e provali. Tre copie dei dati importanti, su due supporti diversi, almeno una offline o in un cloud protetto da autenticazione a due fattori. La parte che conta non è la regola: è la prova di ripristino. Un backup che non hai mai ripristinato non è un backup, è una speranza. Fissa un appuntamento mensile e ripristina davvero un file, o una cartella, su una macchina di prova. Il metodo completo è in backup aziendale e regola 3-2-1.

Applica gli aggiornamenti, senza chiedere a nessuno di ricordarselo. Aggiornamento automatico per Windows o macOS, per il browser, per l'antivirus e per il gestionale. Poi un controllo periodico di ciò che resta indietro, perché gli apparati di rete e i firmware non si aggiornano da soli. Ne abbiamo parlato in patch e vulnerabilità.

Rivedi gli accessi. Chi può entrare nelle cartelle condivise, chi ha l'amministratore sul gestionale, quanti account esistono ancora per persone che non lavorano più qui. Le credenziali degli ex dipendenti e dei collaboratori esterni sono tra le porte più dimenticate, e nessuno le revoca perché nessuno le vede.

Le regole che valgono ogni giorno, per tutti

Due, e sono le più semplici da spiegare a chi non si occupa di informatica.

I pagamenti si confermano a voce. Qualsiasi richiesta di cambiare un IBAN o di fare un bonifico urgente, arrivata per email, si verifica chiamando un numero che hai già in rubrica. Mai il numero indicato nel messaggio. Questa regola, da sola, vale più di molti strumenti, perché il bonifico lo autorizza una persona e nessun filtro può fermarla.

Gli allegati inattesi non si aprono. File compressi, documenti con macro, eseguibili dentro uno zip: se non aspettavi quel file, non è un file. Se lo aspettavi, verifica comunque il mittente su un altro canale prima di aprire.

Il limite di ogni elenco

Arrivati qui, la tentazione è chiudere la lista e considerarsi a posto. Ed è qui che il ragionamento si rompe.

Tutto quello che sta sopra è igiene. Riduce il rischio noto: le porte più usate, gli errori più diffusi, le configurazioni peggiori. Ma un attacco non arriva necessariamente dalla porta che hai chiuso. Arriva spesso con credenziali legittime, da un accesso che hai autorizzato, dentro un orario di ufficio, senza un file strano e senza un errore evidente. Un account compromesso che si collega alla sera e legge una cartella che gli spetta non viola nessuna regola. Non c'è niente da bloccare, perché non c'è niente di anomalo nel singolo evento.

E allora la domanda cambia. Non è più "cosa devo chiudere", ma "come faccio ad accorgermene". Sono due mestieri diversi. Il primo è configurazione. Il secondo è sorveglianza, e la sorveglianza non si compra a pacchetti.

La sentinella che manca

In quasi tutte le aziende che ho visto esiste un apparato che filtra il traffico, un sistema che raccoglie i log, qualcuno che ogni tanto lancia una scansione delle vulnerabilità e magari un'esca che nessuno dovrebbe toccare. Messi insieme sembrano una centrale di sorveglianza.

Non lo sono. Sono quattro strumenti che producono dati, e i dati non svegliano nessuno. Un firewall registra migliaia di connessioni al giorno. Un raccoglitore di log archivia tutto e non distingue il rumore dal segnale. Una scansione di vulnerabilità produce un elenco che finisce in una cartella. Un'esca registra il tocco di chi non doveva toccarla, in un file che nessuno apre.

Chi ha provato a montare una sorveglianza con strumenti open source conosce bene il punto di rottura: la parte difficile non è raccogliere, è decidere cosa merita un allarme, e assicurarsi che quell'allarme arrivi a una persona che risponde. Senza questo passaggio, l'azienda ha aggiunto strumenti, non capacità di accorgersi.

Una sentinella, per essere tale, deve avere cinque cose.

  1. Un segnale. Una regola che trasforma un comportamento in un evento: un accesso amministrativo fuori orario, un tentativo di connessione verso un indirizzo noto come ostile, una macchina che comincia a parlare con venti destinazioni nuove, un'esca toccata, una vulnerabilità critica comparsa su un apparato esposto.
  2. Un destinatario. Un nome, non una casella generica. Un alert che arriva a "info@" è un alert che non esiste.
  3. Un tempo. Quanto tempo passa tra il segnale e la prima reazione. Se la risposta è "dipende", non c'è un tempo, quindi non c'è controllo.
  4. Una prova. La traccia che il controllo era attivo e che l'allarme è partito: quando, cosa ha visto, chi ha risposto, cosa è stato fatto. Non serve a dichiarare che l'azienda è conforme a qualcosa. Serve a dimostrare, a un cliente, a un assicuratore o a un perito, che la sorveglianza funzionava.
  5. Un riesame. Una volta al mese qualcuno guarda gli allarmi che non hanno prodotto azioni e si chiede se erano falsi o se il processo è cieco. Una sentinella che non viene riesaminata smette di essere credibile in poche settimane.

L'ultimo punto è quello che distingue una sentinella da un cruscotto. Il cruscotto mostra. La sentinella decide che qualcosa non va e lo dice a voce alta, a qualcuno, in tempo utile.

Come si parte

Non si parte dagli strumenti. Si parte da tre elenchi: cosa è connesso a Internet, quali accessi possono fermare l'azienda, chi risponde quando succede qualcosa. Il primo è un inventario, il secondo è una priorità, il terzo è un nome e un numero di telefono.

Con quelli in mano, la tecnologia diventa una conseguenza: si scelgono le fonti di segnale che coprono gli accessi critici, si definiscono le soglie, si prova l'allarme con una simulazione controllata. Una sola, fatta apposta per vedere se il messaggio arriva e se qualcuno si muove. Se non si muove nessuno, il problema non è la regola: è il processo.

Le buone pratiche di questa pagina vanno fatte, tutte, e possibilmente entro il mese. Poi va affrontata la parte che non si vede: qualcuno che guardi, che riconosca l'anomalia e che abbia il mandato per intervenire. È la differenza tra un'azienda con gli strumenti a posto e un'azienda che si accorge in tempo.