La sicurezza informatica può davvero proteggerci dagli attacchi? Tra violazioni dei dati, tecnologie sofisticate e promesse commerciali, proviamo a capire cosa possono aspettarsi le aziende. Senza raccontare favole
Se persino le grandi organizzazioni possono subire violazioni informatiche, che speranze hanno le piccole imprese? La risposta non è rinunciare alla cybersecurity, ma capire che cosa protegge davvero, quali rischi rimangono e perché nessun prodotto può garantire l’invulnerabilità. Una riflessione che riguarda gli imprenditori, ma anche chi questi servizi li propone e li vende.
Una tranquilla giornata di ordinaria insicurezza digitale
Venerdì 23 ottobre 2026. Apro la posta elettronica e trovo una comunicazione di Plenitude On The Road. L’oggetto è di quelli che non promettono niente di buono: «Comunicazione di violazione dei dati personali ai sensi dell’art. 34 del Regolamento UE 679/2016». Non esattamente un invito a trascorrere un piacevole fine settimana.
Scopro così che, tra il 19 e il 20 ottobre, sono stati rilevati accessi non autorizzati al database clienti del servizio di ricarica per veicoli elettrici. Secondo la comunicazione, sono stati sottratti dati personali appartenenti a diverse categorie: informazioni anagrafiche, codice fiscale, indirizzo, recapiti, dati sulle ricariche effettuate e, per determinati profili, informazioni relative all’azienda di appartenenza. Fortunatamente, l’azienda precisa che password e dati delle carte di pagamento non sono stati coinvolti.
Plenitude dichiara di aver bloccato gli accessi utilizzati dagli attaccanti, rafforzato il monitoraggio e informato le autorità competenti. Comunica inoltre che le verifiche effettuate fino a quel momento non hanno evidenziato la diffusione dei dati nel dark web. È positivo che i clienti vengano informati e che siano fornite indicazioni sui possibili tentativi di frode. Resta però un particolare difficile da ignorare: qualcuno è riuscito a entrare dove non avrebbe dovuto e a portarsi via informazioni personali.
Mentre leggo, comincio a farmi una domanda. Se una realtà appartenente a un gruppo industriale delle dimensioni di ENI può subire una violazione informatica, che speranze ha una piccola impresa con venti dipendenti, un gestionale, qualche computer e un budget tecnologico che deve fare i conti con tutte le altre spese aziendali?
La domanda diventa ancora più interessante considerando il mio lavoro. Mi occupo di telecomunicazioni e servizi digitali per le imprese, un settore nel quale la cybersecurity sta assumendo un’importanza crescente. E allora me ne viene in mente un’altra, decisamente più scomoda: quando proponiamo sistemi di sicurezza informatica ai nostri clienti, che cosa siamo realmente in grado di garantire?
La sicurezza informatica al 100% esiste. Nelle brochure.
Cominciamo da una verità che potrebbe mettere in difficoltà qualche venditore particolarmente entusiasta: nessun sistema di cybersecurity può garantire che un’azienda non subirà mai un attacco. Non importa quanto sia sofisticato, quanto costi o quanti termini inglesi siano stati utilizzati per descriverlo. La sicurezza assoluta non esiste, e chi sostiene il contrario dovrebbe quantomeno spiegare su quali basi formula una promessa tanto impegnativa.
Questo non significa che firewall, antivirus evoluti, sistemi di monitoraggio e protezione dei dati siano inutili. Significa che dovremmo smettere di considerarli amuleti tecnologici capaci di allontanare qualsiasi minaccia. Un’azienda non diventa invulnerabile perché ha acquistato un prodotto di sicurezza, esattamente come una casa non diventa inespugnabile soltanto perché abbiamo installato una porta blindata.
Un sistema informatico comprende dispositivi, applicazioni, persone, fornitori e procedure. Gli attaccanti possono sfruttare vulnerabilità software, errori di configurazione, credenziali rubate oppure convincere qualcuno a compiere un’azione che non dovrebbe. E la creatività umana, quando si tratta di trovare nuovi modi per combinare guai, sembra godere di aggiornamenti gratuiti e illimitati.
Sul caso Plenitude, naturalmente, è necessaria una precisazione. Non conosciamo le modalità tecniche dell’attacco né le misure di sicurezza effettivamente presenti sui sistemi coinvolti. Sarebbe quindi scorretto dedurre che l’intera infrastruttura informatica di ENI sia stata compromessa o che qualcuno abbia trascurato la protezione dei dati.
Possiamo però ricavarne una considerazione più generale: anche organizzazioni con risorse importanti devono confrontarsi con rischi che non possono essere eliminati completamente. Ed è proprio per questo che dovremmo imparare a valutare la cybersecurity per ciò che può concretamente fare, non per quello che vorremmo sentirci promettere.
Se possono attaccare una multinazionale, perché dovrebbero risparmiare la mia azienda?
Immagino già l’obiezione del titolare di una piccola impresa: «Se non riescono a proteggersi loro, perché dovrei spendere soldi per farlo io?». È una domanda legittima, alla quale sarebbe sbagliato rispondere aprendo immediatamente un catalogo commerciale.
Un grande gruppo dispone generalmente di risorse economiche e professionali superiori, ma deve anche gestire un’enorme quantità di applicazioni, infrastrutture, sedi, persone e rapporti con fornitori esterni. Questa complessità moltiplica i possibili punti di accesso. Una piccola impresa potrebbe avere meno strumenti di difesa, ma anche un ambiente informatico più semplice da controllare. Naturalmente, sempre che qualcuno se ne occupi con competenza.
C’è poi un aspetto spesso sottovalutato: molti attacchi non cominciano con un criminale che decide personalmente di prendere di mira una determinata azienda. Le campagne automatizzate possono cercare indiscriminatamente sistemi esposti, vulnerabilità note o credenziali compromesse. Non è necessario che qualcuno conosca l’imprenditore, abbia studiato il suo bilancio o sappia persino che cosa produce la sua azienda.
A volte basta trovare una porta aperta. E se dietro quella porta ci sono documenti, fatture, caselle email e dati dei clienti, difficilmente l’attaccante si fermerà per verificare se l’impresa rientra nella definizione europea di PMI.
L’ENISA Threat Landscape 2026, pubblicato dall’Agenzia dell’Unione europea per la cybersicurezza, descrive uno scenario nel quale ransomware, vulnerabilità e dipendenze tecnologiche continuano a rappresentare problemi importanti. Non è un mondo popolato esclusivamente da hacker che prendono di mira governi e grandi multinazionali: anche le normali attività economiche dipendono da sistemi digitali che possono essere attaccati.
Il punto, quindi, non è diventare più forti di tutti i criminali informatici del pianeta. È rendere più difficile un attacco, aumentare le possibilità di individuarlo e limitarne le conseguenze.
Il dipendente che consegna le chiavi senza saperlo
Immaginiamo un’azienda commerciale con venticinque dipendenti. Utilizza Microsoft 365 per la posta elettronica, un gestionale in cloud, documenti condivisi e alcuni computer collegati alla rete aziendale. Niente di particolarmente sofisticato: una situazione simile a quella di migliaia di piccole imprese italiane.
Un lunedì mattina un dipendente riceve un’email apparentemente proveniente da un fornitore abituale. Il messaggio segnala una fattura da verificare e contiene un collegamento. Il dipendente lo apre, trova una pagina che sembra quella di Microsoft 365 e inserisce le credenziali. Ha appena consegnato nome utente e password a un criminale.
Non è stato necessario forzare il firewall, compromettere un server o utilizzare strumenti degni di un film di spionaggio. È bastato convincere qualcuno che stesse facendo una cosa perfettamente normale. Del resto, se ogni fattura richiedesse un’indagine forense prima di essere aperta, probabilmente passeremmo la giornata a controllare email invece di lavorare.
È a questo punto che entra in gioco la qualità delle difese. Un’autenticazione multifattore resistente al phishing potrebbe impedire l’accesso anche dopo la sottrazione della password. Sistemi di monitoraggio adeguati potrebbero rilevare attività sospette, mentre una corretta gestione delle autorizzazioni limiterebbe le informazioni raggiungibili dall’account. Se l’intrusione avvenisse comunque, procedure ben organizzate potrebbero contribuire a contenerla rapidamente.
Senza queste misure, lo stesso episodio potrebbe invece consentire la lettura di comunicazioni riservate, il furto di documenti o tentativi di frode nei confronti dei clienti. Pensiamo a un messaggio che invita a pagare una fattura su un nuovo IBAN, apparentemente inviato dall’indirizzo di un fornitore conosciuto. A quel punto il problema non riguarda più soltanto la sicurezza informatica: coinvolge denaro, rapporti commerciali e reputazione.
La differenza tra i due scenari non è necessariamente l’assenza di un attacco, ma la capacità dell’azienda di impedirne l’evoluzione o limitarne i danni.
Firewall, EDR, SOC: quando le sigle sono più numerose delle spiegazioni
Chiunque abbia assistito a una presentazione commerciale di servizi informatici conosce il fenomeno. Dopo pochi minuti cominciano a comparire acronimi: UTM, EDR, XDR, MDR, SIEM, SOC. A volte vengono illustrati con tale entusiasmo che sembra quasi di partecipare alla presentazione di un nuovo sistema di difesa missilistica.
Dietro queste sigle ci sono tecnologie e servizi con funzioni differenti. Un firewall controlla le comunicazioni di rete secondo determinate regole e capacità di ispezione. Un sistema EDR può rilevare comportamenti sospetti sui dispositivi aziendali e contribuire a bloccare alcune attività malevole. Un servizio MDR aggiunge attività gestite di rilevamento e risposta, mentre un SOC è una struttura organizzativa e tecnologica dedicata al monitoraggio e alla gestione degli eventi di sicurezza.
Non è necessario trasformare ogni imprenditore in uno specialista per comprendere un principio fondamentale: disporre di uno strumento capace di generare un allarme non significa necessariamente avere qualcuno pronto a gestirlo.
Quando il sistema rileva qualcosa di sospetto, che cosa succede? L’allarme viene analizzato da personale competente oppure arriva in una casella email che nessuno consulta? Esiste un presidio notturno o nei giorni festivi? Qualcuno può intervenire per isolare un dispositivo compromesso? E quali tempi di risposta sono effettivamente previsti dal contratto?
Installare una tecnologia sofisticata senza organizzare la gestione degli allarmi può essere un po’ come acquistare un impianto antifurto che, quando suona, invia una notifica al cellulare dimenticato nel cassetto. Il dispositivo funziona perfettamente; è il resto dell’organizzazione che presenta qualche margine di miglioramento.
Qui emerge una differenza essenziale tra acquistare un prodotto e sottoscrivere un servizio realmente gestito. Nessuno dei due è automaticamente migliore in ogni situazione: dipende dalle competenze disponibili nell’azienda, dal livello di rischio e dalle responsabilità effettivamente assunte dal fornitore.
«Tanto abbiamo il backup». Sì, ma siamo sicuri?
Quando si parla di ransomware o perdita dei dati, capita spesso di sentirsi rispondere: «Nessun problema, abbiamo il backup». Ottima notizia. Ma sarebbe utile approfondire: con quale frequenza vengono eseguite le copie? Sono protette contro modifiche e cancellazioni non autorizzate? Sono conservate separatamente dai sistemi principali? Qualcuno ha verificato recentemente che sia possibile ripristinarle?
Un backup mai sottoposto a una prova di ripristino somiglia alla ruota di scorta che scopriamo sgonfia proprio quando buchiamo una gomma. Era rassicurante sapere di averla, ma nel momento del bisogno avremmo preferito qualche verifica preventiva.
C’è poi un equivoco ancora più importante. Se un criminale cifra o distrugge i file, un sistema di backup adeguato può consentirne il recupero. Se invece riesce a copiare il database clienti e portarlo all’esterno, il backup non può impedire che quelle informazioni vengano utilizzate o diffuse. I dati originali potrebbero essere perfettamente integri e disponibili, mentre una loro copia è ormai nelle mani sbagliate.
La disponibilità delle informazioni e la loro riservatezza sono esigenze differenti. Una strategia di sicurezza deve occuparsi di entrambe, insieme all’integrità dei dati. È uno dei motivi per cui sarebbe tecnicamente scorretto presentare una singola soluzione, anche eccellente, come risposta completa a ogni possibile minaccia.
La sicurezza è un processo. E non si conclude con la firma del contratto.
Il Cybersecurity Framework 2.0 del NIST, organismo statunitense di riferimento per gli standard tecnologici, descrive sei funzioni fondamentali per gestire il rischio informatico: governare, identificare, proteggere, rilevare, rispondere e ripristinare. Nell’originale inglese sono Govern, Identify, Protect, Detect, Respond e Recover.
Non preoccupatevi, non è necessario impararle a memoria e recitarle prima di andare a dormire. Il concetto è più semplice di quanto sembri: la sicurezza non consiste soltanto nel cercare di impedire un’intrusione. Occorre sapere che cosa stiamo proteggendo, quali rischi corriamo, come riconoscere un problema e che cosa fare quando qualcosa non funziona.
Un’azienda potrebbe avere strumenti di protezione eccellenti, ma non disporre di procedure adeguate per gestire un incidente. Oppure investire in piattaforme sofisticate mantenendo account inutilizzati, password condivise e autorizzazioni eccessive. In questi casi, il problema non è necessariamente la qualità della tecnologia, ma il modo in cui viene utilizzata e governata.
La cybersecurity richiede manutenzione, aggiornamenti, verifiche, responsabilità e organizzazione. Non è una condizione acquisita una volta per tutte, e certamente non coincide con l’installazione di un dispositivo o l’attivazione di un abbonamento.
Questo può renderla più difficile da raccontare commercialmente. Ma, quando si parla di proteggere un’attività economica, forse dovremmo accettare che una presentazione di cinque slide non possa contenere tutte le risposte.
Quanto costa davvero un incidente informatico a una PMI?
Quando un imprenditore valuta una soluzione di cybersecurity, il prezzo è inevitabilmente uno degli elementi principali. Ed è comprensibile: ogni euro investito nella sicurezza deve confrontarsi con altre necessità aziendali. Il problema nasce quando il canone del servizio viene considerato senza ragionare sulle possibili conseguenze di un incidente.
Immaginiamo un’impresa con venticinque dipendenti che, a causa di un ransomware, rimanga parzialmente inattiva per tre giorni. Alcuni ordini potrebbero essere rinviati, il personale potrebbe non riuscire ad accedere al gestionale, le attività amministrative potrebbero rallentare e professionisti esterni potrebbero dover intervenire per il ripristino dei sistemi.
Non sarebbe corretto calcolare il danno dividendo semplicemente il fatturato annuale per i giorni lavorativi: fatturato e perdite effettive sono grandezze diverse. Alcune vendite potrebbero essere recuperate, altre no. Ma le conseguenze economiche potrebbero comprendere mancati margini, costi straordinari, ritardi, penali contrattuali ove applicabili e ore di lavoro perse.
Se l’incidente comportasse anche una violazione di dati personali, si aggiungerebbero le necessarie valutazioni sugli obblighi previsti dal GDPR, oltre agli eventuali effetti sui rapporti con clienti e fornitori. Non ogni violazione determina automaticamente una sanzione o un obbligo di comunicazione a tutti gli interessati: gli adempimenti dipendono dalle circostanze e dai rischi individuati.
La cybersecurity non dovrebbe essere venduta facendo terrorismo psicologico, magari attraverso improbabili classifiche di aziende destinate al fallimento dopo un attacco. La domanda corretta è un’altra: quali rischi corre realmente questa impresa, quali sarebbero le conseguenze di un incidente e quali investimenti sono ragionevolmente in grado di ridurli?
Le domande che farei prima di acquistare un servizio di cybersecurity
Se fossi il titolare di una piccola impresa, prima di firmare vorrei capire esattamente che cosa sto acquistando. Quali minacce è progettato per contrastare il servizio? Quali sistemi vengono protetti e quali rimangono esclusi? Chi si occupa della configurazione, degli aggiornamenti e della manutenzione?
Chiederei soprattutto che cosa accade quando viene rilevato un incidente. Chi riceve gli allarmi, chi li analizza, chi può intervenire e quali tempi di presa in carico sono previsti? Vorrei sapere se le verifiche sono continuative oppure limitate a determinati orari, e quali risultati vengono periodicamente comunicati al cliente.
Infine, porrei una domanda che rischia di passare in secondo piano: quali responsabilità rimangono alla mia azienda?Affidare a un fornitore la gestione di strumenti e servizi informatici non significa trasferirgli automaticamente tutti gli obblighi relativi alla sicurezza e alla protezione dei dati.
Un fornitore competente dovrebbe saper rispondere senza rifugiarsi dietro espressioni generiche come «protezione totale», «sicurezza garantita» o «intelligenza artificiale di ultima generazione». L’intelligenza artificiale può offrire contributi molto importanti al rilevamento delle minacce e all’analisi degli eventi, ma aggiungere la sigla AI alla descrizione di un prodotto non lo rende automaticamente infallibile.
E nemmeno particolarmente intelligente, se poi nessuno sa interpretare gli allarmi che produce.
Un problema anche per chi vende sicurezza informatica
Qui mi permetto una riflessione che riguarda direttamente la mia professione. Nel mondo delle telecomunicazioni siamo abituati a confrontare velocità, coperture, quantità di traffico, prestazioni e canoni mensili. Sono elementi importanti, ma quando entriamo nel campo della cybersecurity il semplice confronto delle caratteristiche commerciali rischia di diventare insufficiente.
Un consulente non deve necessariamente essere un analista forense o un esperto di penetration testing. Deve però conoscere abbastanza bene le soluzioni che propone da poterne spiegare benefici, limiti e responsabilità. Soprattutto, deve capire quando è necessario coinvolgere uno specialista, anziché improvvisarsi esperto di tutto.
Non considero un segno di debolezza ammettere che non possiamo garantire a un cliente l’assenza assoluta di attacchi. Troverei semmai preoccupante il contrario. La sicurezza informatica è un settore nel quale l’entusiasmo commerciale non può sostituire le competenze tecniche, e nel quale una promessa eccessiva rischia di diventare un problema proprio quando il cliente avrebbe più bisogno del nostro supporto.
Mi piacerebbe che un imprenditore, al termine di una consulenza, avesse compreso meglio i rischi della propria azienda anche se decidesse di non acquistare immediatamente nulla. Un cliente informato può fare scelte più consapevoli, formulare richieste precise e distinguere più facilmente un servizio serio da una rassicurazione confezionata bene.
La fiducia si costruisce anche spiegando ciò che un prodotto non può fare. Forse non è il metodo più rapido per chiudere una vendita, ma potrebbe essere uno dei migliori per costruire un rapporto professionale che duri nel tempo.
E, visto quanto si parla di fidelizzazione dei clienti, non mi sembra un risultato trascurabile.
E se, oltre a proteggere i dati, imparassimo a raccoglierne meno?
Torniamo per un momento alla comunicazione ricevuta da Plenitude On The Road. Tra le categorie di informazioni coinvolte figurano dati anagrafici, recapiti e dettagli relativi alle ricariche dei veicoli. Alcune informazioni possono essere necessarie per erogare il servizio, gestire la fatturazione o rispettare obblighi normativi. Non abbiamo elementi per sostenere che siano state raccolte o conservate impropriamente.
L’episodio suggerisce però una riflessione generale. Nell’economia digitale siamo diventati straordinariamente efficienti nel raccogliere informazioni, ma ci chiediamo con altrettanta attenzione se sia necessario conservarle tutte?
Per utilizzare un’applicazione, effettuare un acquisto, parcheggiare o accedere a un servizio lasciamo dietro di noi una quantità crescente di dati. Singolarmente, alcune informazioni possono sembrare poco significative. Combinate tra loro, invece, possono contribuire a costruire profili dettagliati delle nostre abitudini.
Il GDPR, all’articolo 5, prevede il principio di minimizzazione dei dati e quello di limitazione della conservazione. In sostanza, le informazioni personali devono essere pertinenti e limitate a quanto necessario per le finalità del trattamento, e non devono essere conservate in forma identificativa oltre il tempo necessario, salvo le eccezioni previste dalla normativa.
Sono principi giuridici, ma anche indicazioni utili sul piano della sicurezza. Un dato che non viene raccolto o che è stato legittimamente cancellato non può essere sottratto da quell’archivio. Naturalmente questo non elimina i rischi e non consente di ignorare gli obblighi di conservazione, ma può ridurre la quantità di informazioni esposte in caso di violazione.
Forse dovremmo porci più spesso questa domanda: anziché investire soltanto in sistemi sempre più sofisticati per proteggere enormi quantità di dati, siamo sicuri di aver bisogno di conservarli tutti?
La sicurezza assoluta non esiste. E questa non è una buona scusa per rinunciare.
Siamo partiti da una comunicazione di violazione dei dati personali e da una domanda apparentemente senza risposta: se persino una grande organizzazione può subire un attacco, che speranze hanno le piccole imprese?
La risposta è che proteggersi ha comunque senso. Eccome. Purché si comprenda che l’obiettivo non è acquistare una fantomatica invulnerabilità, ma ridurre il rischio, limitare le conseguenze degli incidenti e organizzare una risposta efficace.
Una PMI non deve necessariamente costruire un centro operativo di sicurezza degno di una multinazionale. Deve però sapere quali informazioni e processi sono essenziali per il proprio lavoro, quali minacce potrebbero comprometterli e quali misure siano proporzionate alla propria situazione. In alcuni casi potrebbe essere più urgente introdurre un’autenticazione multifattore adeguata, verificare i backup o aggiornare i sistemi esistenti che acquistare l’ennesima piattaforma tecnologica.
La cybersecurity assomiglia, per certi versi, alla sicurezza stradale. Le cinture, gli airbag e i sistemi di assistenza alla guida non impediscono tutti gli incidenti, ma possono ridurne significativamente le conseguenze. Nessuno considererebbe inutile una cintura di sicurezza soltanto perché sulle strade continuano a verificarsi incidenti.
Con la sicurezza informatica dovremmo ragionare in modo simile. Gli incidenti non dimostrano che proteggersi sia inutile; dimostrano piuttosto quanto sia importante farlo con metodo, competenza e aspettative realistiche.
La sicurezza informatica non è la promessa che non accadrà nulla. È la capacità di non farsi trovare impreparati quando qualcosa accade.
Ecco perché credo che il compito di chi propone questi servizi non sia raccontare favole tecnologiche, ma aiutare le imprese a comprendere che cosa stanno acquistando, quali problemi possono affrontare e quali responsabilità rimangono.
Meno promesse di invulnerabilità, quindi. Meno acronimi pronunciati con aria solenne. Più domande, più verifiche e soprattutto più trasparenza.
Quanto a chi propone sistemi capaci di garantire il 100% della sicurezza, avrei soltanto una richiesta: potrebbe spiegarmi come ha calcolato quel 100%?
Non per diffidenza, naturalmente. È semplice curiosità professionale.
E magari, già che ci siamo, potrebbe mettere quella garanzia nero su bianco.
E la tua azienda, quanto è preparata?
Non serve aspettare un incidente informatico per cominciare a farsi le domande giuste. Capire quali dati e sistemi sono più importanti, come vengono protetti e chi interviene quando qualcosa non funziona è già un buon punto di partenza.
Mi occupo di telecomunicazioni e servizi digitali per le imprese. Se vuoi confrontarti sulle esigenze della tua azienda, possiamo parlarne senza partire da un catalogo e senza promesse impossibili.
ParliamoneTelefonia Facile — La tecnologia è complicata abbastanza. Cerchiamo almeno di parlarne in modo semplice.
