La sicurezza informatica è stata a lungo considerata un tema puramente tecnico. Firewall, password, aggiornamenti e backup venivano delegati a fornitori di servizi esterni o ai responsabili IT interni.
La direzione aziendale aveva pochi punti di contatto con tutto ciò, purché i sistemi funzionassero e non si presentassero problemi evidenti. Questo punto di vista oggi non funziona più.
I processi digitali sono diventati la spina dorsale delle aziende moderne. Posta elettronica, sito web, servizi cloud, dati dei clienti e comunicazione online costituiscono la base per le vendite, i contatti con i clienti e numerosi processi interni.
Di conseguenza, gravi possono essere le conseguenze se questi sistemi subiscono guasti o vengono compromessi. La sicurezza informatica non è quindi più solo una questione tecnica, ma parte integrante della gestione aziendale.
La sicurezza IT è un rischio aziendale
Per la direzione aziendale non è determinante quale regola del firewall venga impostata o quale versione del software venga installata.
Ciò che è determinante sono i possibili effetti:
- L'azienda può continuare a lavorare in caso di guasto informatico?
- Cosa succede se la posta elettronica aziendale non funziona?
- Quanto sarebbe critica la perdita di dati dei clienti o dell'azienda?
- Con quale rapidità potrebbero essere ripristinati i sistemi?
- Chi decide e agisce in caso di incidente di sicurezza?
Ciò rende la sicurezza IT una classica questione di rischio aziendale.
L'implementazione tecnica può essere delegata. Tuttavia, il management non può delegare completamente la decisione su quale rischio accettare per un'azienda.
Perché le PMI sono interessanti per gli aggressori
Gli attacchi informatici non colpiscono più da tempo solo banche, grandi aziende o istituzioni pubbliche.
Anche le piccole e medie imprese sono bersagli attraenti. Dispongono di informazioni sfruttabili, lavorano con dati di pagamento e fatture e possiedono accessi a numerosi servizi digitali.
Allo stesso tempo, le strutture di sicurezza nelle PMI sono spesso meno sviluppate rispetto alle grandi aziende.
Per gli attaccanti, una singola azienda non deve nemmeno essere scelta come bersaglio specifico. Molti attacchi avvengono in modo automatizzato. I sistemi vengono scansionati alla ricerca di vulnerabilità note, le credenziali di accesso vengono testate automaticamente e i messaggi di phishing vengono inviati in massa.
Un'azienda può quindi essere colpita senza essere mai stata scelta consapevolmente come obiettivo.
L'e-mail è uno dei punti di attacco più critici
L'e-mail è per molte aziende il canale di comunicazione digitale più importante e, al contempo, uno dei punti di attacco più attraenti.
Attraverso gli account di posta elettronica compromessi, gli attaccanti possono ad esempio:
- leggere la comunicazione interna
- Eseguire il reset delle password
- inviare fatture false
- Ingannare clienti e partner commerciali
- ottenere ulteriori dati di accesso
Particolarmente pericolosi sono i messaggi di phishing progettati professionalmente. Spesso sembrano messaggi legittimi di banche, fornitori, Microsoft, corrieri o noti partner commerciali.
I meccanismi di protezione tecnica possono già intercettare gran parte di questi messaggi prima della posta in arrivo.
Ulteriori informazioni sono disponibili nella guida SpamExperts: protezione professionale da spam e phishing .
SPF, DKIM e DMARC proteggono il proprio dominio di posta elettronica
La sicurezza della posta elettronica non consiste solo nel filtrare i messaggi in arrivo. Le aziende dovrebbero anche impedire che il proprio dominio possa essere facilmente utilizzato in modo improprio per mittenti falsificati.
A questo proposito, SPF, DKIM e DMARC svolgono un ruolo importante. Questi procedimenti aiutano i server di posta a verificare se un messaggio proviene effettivamente da un sistema autorizzato.
In questo modo migliorate sia la sicurezza che l'affidabilità della comunicazione aziendale via e-mail.
Spieghiamo come i tre procedimenti interagiscono nell'articolo SPF, DKIM e DMARC spiegati semplicemente .
Anche il sito web e WordPress fanno parte della strategia di sicurezza
Il sito web aziendale viene spesso considerato meno critico rispetto ai sistemi interni in materia di sicurezza IT. Questo è un errore.
Un sito web compromesso può:
- diffondere codice dannoso
- Reindirizzare i visitatori verso pagine esterne
- Mettere a rischio i dati dei clienti
- danneggiare la reputazione dell'azienda
- portare a avvisi nei browser o nei motori di ricerca
Soprattutto in WordPress, i rischi derivano spesso da plugin e temi obsoleti o dalla mancanza di manutenzione.
Gli aggiornamenti regolari non fanno quindi parte della manutenzione estetica del sito web, ma della strategia di sicurezza.
Per saperne di più: Perché WordPress richiede aggiornamenti regolari .
I backup fanno parte della sicurezza informatica
Anche buone misure di sicurezza non possono mai escludere completamente un incidente.
Ecco perché una strategia di sicurezza ragionevole include sempre la domanda: Come possiamo tornare a uno stato funzionante dopo un problema?
È proprio qui che i backup diventano fondamentali.
Non solo proteggono dagli attacchi informatici, ma anche da:
- dati cancellati accidentalmente
- aggiornamenti non riusciti
- guasti tecnici
- Errate configurazioni
A tal fine non basta che esista „un backup da qualche parte“. I salvataggi devono essere aggiornati, disponibili e realmente ripristinabili.
Quali sono i punti importanti in merito, lo spieghiamo nella guida Strategie di backup per PMI .
Le persone rimangono un fattore cruciale
Le misure di protezione tecniche sono importanti, ma molti attacchi riusciti aggirano la tecnologia manipolando le persone.
Un presunto fornitore segnala un nuovo conto corrente. Un finto avviso Microsoft richiede un nuovo accesso. Oppure un messaggio della direzione richiede un pagamento urgente.
Tali attacchi di social engineering funzionano perché sfruttano la pressione temporale, la fiducia o l'autorità.
Ecco perché le regole organizzative fanno parte anche della sicurezza informatica.
Per esempio:
- confermare istruzioni di pagamento insolite tramite un secondo canale
- Non comunicare mai le password via e-mail
- segnalare messaggi sospetti internamente
- utilizzare l'autenticazione a due fattori per gli account importanti
La sicurezza in questo modo non si crea solo nella sala server, ma nel comportamento quotidiano dell'intera azienda.
Password e autenticazione a due fattori
Le credenziali rubate sono uno dei modi più semplici per penetrare nei sistemi aziendali.
Ecco perché i servizi importanti non dovrebbero essere protetti solo con password forti e uniche. Ove possibile, si dovrebbe utilizzare anche un'autenticazione a due fattori.
Anche se una password viene compromessa, ciò richiede comunque un ulteriore fattore da parte di un utente malintenzionato.
Questo è particolarmente importante per:
- Account di posta elettronica
- Amministratori di WordPress
- Gestione di hosting e domini
- Servizi cloud
- Sistemi di backup
Anche i domini sono un fattore di sicurezza
Il dominio di un'azienda è un componente centrale della sua identità digitale.
Chiunque ottenga l'accesso alla gestione del dominio o alle impostazioni DNS può, nel peggiore dei casi, manipolare il sito web e il traffico di posta elettronica.
La sicurezza dei domini dovrebbe quindi essere parte integrante anche della strategia di sicurezza aziendale.
Ciò include, ad esempio, accessi protetti, responsabilità chiare e il controllo regolare delle impostazioni DNS importanti.
Ulteriori informazioni sono disponibili alla voce Sicurezza del dominio per le PMI .
Ciò che la direzione dovrebbe sapere esattamente
Chefsache significa espressamente che gli amministratori delegati non devono configurare server o analizzare file di log.
Dovreste tuttavia poter ottenere risposte ad alcune domande fondamentali:
- Quali sistemi sono critici per la nostra attività?
- Chi possiede gli accessi amministrativi?
- I sistemi importanti vengono aggiornati regolarmente?
- Esistono backup funzionanti?
- L'autenticazione a due fattori è attivata per gli accessi importanti?
- Come vengono protette le e-mail aziendali?
- Chi è responsabile in caso di incidente di sicurezza?
- Quanto velocemente potrebbero essere ripristinati i sistemi critici?
Se non è possibile rispondere a queste domande, è già necessario intervenire a livello organizzativo, indipendentemente da quanto sia moderna la tecnologia utilizzata.
Un semplice piano di emergenza può essere fondamentale
In un incidente di sicurezza il tempo conta. Ciononostante, spesso si chiarisce solo in caso di emergenza chi debba effettivamente fare cosa.
Un piano d'emergenza fondamentale non deve essere un documento di cento pagine per una PMI.
Er sollte zumindest festhalten:
- wer intern verantwortlich ist
- welcher IT- oder Hosting-Partner kontaktiert wird
- wo wichtige Zugangsdaten sicher verfügbar sind
- welche Systeme zuerst wiederhergestellt werden müssen
- wie Mitarbeitende bei einem Vorfall informiert werden
Allein diese Vorbereitung kann verhindern, dass während eines Vorfalls wertvolle Zeit mit organisatorischen Fragen verloren geht.
IT-Sicherheit muss zum Unternehmen passen
Nicht jedes KMU benötigt dieselben Sicherheitsmassnahmen wie eine Bank, ein Spital oder ein internationaler Konzern.
Umgekehrt ist „Wir sind zu klein für Cyberangriffe“ keine Sicherheitsstrategie.
Entscheidend ist eine angemessene Lösung, die sich am tatsächlichen Risiko orientiert.
Für viele KMU bedeutet das zunächst, die Grundlagen konsequent umzusetzen:
- aktuelle Systeme
- starke Zugänge und Zwei-Faktor-Authentifizierung
- E-Mail-Schutz
- backup regolari
- sichere Domainverwaltung
- klare Zuständigkeiten
- einen einfachen Notfallplan
Diese Massnahmen sind weder spektakulär noch besonders kompliziert. Gerade deshalb sollten sie selbstverständlich sein.
Fazit: Technik delegieren, Verantwortung nicht
IT-Sicherheit ist heute Chefsache, weil digitale Risiken unmittelbar zu Geschäftsrisiken geworden sind.
Die Geschäftsleitung muss dafür weder Serveradministration beherrschen noch selbst Sicherheitssoftware konfigurieren.
Ihre Aufgabe besteht darin, Risiken zu verstehen, Verantwortlichkeiten festzulegen und sicherzustellen, dass angemessene Schutzmassnahmen vorhanden sind.
Die technische Umsetzung kann an Fachpersonen delegiert werden. Die Verantwortung dafür, dass IT-Sicherheit im Unternehmen ernst genommen wird, bleibt jedoch eine Führungsaufgabe.
