Sicurezza informatica per aziende e professionisti

Per una PMI italiana un vulnerability assessment si colloca indicativamente tra 3.000 e 8.000 euro, un penetration test mirato tra 5.000 e 12.000. Il prezzo dipende dall'ampiezza del perimetro, dalla profondità richiesta e dalla quota di lavoro manuale. Nessun preventivo serio nasce prima di aver guardato cosa c'è da analizzare.

Il primo controlla tutte le serrature e ti dice quali sono difettose: analisi ampia, in buona parte automatizzata. Il secondo prova ad aprirle e ti mostra cosa avrebbe potuto portare via: lavoro manuale, molto più profondo su un perimetro più ristretto. Non sono alternativi. Per la maggior parte delle PMI l'ordine giusto è assessment prima, test mirato poi.

Probabilmente no, se sei sotto i 50 dipendenti e i 10 milioni di fatturato e non operi in uno dei settori critici individuati dal D.Lgs. 138/2024. Ma se fornisci beni o servizi a un soggetto che rientra nel perimetro, il tuo livello di sicurezza diventa parte della sua conformità: sempre più spesso arriva un questionario da compilare, e non poterlo compilare significa uscire dalla fornitura. Verifichiamo insieme dove ti trovi, senza allarmismi.

Nessuno, personalmente. E questo è il punto: la stragrande maggioranza degli attacchi non è mirata, è automatica. Bot che scandagliano internet in cerca di un CMS non aggiornato, di una password riutilizzata, di una porta aperta. Non sei un bersaglio scelto, sei un bersaglio trovato. Ed è una brutta notizia, perché significa che essere poco interessanti non ti protegge.

Non spegnere e non "pulire" nulla prima di aver preservato le evidenze: è l'errore che distrugge sia l'analisi tecnica sia la posizione legale. Si contiene, si isola, si documenta, si ripristina da un backup verificato. In parallelo si valuta se l'incidente costituisce una violazione di dati personali: in tal caso, se comporta un rischio per gli interessati, va notificata al Garante entro 72 ore dalla scoperta. Da CTU del Tribunale gestisco anche questa parte.

Il rischio esiste, e per questo si governa. Prima di iniziare firmiamo un mandato scritto che definisce perimetro, orari, tecniche escluse e persone da avvisare. Le attività potenzialmente disruptive si concordano o si escludono. Un test autorizzato, tracciato e concordato è un esercizio controllato; un test improvvisato è un incidente.

No, e preferisco dirtelo. Il mio terreno è la valutazione indipendente, la messa in sicurezza di ciò che è esposto su internet, la formazione, la conformità e la gestione dell'incidente con valenza forense. Se la tua realtà ha bisogno di un monitoraggio continuo gestito, te lo dico e ti indirizzo. Un consulente che dice di saper fare tutto è già un rischio.