Sicurezza informatica per le piccole attività: le basi da non trascurare

Per una piccola attività il rischio più grande di solito non è un attacco sofisticato. Sono le basi che mancano: la stessa password usata ovunque, un backup che nessuno ha mai provato a ripristinare, la posta senza verifica in due passaggi.

Molti incidenti si evitano con poche abitudini, che costano poco e si impostano una volta. Copie di sicurezza, HTTPS e aggiornamenti del sito sono la parte che seguiamo noi con hosting e assistenza.

1. Backup veri, e provati

Il backup è la tua assicurazione se un virus blocca i file o un computer si rompe. Una regola semplice e molto usata è la 3-2-1:

• 3 copie dei dati
• 2 supporti diversi, per esempio un disco in ufficio e un servizio cloud
• 1 copia fuori sede

Cosa salvare: documenti condivisi, posta, dati del gestionale, fatture.

Cosa non è un backup: una cartella sincronizzata (se cancelli un file, sparisce anche nel cloud) o due dischi in copia (se un virus cifra i file, vengono copiati cifrati).

E soprattutto: un backup mai provato non conta. Ogni tanto ripristina qualche file e controlla che si apra.

2. Verifica in due passaggi dove conta

Una password, anche lunga, non ti protegge se viene rubata. La verifica in due passaggi (un codice sul telefono oltre alla password) rende molto più difficile entrare con una password rubata. Attivala almeno su:

• posta elettronica
• banca e portali fiscali
• gestionale e programmi di contabilità
• account del sito, dell'hosting e del dominio: perdere il dominio significa perdere sito e posta
• profili social e scheda Google dell'attività

Meglio un'app di autenticazione o una chiave fisica. L'SMS è meglio di niente, ma per gli account più importanti non basta.

3. Un gestore di password

Il foglio con tutte le password condiviso tra colleghi è uno dei rischi più comuni. Un gestore di password risolve tre problemi:

• ognuno ha le sue password, lunghe e diverse per ogni servizio
• le password in comune stanno in una cassaforte condivisa
• quando qualcuno se ne va, gli togli l'accesso senza cambiare tutto

4. Aggiornamenti e avvisi

Tieni aggiornati computer, telefoni, programmi e sito: gli aggiornamenti chiudono falle già note. E non ignorare gli avvisi di accesso sospetto che arrivano dalla posta e dai servizi online: servono proprio a questo.

Per i siti che realizziamo, backup, certificato HTTPS e aggiornamenti tecnici sono compresi nel rinnovo annuale.

5. Attenzione alle mail sospette

Molti attacchi partono da una mail che sembra vera: un finto corriere, una finta banca, un finto fornitore che cambia IBAN. Tre regole da condividere con chi lavora con te:

• non aprire allegati o link inattesi, anche se il mittente sembra noto
• se una mail chiede soldi o dati, verifica con una telefonata al numero che già conosci
• se hai cliccato per errore, dillo subito: prima si interviene, meglio è

Da dove iniziare

Se ti riconosci in almeno due di queste situazioni, parti da qui:

• le password stanno in un foglio condiviso
• la verifica in due passaggi ce l'ha solo il titolare, o nessuno
• il backup «c'è», ma nessuno ricorda l'ultima volta che è stato provato
• nessuno guarda gli avvisi di sicurezza

Il primo passo è fare l'elenco dei tuoi account e dei tuoi dati: cosa hai, dove sta, chi ci accede. Il resto viene di conseguenza.