La sicurezza si misura in ore di fermo, non in attacchi evitati.

Tre domande, e le risposte le sai già senza chiamare nessuno. Il tuo backup è stato ripristinato almeno una volta, o esiste solo il job che gira ogni notte? Esiste un elenco di cosa è raggiungibile dall'esterno, e chi ci può entrare? Se un fornitore ti scrive che ha cambiato IBAN, qualcuno lo verifica al telefono su un numero che avevi già?

Se su una delle tre hai esitato, hai trovato la priorità. Nell'ordine con cui i problemi si presentano davvero, il primo vettore non è un attacco sofisticato: è una casella di posta compromessa, spesso non la tua ma quella di un fornitore. Il secondo è un accesso remoto o una VPN raggiungibile da Internet con credenziali valide. Il ransomware arriva dopo, quando entrambi sono rimasti aperti.

Un avvertimento che vale più di una checklist: l'autenticazione a due fattori riduce molto il rischio, ma non lo chiude. Il furto della sessione di lavoro funziona anche con il secondo fattore attivo, e chi ti dice che con l'MFA sei a posto ti sta raccontando una mezza verità.

È l'unico intervento di sicurezza il cui risultato è un fatto e non un'opinione. Prendo il sistema da cui dipende la tua giornata, lo ripristino in un ambiente separato, misuro quanto tempo ci vuole e cosa manca, e ti consegno quel numero. Non "i backup sono a posto": nove ore, e mancano gli allegati del CRM.

Quasi nessuno lo fa, e la ragione è scomoda: richiede tempo e rischia di dimostrare che il servizio che hai comprato non funziona. I tre modi in cui un backup non salva nessuno li ho visti tutti. Sta sullo stesso NAS che viene cifrato insieme al resto. È raggiungibile con le stesse credenziali di dominio con cui l'attaccante è entrato, quindi non è una copia protetta, è una copia. Oppure funziona, e servono otto giorni per riportare giù i dati, quando l'azienda ne regge tre.

Da qui nasce la sola domanda che conta e che il tuo fornitore probabilmente non ti ha mai fatto: quante ore di fermo regge l'azienda, e quanti dati puoi permetterti di perdere. Sono due numeri, li decidi tu, e tutto il resto della sicurezza si dimensiona su quelli.

È il motivo più frequente per cui una PMI chiama, molto più della paura di un attacco: arriva un questionario di duecento domande da un cliente, e se non lo compili la fornitura è a rischio. Il lavoro non è compilarlo in fretta. È tradurlo in quindici azioni con una priorità, rispondere in modo difendibile su ciò che c'è, e dire con chiarezza ciò che non c'è, perché una risposta gonfiata è un problema contrattuale che si scopre all'audit.

Il NIS2 è il motivo per cui quel questionario esiste, e qui serve una precisazione che quasi nessuno fa. La direttiva europea 2022/2555, in Italia il D.Lgs. 138/2024, si applica per settore e dimensione: in linea generale dai 50 dipendenti o 10 milioni di fatturato in su, nei settori elencati negli allegati. La maggior parte delle piccole imprese italiane non è soggetta direttamente. Ma se fornisci qualcuno che lo è, il requisito ti arriva comunque, per contratto, e arriva prima di qualunque scadenza di legge.

Chi ti dice "sei obbligato alla NIS2" senza aver verificato il tuo settore e la tua dimensione sta vendendo. Verificarlo è la prima cosa che faccio, e se non ti riguarda te lo dico: l'adeguamento formale a una direttiva che non ti si applica è un costo che non ti serve. Il questionario del tuo cliente, invece, va affrontato in ogni caso.

La telefonata delle sette del mattino somiglia sempre alla stessa cosa: il gestionale non parte, i file hanno un nome strano, il magazzino non sa cosa spedire. Le prime ore decidono più del resto. Isolare senza spegnere, perché spegnendo si perde ciò che serve a capire da dove sono entrati. Non toccare i backup finché non è chiaro se sono compromessi. E far partire l'orologio della notifica, perché quando i dati sono stati anche copiati si tratta di una violazione di dati personali, e le 72 ore dell'art. 33 GDPR decorrono da quando lo sai, non da quando hai finito di ripristinare.

Adesso la parte che sulle altre pagine non trovi. Non faccio monitoraggio 24/7: sono una persona, e chi promette un presidio continuo da solo ti sta mentendo. Non ho un SOC, cioè un team che si alterna a sorvegliare gli allarmi giorno e notte, e la mia capacità è limitata: quando sono pieno te lo dico, invece di prendere il lavoro e farlo fare a qualcun altro. È la stessa ragione, vista dall'altro lato, per cui chi ti risponde è chi ha visto i tuoi sistemi, non un junior arrivato dopo la firma, e a distanza di un anno la memoria di cosa avevamo deciso è ancora la stessa. Nel momento dell'incidente il mio ruolo è coordinare e decidere, non essere le braccia. E siccome non c'è un turno di reperibilità, chi si muove per primo alle sette del mattino lo decidiamo prima e lo mettiamo per iscritto: di solito è il tuo fornitore di sistemi, con me raggiungibile in giornata.

Quello che faccio è il lavoro che rende quella mattina meno grave: scegliere e mettere in opera gli strumenti giusti (protezione degli endpoint, backup immutabile, filtro della posta) e poi verificare che facciano ciò che il contratto dice, decidere in anticipo chi chiama chi, e provare la sequenza una volta con le persone che dovranno eseguirla. Il prodotto lo compri dal fornitore, non da me: non rivendo licenze, così quando ti dico che una cosa non serve puoi credermi.

La prima chiamata è gratuita e serve a capire se il tuo problema è di quelli che risolvo. La valutazione parte da 750 euro, si compra da sola e finisce con un documento che è tuo: cosa è esposto, quanto ci vuole a ripartire misurato su un ripristino vero, e le azioni in ordine di rapporto fra rischio ridotto e costo.

Cosa non è compreso, detto prima e non dopo: non è una certificazione ISO 27001, che rilascia un ente accreditato e non un consulente; non è un penetration test formale; non è un servizio di sorveglianza. Se ti serve una di queste tre cose te lo dico e ti indirizzo, anche quando significa che il lavoro lo fa qualcun altro.

Le tre cose che valgono più di qualunque budget, se puoi farne solo tre: autenticazione forte sulle caselle di posta, un backup che è stato ripristinato davvero, e una verifica telefonica obbligatoria su ogni variazione di coordinate bancarie. Costano quasi nulla e coprono la maggior parte del danno che vedo. Se le hai già fatte tutte e tre, probabilmente non hai bisogno di me adesso.