Clienti, fornitori, fatture, coordinate bancarie, documenti, e-mail, dati di produzione, file condivisi e informazioni commerciali: oggi una parte significativa del valore di un’azienda passa attraverso i suoi sistemi informatici. Per questo la sicurezza dati aziendali non riguarda più soltanto la protezione di singoli file, ma l’intero insieme di strumenti, accessi e infrastrutture attraverso cui queste informazioni vengono gestite ogni giorno.
Il problema è che questi dati raramente si trovano in un solo posto.
Una parte può essere contenuta nel software gestionale, un’altra nel file server aziendale, altre informazioni transitano attraverso la posta elettronica, vengono salvate sui computer degli utenti oppure passano da applicazioni cloud e collegamenti tra sedi.
Per questo parlare di sicurezza dei dati aziendali significa guardare all’intero ecosistema IT.
Un gestionale correttamente configurato può avere utenti e autorizzazioni ben definite, ma se il server che lo ospita non è protetto, se gli accessi remoti sono gestiti male oppure se il backup non può essere realmente ripristinato, il rischio rimane. Allo stesso modo, una buona infrastruttura non compensa account condivisi o autorizzazioni troppo ampie all’interno del software.
La sicurezza nasce dall’insieme.
Il gestionale è uno dei punti più sensibili dell’azienda
Tra tutti i sistemi utilizzati ogni giorno da una PMI, il software gestionale merita particolare attenzione.
Al suo interno possono concentrarsi anagrafiche di clienti e fornitori, ordini, fatture, scadenze, movimenti contabili, IBAN, condizioni commerciali, disponibilità di magazzino e informazioni legate alla produzione.
Un singolo dato, preso isolatamente, può sembrare poco significativo. Il suo valore aumenta però quando viene collegato agli altri.
Un IBAN associato a un fornitore, agli importi normalmente pagati e alle relative fatture racconta molto più della semplice coordinata bancaria. Lo stesso vale per ordini, listini, movimenti di magazzino o informazioni amministrative.
Per questo la sicurezza del software gestionale deve essere considerata parte della strategia generale di protezione dei dati aziendali.
Anche nel nostro software gestionale Bee.p lavoriamo con utenti, gruppi e abilitazioni proprio per differenziare gli accessi in funzione dell’organizzazione reale dell’azienda.
Chi deve poter vedere cosa?
La prima forma di protezione è spesso anche la più semplice: evitare che tutti possano accedere a tutto.
Chi lavora in magazzino può aver bisogno di consultare disponibilità e movimentazioni, ma non necessariamente dati finanziari. Un commerciale deve accedere alle informazioni utili per seguire clienti e offerte senza avere automaticamente visibilità su ogni area amministrativa.
Il principio corretto è quello del minimo privilegio: ogni utente dovrebbe poter utilizzare soltanto le funzioni e i dati necessari al proprio ruolo.
Questo vale anche quando l’organizzazione cambia. Una persona che passa da un reparto a un altro dovrebbe avere autorizzazioni coerenti con le nuove responsabilità, mentre un account non più necessario dovrebbe essere disattivato.
La sicurezza degli accessi non è quindi un’impostazione da fare una volta sola. È una parte della gestione quotidiana dell’azienda.
Il software è sicuro quanto l’infrastruttura che lo sostiene
Un gestionale non vive isolato.
Può essere installato su un server aziendale, utilizzare un database, essere raggiunto attraverso la rete locale, comunicare con altre applicazioni oppure essere utilizzato da postazioni differenti.
Questo significa che la sua sicurezza dipende anche dalla qualità dell’infrastruttura IT aziendale.
Server, networking, software e sicurezza devono essere considerati come parti dello stesso sistema.
Server e sistemi devono essere mantenuti nel tempo
Installare correttamente un server è soltanto il punto di partenza.
Sistemi operativi, applicazioni e componenti infrastrutturali devono essere aggiornati e monitorati nel tempo. Una vulnerabilità corretta dal produttore ma mai aggiornata sull’infrastruttura continua infatti a rappresentare un rischio.
Nella nostra attività di Cyber Security lavoriamo proprio su questo insieme di elementi: aggiornamenti, protezione endpoint, firewall, autenticazione forte, rete, accessi e controllo dell’infrastruttura.
L’obiettivo non è installare più strumenti possibile, ma costruire livelli di protezione coerenti con i sistemi realmente importanti per l’azienda.
La rete aziendale è il percorso attraverso cui viaggiano i dati
Quando utilizzi il gestionale, apri un file condiviso o accedi a una risorsa aziendale, i dati passano attraverso la rete.
Per questo anche il networking fa parte della sicurezza.
Una rete progettata male può rendere più difficile controllare gli accessi, separare correttamente i sistemi o proteggere i collegamenti tra sedi e utenti remoti.
Una rete ben gestita permette invece di stabilire regole, controllare il traffico e utilizzare strumenti come firewall e VPN per ridurre l’esposizione dei sistemi.
La progettazione delle reti aziendali non riguarda quindi soltanto velocità e connettività, ma anche protezione e segmentazione.
Anche gli accessi remoti devono essere governati
Il lavoro non avviene più necessariamente tutto all’interno della sede aziendale.
Tecnici, consulenti, amministratori o dipendenti possono avere bisogno di accedere ai sistemi da remoto. È una necessità normale, ma deve essere gestita correttamente.
Una connessione remota non protetta oppure credenziali utilizzate senza adeguati controlli possono diventare un punto di ingresso verso risorse molto più importanti.
Per questo VPN, autenticazione a più fattori, gestione delle credenziali e controllo degli accessi devono essere valutati in base alle modalità reali con cui le persone lavorano.
Il computer dell’utente può diventare il punto di ingresso
Possiamo proteggere server e rete e continuare ad avere un problema su una singola postazione.
Il PC di un dipendente accede alla posta, al gestionale, ai file aziendali e spesso a servizi cloud. Se quella postazione viene compromessa, un attaccante può cercare di sfruttare proprio le autorizzazioni dell’utente per raggiungere altre informazioni.
È uno dei motivi per cui la sicurezza informatica aziendale non può essere ridotta al solo firewall.
Aggiornamenti, protezione endpoint, corretta gestione delle password e consapevolezza delle persone devono lavorare insieme.
Le persone fanno parte della sicurezza
Molti incidenti iniziano da una normale attività quotidiana: un allegato aperto, una password riutilizzata, una richiesta apparentemente inviata da un fornitore oppure un account condiviso tra colleghi.
La tecnologia può ridurre il rischio, ma non può eliminare completamente il fattore umano.
Per questo una strategia di sicurezza efficace deve comprendere anche formazione, procedure semplici e regole chiare sulla gestione delle credenziali.
La posta elettronica contiene più dati sensibili di quanto immaginiamo
Una parte importante delle informazioni aziendali passa ancora attraverso le e-mail.
Preventivi, fatture, documenti, coordinate bancarie, richieste dei clienti e comunicazioni con i fornitori possono rimanere archiviati per anni nelle caselle di posta.
Questo rende l’e-mail uno dei servizi più delicati dell’intera infrastruttura.
Un account compromesso può infatti permettere non soltanto di leggere informazioni riservate, ma anche di osservare rapporti commerciali reali e costruire comunicazioni fraudolente molto credibili.
È per questo che anche i servizi e-mail aziendali devono essere considerati all’interno di una strategia più ampia che comprende sicurezza, backup e gestione dell’infrastruttura.
Il backup non serve soltanto quando si rompe un server
Quando parliamo di sicurezza dei dati, il backup viene spesso considerato l’ultima linea di difesa.
In realtà è uno degli elementi fondamentali della continuità operativa.
Un dato può diventare indisponibile a causa di un guasto hardware, una cancellazione accidentale, un malware, un errore umano oppure un attacco informatico.
La domanda quindi non è semplicemente: “Abbiamo un backup?”
La domanda più utile è: “Se domani dovessimo utilizzarlo, quanto velocemente riusciremmo realmente a ripartire?”
Un backup deve essere anche ripristinabile
Una copia dei dati ha valore soltanto se può essere recuperata.
Per questo la strategia deve considerare frequenza, conservazione, separazione dall’ambiente operativo e procedure di ripristino.
Sul tema abbiamo già dedicato un approfondimento specifico all’importanza dei backup aziendali, mentre nella nostra area dedicata a sicurezza e Business Continuity affrontiamo il problema in modo più ampio: analisi dell’impatto, strategie di backup, procedure di recupero e test periodici.
Il punto è proprio questo: fare una copia non significa automaticamente essere pronti a un incidente.
Dal backup alla Business Continuity
Quando il gestionale, la posta o il file server diventano indispensabili per lavorare, dobbiamo iniziare a ragionare anche in termini di continuità operativa.
Quanto tempo può rimanere fermo il gestionale senza compromettere il lavoro? Quanto è importante recuperare immediatamente i dati amministrativi? Quali sistemi devono tornare operativi per primi?
Sono domande che cambiano da azienda ad azienda.
Per questo una strategia di Business Continuity dovrebbe partire dall’analisi dei processi realmente critici e non da una soluzione standard uguale per tutti.
Gestionale e infrastruttura devono essere considerati insieme
È qui che il rapporto tra software e infrastruttura diventa evidente.
Un gestionale può essere correttamente configurato, ma se il sistema sul quale lavora non può essere ripristinato rapidamente, l’azienda può comunque fermarsi.
Allo stesso modo, avere server ridondati e backup ben organizzati non risolve un problema di utenti con autorizzazioni eccessive all’interno del software.
Per questo, quando parliamo di sicurezza, preferiamo analizzare l’intero percorso del dato.
Dove si trovano davvero le informazioni della tua azienda?
Una delle verifiche più utili consiste nel provare a rispondere a questa domanda.
I dati sono soltanto nel gestionale? Probabilmente no.
Possono trovarsi sui server aziendali, nelle cartelle condivise, nelle caselle e-mail, nei computer degli utenti, nei servizi cloud, nei backup, nei software verticali, negli smartphone utilizzati per lavoro e nelle integrazioni tra applicazioni.
Se non sappiamo con precisione dove sono i dati, chi può accedervi e quali sistemi li collegano, diventa difficile proteggerli in modo efficace.
Ed è proprio per questo che una strategia di sicurezza non dovrebbe partire dall’acquisto di un singolo prodotto.
Dovrebbe partire dalla conoscenza dell’ambiente.
Sicurezza dati aziendali significa avere controllo
Non esiste un sistema completamente privo di rischio.
L’obiettivo è avere il maggior controllo possibile sui punti realmente importanti.
Sapere chi accede al gestionale. Sapere quali utenti possono vedere i dati contabili. Conoscere lo stato dei server. Gestire gli accessi remoti. Proteggere le postazioni. Sapere dove vengono effettuati i backup e verificare che possano essere recuperati.
È questo che intendiamo quando parliamo di sicurezza dei dati aziendali.
Non una somma di prodotti di cybersecurity, ma un sistema coerente di tecnologie, procedure e responsabilità.
Vuoi capire quanto è protetto il tuo ambiente IT?
Possiamo partire da un’analisi concreta della situazione attuale della tua azienda.
Verifichiamo insieme infrastruttura, modalità di accesso, software gestionali, backup e principali punti attraverso cui vengono utilizzati i dati, per capire dove esistono eventuali criticità e quali interventi hanno realmente priorità.
Non partiamo dal prodotto da installare. Partiamo da come lavori oggi e da quali sistemi non puoi permetterti di perdere.
Se vuoi approfondire come lavoriamo sulla Cyber Security e sulla Business Continuity, trovi sul sito una panoramica completa dei nostri servizi. Se invece vuoi raccontarci direttamente la situazione della tua azienda, puoi contattarci.
Per continuare a seguire approfondimenti dedicati a cybersecurity, infrastrutture IT, software e digitalizzazione delle PMI, seguici anche su LinkedIn e Instagram.