Sicurezza informatica aziende, in breve: per una PMI la protezione parte da poche misure fatte bene (autenticazione a due fattori, backup testati, aggiornamenti, formazione) e da fornitori che trattano i dati secondo regole verificabili. Questa guida spiega i rischi più comuni, le azioni da fare subito e cosa cambia con la NIS2.
Molti titolari di piccole aziende pensano che gli attacchi informatici riguardino le grandi imprese. Non è così: i criminali usano strumenti automatici che colpiscono chiunque abbia una casella email, un server esposto o una password riutilizzata. Una PMI spesso ha meno difese e meno persone dedicate, e per questo è un bersaglio comodo. Le conseguenze sono pratiche: giorni di fermo, dati dei clienti esposti, obblighi di notifica previsti dal GDPR, fatture da ricostruire a mano.
I rischi più comuni per la sicurezza informatica delle PMI
Phishing
È la porta d'ingresso più frequente. Arriva un'email che sembra del corriere, della banca o di un fornitore abituale, con un link o un allegato. Chi clicca può consegnare la password della posta, installare un malware o autorizzare un pagamento verso un IBAN falso. Una variante molto diffusa nelle aziende è la falsa comunicazione di cambio coordinate bancarie da parte di un fornitore: l'unica difesa vera è una regola interna che imponga di verificare per telefono, a un numero già noto, ogni cambio di IBAN.
Ransomware
È un malware che cifra i file e chiede un riscatto per restituirli. Spesso, prima di cifrare, i criminali copiano i dati e minacciano di pubblicarli. Un'azienda senza backup separati dalla rete aziendale si trova a scegliere tra pagare e ricostruire tutto da zero.
Password deboli o riutilizzate
Le credenziali rubate a un sito qualsiasi vengono provate in automatico su posta, gestionali e VPN. Se un dipendente usa la stessa password ovunque, una violazione su un forum può aprire la porta della tua azienda.
Accessi dimenticati
Account di ex collaboratori ancora attivi, credenziali condivise tra più persone, il tecnico esterno che ha un accesso remoto da anni. Sono problemi banali, che nessuno controlla finché non diventano un incidente.
Cybersecurity PMI: sei azioni da fare subito
Non servono budget da grande azienda per alzare molto il livello di protezione. Servono alcune regole, applicate a tutti, titolare compreso.
1. Attiva l'autenticazione a due fattori
Oltre alla password, l'accesso richiede un codice generato da un'app sul telefono o una chiave fisica. Anche se la password viene rubata, da sola non basta. Parti dalla posta elettronica, poi home banking, gestionale, strumenti cloud e accessi remoti.
2. Fai backup che sai ripristinare
Copie regolari dei dati importanti, almeno una conservata fuori dalla rete aziendale o in un servizio che non si possa cancellare da un PC infetto. E una prova di ripristino ogni qualche mese: un backup che nessuno ha mai provato a ripristinare può non funzionare proprio il giorno in cui serve.
3. Aggiorna sistemi e software
Molti attacchi sfruttano vulnerabilità già corrette dai produttori. Attiva gli aggiornamenti automatici dove possibile e tieni un elenco di ciò che non si aggiorna da solo: firewall, NAS, server, plugin del sito.
4. Gestisci accessi e privilegi
Ogni persona ha il suo account, con i soli permessi che le servono. Quando un collaboratore se ne va, gli accessi si chiudono lo stesso giorno. Gli account amministrativi si usano solo per amministrare.
5. Forma le persone con esempi reali
Una formazione breve e ripetuta, con esempi di email di phishing simili a quelle che arrivano davvero in azienda, funziona meglio di un corso annuale. Chi ha cliccato su qualcosa di sospetto deve poterlo dire subito, senza timore di essere ripreso: dieci minuti di anticipo cambiano l'esito di un incidente.
6. Scrivi cosa fare in caso di incidente
Una pagina basta: chi chiamare, quali sistemi scollegare, dove sono i backup, chi deve valutare la notifica al Garante privacy. Un piano scritto evita decisioni improvvisate nelle prime ore dopo l'incidente.
NIS2: riguarda la tua azienda?
La direttiva europea NIS2 è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L'autorità competente è l'Agenzia per la cybersicurezza nazionale (ACN). Secondo l'ACN il decreto copre 18 settori, 11 altamente critici e 7 critici, e si applica a tutte le medie e grandi imprese che vi operano e, in alcuni casi, anche a piccole e microimprese.
I soggetti che rientrano nel perimetro devono registrarsi o aggiornare la registrazione sul portale dell'ACN dal 1° gennaio al 28 febbraio di ogni anno. La mancata registrazione può costare una sanzione fino allo 0,1% del fatturato annuo mondiale. Gli obblighi sono graduali: per i soggetti inseriti nell'elenco nel 2025 il calendario dell'ACN fissa l'obbligo di notifica degli incidenti da gennaio 2026 e la piena attuazione delle misure di sicurezza di base nell'autunno 2026.
Due indicazioni pratiche. Se pensi di rientrare nel perimetro, verifica il tuo caso sulle pagine NIS dell'ACN e con un consulente: non basarti sul codice ATECO da solo. Se non rientri, ma lavori come fornitore di un'azienda che rientra, aspettati domande sulla tua sicurezza: questionari, richieste di misure minime, clausole contrattuali. Avere già in ordine le sei azioni descritte sopra rende queste richieste molto meno pesanti.
Come scegliere fornitori software che proteggono i tuoi dati
La sicurezza della tua azienda dipende anche da chi sviluppa e gestisce i tuoi software. Prima di affidare un progetto chiedi come vengono gestiti accessi, backup e aggiornamenti, dove sono ospitati i dati, chi può vederli, cosa succede in caso di incidente.
Una certificazione ISO/IEC 27001 è un buon indizio, perché significa che un ente terzo verifica ogni anno il sistema di gestione della sicurezza delle informazioni del fornitore. Va letta però con attenzione: certifica come l'azienda gestisce le informazioni, non il singolo software che ti consegnerà. Selli ha un sistema di gestione certificato da Kiwa Cermet Italia secondo la norma ISO/IEC 27001:2022, con accreditamento ACCREDIA, per la produzione e lo sviluppo di software e i servizi di consulenza informatica. Certificato, campo di applicazione e validità sono pubblicati nella pagina certificazioni.
Nei progetti di software gestionale su misura la sicurezza entra già nell'analisi: quali dati tratta il sistema, chi deve vederli, quali ruoli servono. Ogni rilascio passa da un ambiente di staging, dove il cliente prova le novità prima che arrivino in produzione, e il codice resta di proprietà del cliente, quindi può essere sottoposto a verifiche indipendenti quando vuole. Un software vecchio e mai aggiornato è un rischio di per sé: ne parliamo nell'articolo sul debito tecnico. Per valutare un fornitore nel suo insieme, usa la checklist per scegliere il partner tecnico.
Un'ultima nota sui costi. Il voucher 2026 della Camera di commercio di Firenze, per esempio, ammetteva progetti di cybersecurity e business continuity, a condizione che partissero da un'analisi dei rischi e non si limitassero all'acquisto di dispositivi. Lo stato delle misure è nella guida ai bandi digitalizzazione 2026.
Parliamone
Se stai per affidare un progetto software e vuoi capire come verranno trattati i tuoi dati, o devi rispondere a un questionario di sicurezza di un cliente, scrivici e fissiamo una call. Possiamo condividere il certificato ISO 27001, il campo di applicazione e le misure che adottiamo sui progetti.