Cybersecurity e piccole imprese: nessuno è a rischio zero

intervista a Michele Colajanni, professore ordinario di ingegneria informatica all’Università di Bologna

 
cybersecurity

Negli ultimi anni, la cybersecurity è diventata una delle principali preoccupazioni per le aziende di ogni dimensione. Eppure, molte piccole imprese italiane continuano a sottovalutare i rischi legati agli attacchi informatici. Spesso si pensa che le organizzazioni di dimensioni ridotte non siano un obiettivo interessante per gli hacker, ma la realtà è ben diversa. Secondo il rapporto Clusit 2023 dell'Associazione Italiana per la Sicurezza Informatica, il numero di attacchi informatici nel nostro Paese è aumentato del 12% nel solo ultimo anno, e una parte significativa di questi ha colpito proprio le piccole e medie imprese.

Con l’avvento dell’intelligenza artificiale, gli attacchi sono diventati sempre più sofisticati e alla portata di tutti, mettendo a rischio anche le realtà imprenditoriali più piccole. In questo contesto, diventa essenziale per le Pmi comprendere la gravità delle minacce e adottare strategie efficaci per proteggere i propri dati e la propria attività.

Per approfondire questi temi e fornire consigli pratici, ci siamo confrontati con Michele Colajanni, professore ordinario di ingegneria informatica all’Università di Bologna, uno dei massimi esperti italiani in materia di cybersecurity.
 

Professore, molte piccole imprese italiane pensano di non essere un obiettivo interessante per gli hacker. Quanto è diffuso questo falso senso di sicurezza, e quali sono i rischi reali che queste imprese corrono oggi?

Quando un'azienda subisce un attacco informatico, si accorge sempre troppo tardi di quanto dipenda dalla tecnologia. Tutte le imprese, piccole, medie e grandi, sono ormai digitalizzate, connesse in rete e utilizzano servizi cloud. Spesso, l'informatizzazione è avvenuta senza un piano consapevole di trasformazione digitale: solo poche aziende pianificano questo processo e si dà per scontato che l'informatica funzioni sempre, ma non è così; e più un'azienda è digitalizzata, più diventa vulnerabile. Per garantire un sistema informatico affidabile servono investimenti che non sempre si fanno, per questo ogni anno le aziende si ritrovano più esposte.

È fondamentale che le imprese facciano un'autovalutazione: comprendere quanto i loro servizi critici e operazioni come fatturazioni o forniture dipendano dal digitale. L'informatica, purtroppo, è ancora fragile e manca di solidità. Chi attacca un’azienda sono spesso criminali che puntano a guadagnare velocemente, non mirano a una specifica azienda: pescano nel mucchio e colpiscono chi trovano vulnerabile. Le piccole imprese, meno difese, sono più spesso vittime di questi attacchi.

Purtroppo, nelle piccole e medie imprese mancano figure competenti dedicate a questo tipo di difesa. In un mondo ideale, ogni azienda dovrebbe avere un responsabile informatico, così come ha un direttore finanziario, ma spesso questi ruoli vengono percepiti come superflui, e le competenze scarseggiano. Alla domanda "Perché dovrebbe capitare proprio a me?" la risposta è che, pescando a strascico, i cyber criminali colpiscono dove trovano vulnerabilità.

Quali tipi di attacchi stanno diventando più comuni e quali sono i principali segnali di allarme a cui una piccola impresa dovrebbe prestare attenzione?

Il metodo più comune rimane il classico phishing, mirato a ottenere le credenziali di qualche dipendente. Una volta entrati nella rete aziendale, i criminali lanciano attacchi ransomware, bloccando l'azienda e chiedendo un riscatto. Questo tipo di attacco è semplice, rapido e spesso le imprese, trovandosi senza competenze adeguate, preferiscono pagare.

Anche se giuridicamente e moralmente pagare è una scelta sbagliata, è comprensibile che un imprenditore bloccato per giorni, con dipendenti fermi e clienti insoddisfatti, ceda al ricatto. Così facendo, però, si alimenta un vero e proprio mercato criminale che è diventato una vera industria, con specializzazioni ben definite. Le credenziali di un’azienda si comprano e vendono sul mercato nero, e chi riesce a violare una grande società, ma non sa gestirla, può addirittura rivendersi la vittima.

La situazione è critica e imbarazzante. La chiave sarebbe prevenire, ma la cultura della prevenzione, purtroppo, non è ancora abbastanza radicata nel nostro Paese.

Apriamo adesso il capitolo delle strategie di prevenzione degli attacchi informatici. Quali comportamenti o strategie, magari a basso costo, possono adottare le Pmi per migliorare significativamente la sicurezza informatica?

Un investimento chiave è eliminare il login e la password come metodo di autenticazione, sostituendole con codici temporanei o token, simili a quelli utilizzati dalle banche per tutte le operazioni sensibili. Questo approccio aumenterebbe significativamente la sicurezza rispetto alle tecnologie obsolete come le password tradizionali che hanno più di 60 anni, che in informatica sono più di un’era zoologica.

Il backup dei dati è un altro elemento fondamentale: deve essere offline o su supporti non riscrivibili per evitare che un attacco comprometta sia il server primario che quello di backup. Non dimentichiamoci anche dell’importanza di implementare un firewall con regole corrette per filtrare il traffico di rete che, però, deve essere gestito con grande competenza.

La sicurezza è un percorso continuo: non si può pretendere di risolvere tutto con un investimento una tantum. Serve un impegno costante, con budget annuali crescenti che portino a una maturazione progressiva. La cultura della sicurezza deve essere promossa dal management e coinvolgere tutti i dipendenti, sensibilizzandoli sui rischi e sul loro ruolo nella protezione aziendale: il personale va reso parte attiva nella difesa dell’azienda. Questo non solo migliora la sicurezza ma tutela anche il lavoro di tutti, evitando errori che potrebbero mettere a rischio l’intera organizzazione.

Immagini di dover scrivere una guida pratica sulla cybersecurity specificatamente per le piccole imprese. Senza addentrarci troppo nelle spiegazioni, visto che molte cose sono già state ampiamente discusse, le chiedo i titoli dei cinque capitoli di cui è composta questa guida immaginaria.

  1. Coinvolgimento del management: la sicurezza informatica parte dall'alto. Il top management deve promuovere la cultura della cybersecurity come parte integrante della gestione aziendale.
  2. Sensibilizzazione dei dipendenti: coinvolgere soprattutto chi gestisce servizi critici o clienti esteri, aumentando la consapevolezza dei rischi e delle buone pratiche.
  3. Autenticazione sicura: adottare sistemi di autenticazione moderni e robusti, lasciando da parte le tecnologie datate e vulnerabili come login e password.
  4. Backup solido e regolare: implementare un backup sicuro, eseguito periodicamente e offline, per proteggere i dati non solo dagli attacchi ma anche da guasti accidentali.
  5. Protezione del traffico di rete: utilizzare strumenti per filtrare il traffico di rete e proteggere non solo i computer aziendali ma anche i dispositivi mobili, come gli smartphone aziendali, spesso utilizzati in modo improprio. Giuliano Terenzi

Servizi correlati

Credito d'imposta "Transizione 5.0": beneficiari, interventi agevolabili, misure, procedura e utilizzo

Il Decreto Legge 19/2024 "Ulteriori disposizioni urgenti per l'attuazione del Piano...
Scopri di più

Bando Investimenti Innovativi 2024 - Camera di Commercio di Pavia

La Camera di Commercio di Pavia sostiene gli investimenti innovativi - innovazione tecnologica,...
Scopri di più

Fondo 394/81 - Finanziamenti agevolati per la Transizione digitale o ecologica

La linea di intervento " Transizione digitale o ecologica"  sostiene la...
Scopri di più

Bando Transizione Energetica 2025 - Camera di Commercio di Varese

La Camera di Commercio di Varese incentiva l’avvio di percorsi di transizione energetica...
Scopri di più

Contributi per la partecipazione a fiere all’estero e internazionali in Italia 2025

La Camera di Commercio di Varese sostiene le imprese locali con finanziamenti a fondo perduto...
Scopri di più

Bando Nuova Impresa - Sportello 2025

Bando Nuova Impresa 2025: contributi a fondo perduto per l’avvio di nuove imprese e...
Scopri di più

Misura per la transizione delle MPMI lombarde verso modelli di produzione circolari e sostenibili

Il bando supporta le MPMI nell’adozione di modelli di produzione innovativa e...
Scopri di più

Bando Certificazioni 2024 - Camera di Commercio di Pavia

La Camera di Commercio di Pavia intende supportare le micro, piccole e medie imprese pavesi...
Scopri di più

Bando Sicurezza 2024 - Camera di Commercio di Pavia

La Camera di Commercio di Pavia intende incrementare la sicurezza delle imprese pavesi,...
Scopri di più

Bando Disegni + 2024

Il Bando Disegni + 2023 supporta le imprese di micro, piccola e media dimensione nella...
Scopri di più

Bando Marchi + 2024

Il bando intende supportare le imprese di micro, piccola e media dimensione nella tutela dei...
Scopri di più

Bando Brevetti + 2024

Il bando favorisce lo sviluppo di una strategia brevettuale e l’accrescimento della...
Scopri di più

Bando Investimenti Linea Energia 2024 (MI, MB, LO)

La misura promossa dalla Camera di Commercio di Milano Monza Brianza Lodi è finalizzata...
Scopri di più

Bando SI4.0 2024 - Camera di Commercio di Bergamo, Brescia, Milano Monza Brianza Lodi

Il “Bando SI4.0 2024” promuovel’adozione e lo sviluppo di soluzioni,...
Scopri di più

Bando Export 2024

Il Bando Export 2024 è finalizzato a far crescere la competitività...
Scopri di più