In due righe
- Le sette fondamenta della sicurezza vengono prima di qualsiasi strumento di AI, non dopo.
- Backup verificati e autenticazione a più fattori coprono i danni peggiori.
- Aggiornamenti, permessi, password uniche, antivirus e formazione chiudono le falle residue.
- Sono spesso a costo zero e si mettono in ordine in pochi giorni.
Sicurezza informatica PMI: il punto di partenza non è l'ultimo antivirus. Sono sette fondamenta, spesso a costo zero, indicate dall'Agenzia per la Cybersicurezza Nazionale: backup verificati con test di ripristino, autenticazione a più fattori su posta e gestionale, aggiornamenti automatici, permessi limitati, password uniche, antivirus gestito e formazione contro il phishing. Vanno sistemate prima di parlare di AI per un motivo preciso: l'AI lavora sui dati reali, e dare quei dati a un sistema nuovo senza queste basi è come consegnare le chiavi a uno sconosciuto.
Perché la sicurezza viene prima dell'AI
Il rapporto Cyber Index PMI, condotto su mille PMI e pubblicato a marzo 2025 da Generali, Confindustria, Politecnico di Milano e Agenzia per la Cybersicurezza Nazionale, dà un punteggio medio di 52 su 100. La soglia di sufficienza è 60. Solo il 15% delle imprese è maturo, mentre il 56% è poco consapevole o impreparato.
In pratica, più di una PMI su due non ha ancora le fondamenta. Non è un problema di strumenti costosi: riguarda accessi, copie e permessi.
L'AI accede a posta, documenti, clienti e fatture. Se gli accessi sono aperti, l'AI diventa un punto in più da cui i dati possono uscire. Per questo le fondamenta vanno sistemate prima, non dopo. Quando le basi sono a posto, un agente AI su misura per la tua azienda può lavorare sui processi senza trasformarsi in una porta aperta. Prima delle basi, è solo un altro software con accesso ai dati.
Le sette basi sono in ordine di impatto, non di difficoltà. Parti dall'alto: ogni riga riduce un rischio concreto e prepara il terreno all'AI.
| Cosa sistemare |
Come si fa |
Perché conta con l'AI |
| Backup verificati |
Copie automatiche con test periodico di ripristino |
Se l'AI cancella o corrompe dati, riparti da una copia vera |
| Autenticazione a più fattori |
MFA su posta, gestionale e cloud |
L'AI accede agli stessi account: una password rubata non deve bastare |
| Aggiornamenti automatici |
Update automatico su PC e smartphone |
Le integrazioni AI passano da software vulnerabile che va chiuso |
| Permessi limitati |
Niente diritti da amministratore sul PC di lavoro |
Limita ciò che un'AI, o chi la usa male, può toccare |
| Password uniche |
Un password manager per ogni servizio |
Riutilizzare password moltiplica i danni di una sola fuga di dati |
| Antivirus aggiornato |
Soluzione gestita centralmente su tutti i dispositivi |
Ultima rete di sicurezza quando qualcosa sfugge alle altre basi |
| Formazione sul phishing |
Dieci minuti al mese su email sospette |
Chi usa l'AI è lo stesso che apre le email: l'anello debole è umano |
I backup non bastano se non li hai mai ripristinati
Il backup è una copia dei dati conservata separata dai sistemi originali, che permette di ripartire dopo un blocco o un attacco.
L'Agenzia per la Cybersicurezza Nazionale chiede backup regolari e test periodici di ripristino completo. Il test è la parte che spesso non si fa, ed è quella che trasforma una speranza in una copia vera.
Facciamo un conto su due aziende tipo. La prima ha dodici persone e fa il backup automatico ogni notte su un disco collegato al server. Non ha mai provato a ripristinarlo. Al primo test scopre che il disco di destinazione era pieno da tre mesi: tre mesi di dati non recuperabili.
La seconda ha sei persone e usa la sincronizzazione cloud, scambiandola per un backup. Un dipendente cancella per errore una cartella condivisa e la cancellazione si propaga anche al cloud. La sincronizzazione non conserva versioni, il backup vero sì.
Non confondere backup con sincronizzazione. La sincronizzazione copia le modifiche in tempo reale, comprese le cancellazioni per errore. Il backup conserva versioni separate a cui tornare. Un disco esterno lasciato sempre collegato al computer viene cifrato insieme al resto. Le copie vanno separate dalla rete e conservate anche fuori sede.
L'autenticazione a più fattori si attiva in un pomeriggio
L'autenticazione a più fattori (MFA) è un metodo di accesso che richiede due prove distinte, come la password e un codice temporaneo, così una password rubata non basta a entrare.
L'ACN indica l'MFA su posta, cloud storage, credenziali privilegiate e accesso remoto. È la misura che blocca la maggior parte degli accessi non autorizzati, anche quando le password sono finite nelle mani sbagliate.
Facciamo un esempio su un'officina tipo. Otto dipendenti usano tutti la stessa password del gestionale, annotata su un post-it in ufficio. Una mail di phishing ruba quella password: l'attaccante entra nel gestionale e vede fatture, clienti e IBAN. Con l'MFA attiva, quella password non sarebbe bastata.
Si attiva in un pomeriggio, account per account. La sequenza è questa:
- Entra nelle impostazioni di sicurezza della posta o del gestionale.
- Attiva la verifica in due passaggi.
- Collega un'app authenticator sul telefono, non gli SMS se puoi evitarli.
Gli SMS funzionano, ma un'app authenticator è più difficile da intercettare. Il costo è di pochi secondi al primo accesso della giornata. Non attivare l'MFA solo sulla posta e lasciare scoperto il gestionale: il gestionale contiene i dati che fanno funzionare l'azienda.
Lo strumento
Delera Agent AI costruisce agenti su misura sui processi che oggi ti portano via ore ogni settimana.
Scopri Delera Agent AI
Gli aggiornamenti si attivano una volta, non si rincorrono
L'ACN mette gli aggiornamenti automatici tra i compiti del professionista IT, ma attivarli è una decisione da titolare.
Gli aggiornamenti automatici chiudono le falle note prima che qualcuno le usi. Vanno attivati su sistemi operativi, applicazioni e smartphone. I dispositivi fuori supporto, che non ricevono più aggiornamenti, vanno eliminati o isolati. Un dispositivo fuori supporto è una porta rimasta aperta: le falle scoperte dopo la fine del supporto non vengono più chiuse.
Non rimandare gli aggiornamenti perché tanto non succede niente. Capita spesso che gli attacchi sfruttino falle per cui la correzione esiste già da mesi. Chi aggiorna in ritardo regala tempo a chi attacca.
I permessi: nessuno deve lavorare con diritti da amministratore
Il privilegio minimo è il principio per cui ogni utente ha solo i permessi necessari al suo lavoro, niente di più.
L'ACN chiede utenti senza diritti amministrativi sul PC e account privilegiati solo per chi ne ha davvero bisogno. Tre domande per fare il punto:
- Chi ha diritti di amministratore sul PC di lavoro?
- Serve davvero al suo lavoro quotidiano?
- L'account amministratore è separato da quello che usa per aprire la posta?
Se un account con diritti da amministratore viene compromesso, l'attaccante può installare software, disattivare le difese e muoversi nella rete. Con un account normale, i danni restano limitati.
Non dare i diritti da amministratore a tutti per evitare le richieste di assistenza. È il risparmio più costoso che un'azienda possa fare.
Password uniche, con un password manager
Un password manager è un'applicazione che genera e conserva password diverse per ogni servizio, protette da un'unica password principale.
L'ACN chiede credenziali non riutilizzate e senza dati personali facilmente reperibili. Riutilizzare la stessa password significa che una sola fuga di dati apre tutte le porte. Il password manager risolve questo problema alla radice: genera password lunghe e diverse per ogni servizio e le ricorda al posto tuo.
Non riutilizzare la password del gestionale per la posta e per i social. Basta una fuga da un servizio esterno per aprire anche il gestionale.
Un antivirus aggiornato e gestito da un'unica console
Un antivirus è un software che rileva e blocca i programmi malevoli prima che si installino.
L'ACN raccomanda una soluzione antivirus su tutti gli asset, gestita centralmente per monitorare i dispositivi e centralizzare gli aggiornamenti. Una console unica serve a vedere tutti i dispositivi da un solo punto. Se un PC resta scoperto o disattiva la protezione, lo vedi subito. Installare un antivirus a caso su ogni computer non è la stessa cosa.
Non scegliere la soluzione in base al prezzo più basso. Scegli quella che puoi gestire da un'unica console e che copre anche gli smartphone se li usi per lavoro.
Il phishing è una truffa via email o messaggio che imita un mittente noto per rubare credenziali o far cliccare link dannosi.
L'ACN mette il social engineering tra le azioni chiave del dipendente: riconoscere email, telefonate e sms sospetti e segnalarli subito. Quattro regole da condividere in dieci minuti:
- Controlla il mittente vero, non solo il nome visualizzato.
- Non cliccare link o allegati da messaggi che chiedono dati, fatture o pagamenti urgenti.
- Verifica a voce o con un canale diverso le richieste insolite, anche se sembrano arrivare dal titolare.
- Segnala subito il messaggio sospetto a chi gestisce i sistemi.
La formazione non deve essere un corso annuale. Dieci minuti al mese, su un caso concreto, valgono più di due ore una volta all'anno. Non colpevolizzare chi cade nel phishing: è il messaggio migliore per spingere le persone a nascondere il prossimo tentativo.
Cosa puoi fare domani mattina
Tre azioni, un pomeriggio:
- Attiva l'autenticazione a più fattori sulla posta e sul gestionale.
- Prova a ripristinare un file dal backup più recente, o chiedi a chi gestisce i sistemi di farlo davanti a te.
- Attiva gli aggiornamenti automatici su PC e smartphone.
Non serve fare tutto in una volta. Servono le prime tre cose fatte bene. Le altre quattro verranno dopo, una alla volta.
Domande frequenti
Da dove comincio se non ho mai fatto nulla di sicurezza informatica?
Parti dalle due misure con il miglior rapporto tra costo e protezione: i backup verificati e l’autenticazione a più fattori su posta e gestionale. Sono spesso a costo zero e coprono i danni peggiori. Poi attiva gli aggiornamenti automatici e limita i permessi. Non serve fare tutto in una volta: serve fare le prime tre cose bene.
Serve un esperto o posso fare da solo?
Molte delle sette basi si mettono in pratica da soli, seguendo le guide gratuite dell’Agenzia per la cybersicurezza nazionale. Un professionista serve per la parte tecnica, come l’antivirus gestito e la configurazione della rete, non per decidere da dove partire. La decisione sulle priorità resta in capo a chi conosce l’azienda.
Il backup su un disco esterno basta?
No, se il disco resta sempre collegato al computer. Un ransomware cifra anche il disco collegato. Servono copie separate dalla rete, conservate anche fuori sede, e soprattutto un test di ripristino: un backup che non hai mai provato a ripristinare non è un backup, è una speranza.
L’autenticazione a più fattori rallenta il lavoro?
Costa pochi secondi al primo accesso della giornata, perché i dispositivi fidati restano riconosciuti. Il costo è trascurabile rispetto al danno di un account compromesso: con l’MFA attiva, una password rubata non basta a entrare nella posta o nel gestionale.
Perché queste basi prima dell’AI e non dopo?
Perché l’AI lavora sui tuoi dati reali: posta, documenti, clienti, fatture. Se gli accessi e i backup non sono in ordine, l’AI diventa un punto in più da cui quei dati possono uscire o andare persi. Le fondamenta vanno sistemate prima di aprire ai dati una porta nuova.
Delera CRM
Delera Agent AI
UmanValue
PMI Speed Test