Il 60% degli attacchi informatici in Italia colpisce le PMI. Non perché siano bersagli particolarmente interessanti, ma perché sono i bersagli più facili: quasi nessuna ha misure di sicurezza adeguate, i backup sono irregolari o inesistenti, le password vengono condivise via WhatsApp.
Il costo medio di un attacco ransomware a una PMI italiana è di €30.000-€150.000 tra fermo operativo, recupero dati, e danni reputazionali. Le misure di base che lo prevengono costano 10-50 volte meno.
Le minacce reali per una PMI italiana
Phishing via email L'attacco più comune. Un'email che sembra venire dalla banca, da un fornitore, o dall'Agenzia delle Entrate — con un link che porta a un sito falso o un allegato che installa malware. Il 90% degli attacchi inizia da un'email. Il personale non formato clicca.
Ransomware Un software che cifra tutti i file dell'azienda e chiede un riscatto per sbloccarli. Se non hai un backup recente offline, sei in ginocchio. Se hai un backup, riparti in 24-48 ore.
Compromissione degli account email L'attaccante prende il controllo di un account email aziendale e lo usa per intercettare comunicazioni, modificare IBAN nelle fatture, o inviare phishing ai clienti. Difficile da accorgersi prima che il danno sia fatto.
Accessi non autorizzati Password deboli, credenziali condivise, account ex-dipendenti non disattivati: ognuno è una porta aperta.
Le misure che implementiamo
Protezione email (Microsoft 365 o Google Workspace) Configurazione corretta di SPF, DKIM, DMARC (i protocolli che autenticano le email e impediscono lo spoofing). Filtri anti-spam e anti-phishing avanzati. Questi tre elementi bloccano la maggior parte delle email malevole prima che arrivino in casella.
Autenticazione a due fattori (2FA/MFA) Su tutti gli account aziendali: email, gestionale, CRM, banche. Con il 2FA, anche se la password viene rubata, l'attaccante non può accedere senza il secondo fattore (codice sul telefono, app authenticator).
Backup automatici e verificati Backup giornalieri automatici su storage separato dalla rete aziendale (cloud o NAS offline). Verifica mensile che il backup funzioni realmente — perché il backup che non è stato testato non esiste. La regola 3-2-1: 3 copie, 2 supporti diversi, 1 offsite.
Gestione password Implementazione di un password manager aziendale (Bitwarden, 1Password) per eliminare le password deboli, condivise e su Post-it. Ogni persona ha le sue credenziali, ogni sistema ha una password unica e robusta.
Formazione anti-phishing Un dipendente non formato è la vulnerabilità più grande. Sessione formativa pratica: riconoscere le email di phishing, verificare i link prima di cliccare, cosa fare se si sospetta un attacco. Simulazioni periodiche di phishing per mantenere alta l'attenzione. Vedi anche il servizio Formazione AI per il modulo congiunto.
Gestione degli accessi Principio del privilegio minimo: ognuno accede solo ai sistemi e ai dati necessari per il suo ruolo. Disattivazione immediata degli account al termine del rapporto di lavoro. Audit degli accessi attivi.
Endpoint protection Antivirus/EDR professionale su tutti i computer aziendali, aggiornamenti automatici di sistema operativo e software.
NIS2: la direttiva europea sulla cybersecurity
La Direttiva NIS2 (recepita in Italia con D.Lgs. 138/2024) impone obblighi di sicurezza informatica a un numero crescente di organizzazioni italiane. Dal 2025-2026, si estende anche ai fornitori di aziende soggette alla direttiva.
Chi è direttamente soggetto: aziende in settori critici (energia, trasporti, sanità, finanza, acque, infrastrutture digitali) sopra determinate soglie dimensionali.
Chi è indirettamente coinvolto: i fornitori di queste aziende. Se sei un fornitore di un'organizzazione soggetta a NIS2, potresti ricevere richieste di dimostrare le tue misure di cybersecurity come prerequisito contrattuale.
Le misure che implementiamo soddisfano i requisiti di base della NIS2 per i fornitori delle organizzazioni soggette.
I pacchetti
Pacchetto Base — "Le fondamenta" Protezione email (SPF/DKIM/DMARC), 2FA su tutti gli account, backup automatico verificato, password manager aziendale, sessione formativa anti-phishing. Costo: €1.200 — €2.500 una tantum + €150-€300/mese manutenzione
Pacchetto Standard — "Protetto" Tutto del Base + endpoint protection, gestione accessi strutturata, policy di sicurezza documentata, simulazioni phishing trimestrali, report di sicurezza mensile. Costo: €2.500 — €5.000 una tantum + €300-€500/mese
Pacchetto Compliance — "NIS2-Ready" Tutto dello Standard + vulnerability assessment, documentazione per la compliance NIS2, registro degli incidenti, piano di risposta agli incidenti. Costo: €4.000 — €8.000 una tantum + €500-€800/mese
Il Voucher Cloud MIMIT copre fino al 50% delle spese cybersecurity. Approfondisci nel blog: cybersecurity PMI italiane.